​

Azure — 検出

​

SecureAI がインポートするもの

• AI リソース: すべての Azure AI Services、Azure OpenAI、その他の Cognitive Services アカウント (Content Safety、Speech、Language、Document Intelligence など)。リージョンと状態も含みます。
• Azure OpenAI と Foundry のモデルのデプロイ。容量と、直近 30 日間の使用状況 (リクエスト数、入力・出力トークン数。Azure Monitor から取得) を含みます。
• Foundry のプロジェクトとエージェント: 各プロジェクトの Foundry Agent Service のエージェントと従来のアシスタント、およびそれぞれが使用するモデル。ハブとハブベースのプロジェクト (Azure Machine Learning)、そのオンライン エンドポイントとサーバーレス エンドポイントも対象です。
• Azure AI Search と Azure Bot Service。
• 当月のコスト (サービス別、Cost Management)。
• アクティビティ: 直近 30 日間の Cognitive Services と Machine Learning の管理イベント (アクティビティ ログ)。
• NHI。NHI インベントリに一覧表示されます。
  • エンタープライズ アプリケーションのサービス プリンシパル。
  • Microsoft Entra のエージェント ID。Foundry がエージェントごとに作成するもので、エージェントとして分類されます。
  • システム割り当てとユーザー割り当てのマネージド ID。
  • アプリの登録のクライアント シークレットと証明書 (有効期限を含む)。
  • フェデレーション資格情報 (ワークロード ID フェデレーション)。たとえば GitHub Actions の OIDC 信頼を設定すると、そのリポジトリはシークレットを一切使わずに、アプリケーションとしてトークンを取得できます。
  • 各アプリケーションの最終サインイン。テナントがそのレポートを公開している場合に限ります。
• 各 ID の権限: サブスクリプションの任意のスコープ (サブスクリプション、リソース グループ、リソース) での Azure RBAC ロール、Microsoft Graph のアプリケーション権限、Entra のディレクトリ ロール。
• RBAC ロールの割り当て: 各ロールを名前で表示し、それを持つユーザー、グループ、アプリケーションを併記します。

• Owner、Contributor、User Access Administrator、Role Based Access Control Administrator のいずれかのロール。
• Graph の書き込み権限 (Application.ReadWrite.All、Directory.ReadWrite.All、Mail.Send、Files.ReadWrite.All など)。
• ディレクトリの管理者ロール (Global Administrator、Application Administrator など)。

​

前提条件

​

ステップ 1. サービス プリンシパルを作成する

​

Azure CLI を使う場合

SUB_ID=00000000-0000-0000-0000-000000000000

# 1. App registration + service principal
APP_ID=$(az ad app create --display-name "SecureAI Discovery" --query appId -o tsv)
az ad sp create --id "$APP_ID"

# 2. Client secret (shown only once: copy it now)
az ad app credential reset --id "$APP_ID" --display-name secureai --years 1 \
  --query "{tenantId:tenant, clientId:appId, clientSecret:password}" -o json

# 3. Microsoft Graph application permissions + admin consent
#    Application.Read.All, Directory.Read.All, AuditLog.Read.All
az ad app permission add --id "$APP_ID" --api 00000003-0000-0000-c000-000000000000 \
  --api-permissions 9a5d68dd-52b0-4cc2-bd40-abcf44ac3a30=Role \
                    7ab1d382-f21e-4acd-a863-ba3e13f7da61=Role \
                    b0afded3-3588-46d8-8b3d-9842eff778da=Role
az ad app permission admin-consent --id "$APP_ID"

# 4. Azure RBAC on the subscription
az role assignment create --assignee "$APP_ID" --role "Reader" --scope "/subscriptions/$SUB_ID"
az role assignment create --assignee "$APP_ID" --role "Cost Management Reader" --scope "/subscriptions/$SUB_ID"

# 5. (Recommended) read the agents of your Foundry resource
RID=$(az cognitiveservices account show -n MY_RESOURCE -g MY_RG --query id -o tsv)
az role assignment create --assignee "$APP_ID" --role "Cognitive Services Data Reader" --scope "$RID"

​

Azure portal を使う場合

1. Azure portal で Microsoft Entra ID → アプリの登録 → 新規登録に移動し、名前 (例: SecureAI Discovery) を付けて登録します。
2. 概要で、ディレクトリ (テナント) ID とアプリケーション (クライアント) ID をコピーします。
3. 証明書とシークレット → クライアント シークレット → 新しいクライアント シークレットでシークレットを作成し、その値をコピーします (表示されるのは 1 回だけです)。
4. API のアクセス許可 → アクセス許可の追加 → Microsoft Graph → アプリケーションのアクセス許可で、Application.Read.All、Directory.Read.All、AuditLog.Read.All を追加します (SecureAI から失効する場合は Application.ReadWrite.All も追加)。続いて管理者の同意を与えますをクリックします。
5. サブスクリプション → お使いのサブスクリプション → アクセス制御 (IAM) → ロールの割り当ての追加で、アプリケーションに Reader と Cost Management Reader を割り当てます。
6. お使いの Foundry リソース → アクセス制御 (IAM) で、アプリケーションに Cognitive Services Data Reader を割り当てます。

​

ステップ 2. SecureAI で Azure を接続する

1. 管理 → 統合に移動し、Cloud で絞り込んで、Azure — 検出カードの統合を接続をクリックします。
2. 各フィールドを入力します。

   フィールド	入力する内容
   Azure Tenant ID (Directory ID)	ステップ 1 の tenantId
   App Registration Client ID	ステップ 1 の clientId
   App Registration Client Secret	ステップ 1 の clientSecret。暗号化して保存されます。
   Subscription ID (任意)	読み取りをそのサブスクリプションに限定します。空欄の場合: プリンシパルが Reader を持つすべてのサブスクリプション。

3. 接続をクリックします。保存する前に、SecureAI は実際の読み取りで資格情報をテストします。シークレットが正しくない場合や、プリンシパルがサブスクリプションを読み取れない場合は何も保存されず、不足している内容がメッセージに表示されます。接続はできても Graph の権限が不足している場合は、通知にその権限名が表示されます。
4. カードの更新ボタンで同期します。Azure の同期には数分かかることがあります (Azure Resource Manager、Microsoft Graph、Azure Monitor、Cost Management を順に処理するため)。その後は、SecureAI が 6 時間ごとに自動で同期します。

​

ステップ 3. 確認する

• Cloud Sensors に、検出されたデプロイ、エージェント、サービスが一覧表示されます。Azure カードをクリックすると Insights が開きます。
  • Usage & Costs: 使用状況とコスト
  • Models & Deployments: デプロイとエージェント
  • Identity & Access: ロールと Privileged フラグ付きの ID、シークレット、証明書、フェデレーション資格情報、メンバー付きの RBAC ロール
  • Audit & Logs: アクティビティ
• NHI インベントリには、サービス プリンシパル、エージェント ID、マネージド ID、シークレット、証明書、フェデレーション資格情報が、権限と特権かどうかとともに表示されます。

​

カバレッジのギャップ

​

失効

• SecureAI は、自身の接続に使用しているサービス プリンシパルとそのシークレットについては、検出が止まってしまうため、失効を提示しません。これらは Entra ID でローテーションしてください。
• システム割り当てのマネージド ID は SecureAI から失効しません。そのライフサイクルは Azure リソースに従います。
• Foundry がエージェントの ID のブループリントに保持しているフェデレーション資格情報も、SecureAI からは失効しません。削除するとエージェントが停止します。
• NHI の自動ポリシー (経過期間や未使用による失効) は、Azure にはまだ適用されません。失効は手動で行います。

​

切断

​

関連

• Azure AI Foundry — Inference in your account
• クラウド AI プロバイダーの概要
• Cloud Sensors
• NHI インベントリ
• Microsoft Entra ID (SSO)