Log Analytics ワークスペースでテーブルレベルのアクセスを管理する

2025-06-09

ロールベースのアクセス制御 (RBAC) を使用して Log Analytics ワークスペースでテーブルレベルのアクセスを管理するには、3 つの方法があります。この記事では、詳細な RBAC のみが推奨されている場合でも、すべての方法を参照します。

グラニュラーRBAC (推奨)
テーブルレベルの RBAC (デュアルロール)
テーブルレベルの RBAC (レガシ)

きめ細かな RBAC を使用すると、テーブルまたは行レベルでアクセスを細かく調整できます。テーブルレベルのアクセス権を持つユーザーは、ワークスペースとリソースコンテキストの両方で、指定されたテーブルからデータとクエリを読み取ることができます。詳細については、きめ細かい RBAC に関するページを参照してください。

テーブルレベルのアクセス用に詳細な RBAC を構成する

詳細な RBAC を使用したテーブルレベルのアクセス構成は、以前の方法よりも複雑ではなく、行レベルの条件を柔軟に実装できます。ただし、これらの手順では、テーブルレベルのアクセスを構成することに重点を置きます。詳細については、きめ細かい RBAC に関するページを参照してください。

テーブルレベルのアクセス用に詳細な RBAC を構成するには、次の手順が必要です。

詳細な RBAC カスタムロールを作成する
割り当てられたロールのビルド条件 (制限なしまたは制限付き)

詳細な RBAC カスタムロールを作成する

コントロールプレーンの "データアクション" は、テーブルレベルのアクセスを構成する以前の方法とは別に、きめ細かい RBAC を設定するものの 1 つです。詳細については、「詳細な RBAC カスタムロールを作成する」を参照してください。

カスタムロールの例の JSON を次に示します。

{    "properties": {
        "roleName": "Log Analytics Standard Table Access",
        "description": "This custom role provides general access to all non-restricted tables.",
        "assignableScopes": [
            "/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/contoso-US-la-workspace"
        ],
        "permissions": [
            {
                "actions": [
                    "Microsoft.OperationalInsights/workspaces/read",
                    "Microsoft.OperationalInsights/workspaces/query/read"
                ],
                "notActions": [],
                "dataActions": [
                    "Microsoft.OperationalInsights/workspaces/tables/data/read"
                ],
                "notDataActions": []
            }
        ]
    }
}

カスタムロールをユーザーまたはグループに割り当てます。詳細については、「詳細な RBAC ロールを割り当てる」を参照してください。

Log Analytics ワークスペースから、 アクセス制御 (IAM) を選択します。
[ロールの割り当ての追加] を選択します。
作成したカスタムロールの例 Log Analytics Standard Table Access 選択し、[ 次へ] を選択します。
ロールを割り当てるユーザーまたはグループを選択し、[ 次へ] を選択します。この例では、ネットワークチームセキュリティグループにロールを割り当てます。
条件の選択>条件の追加>アクションの追加。
[ワークスペースデータの読み取り] データアクションを選択します >[選択]。

制限の緩い条件を構築する

この例では、許可されていないものを除くすべてのデータへのアクセス 戦略を使用して緩和的な条件を構築します。アクセスは SigninLogs テーブルと SecurityEvent テーブルに制限されますが、他のすべてのテーブルへのアクセスは許可されます。制限条件の例については、「きめ細かな RBAC のユースケース」を参照してください。

[ビルド式] セクションで、[式の追加] を選択します。
[属性ソース] ドロップダウンから [リソース] を選択します。
[属性] ドロップダウンから [テーブル名] を選択します。
演算子 ドロップダウンから ForAnyOfAllValues:StringNotEquals を選択します。
SigninLogs] フィールドに「SecurityEventと」と入力します。

完了すると、許容されるテーブルレベルのアクセス条件がどのように表示されるかを次に示します。

1 つのロールの割り当てにより、テーブルレベルのアクセスは、制限されたテーブルを標準テーブルから分離するように構成されます。詳細については、詳細な RBAC に関する考慮事項と詳細な RBAC のトラブルシューティングに関するページを参照してください。

テーブルレベルのアクセスを構成する (デュアルロール方式)

ベストプラクティスは、この方法ではなく、詳細な RBAC メソッドを使用することです。このセクションでは、デュアルロール方式の構成方法について説明します。

このテーブルレベルのアクセス制御方法では、Azure カスタムロールを使用して、ワークスペース内の特定のテーブルへのアクセス権をユーザーまたはグループに付与しますが、ユーザーまたはグループごとに 2 つのロールを割り当てる必要があります。

範囲	ロールの説明
ワークスペース	ワークスペースの詳細を読み取り、ワークスペースでクエリを実行するための制限付きアクセス許可を提供するカスタムロール。ただし、どのテーブルからもデータを読み取りません。
表	特定のテーブルにスコープが設定された閲覧者ロール

ワークスペースロールを作成する

ワークスペースレベルでカスタムロールを作成して、ユーザーがワークスペースの詳細を読み取り、ワークスペースでクエリを実行できるようにします。テーブル内のデータへの読み取りアクセスは提供しません。

ワークスペースに移動し、アクセス制御 (IAM)>Roles を選択します。
[閲覧者] ロールを右クリックし、[複製] を選択します。 [ カスタムロールの作成 ] 画面が開きます。
画面の [ 基本 ] タブで、次の操作を行います。
1. カスタムロール名の値を入力し、必要に応じて説明を入力します。
2. 基本アクセス権をゼロから開始に設定します。

[ JSON ] タブを選択 >編集:

"actions" セクションで、次のアクションを追加します。

"Microsoft.OperationalInsights/workspaces/read",
"Microsoft.OperationalInsights/workspaces/query/read"

[ "not actions" ] セクションで、次を追加します。
```
"Microsoft.OperationalInsights/workspaces/sharedKeys/read"
```

保存>、レビュー + 作成>、作成を選択します。
アクセス制御 (AIM)>追加>役割割り当ての追加を選択します。
作成したカスタムロールを選択し、[ 次へ] を選択します。 [カスタムロールの割り当ての追加] 画面の [メンバー] タブが開きます。
+ メンバーを選択 して、[ メンバーの選択 ] 画面を開きます。
ユーザーを検索 >選択します。
「Review and assign」を選択します。

ユーザーはワークスペースの詳細を読み取ってクエリを実行できるようになりましたが、どのテーブルからもデータを読み取ることはできません。

テーブルアクセスロールを割り当てる

Log Analytics ワークスペースメニューから、[テーブル] を選択します。
テーブルの右側にある省略記号 ( ... ) を選択し、[ アクセス制御 (IAM)] を選択します。
[ アクセス制御 (IAM)] 画面で、追加>ロールの割り当ての追加を選択します。
閲覧者ロールを選択し、[次へ] を選択します。
+ メンバーを選択 して、[ メンバーの選択 ] 画面を開きます。
1. ユーザーを検索して>選択します。
「Review and assign」を選択します。

ユーザーがこの特定のテーブルからデータを読み取ることができるようになりました。必要に応じて、ワークスペース内の他のテーブルへの読み取りアクセス権をユーザーに付与します。

テーブルレベルのアクセスを構成する (従来の方法)

テーブルレベルのアクセス制御の従来の方法は推奨されなくなりました。行レベルの条件はサポートされておらず、詳細な RBAC メソッドよりも複雑です。ベストプラクティスは、この方法ではなく、詳細な RBAC メソッドを使用することです。このセクションでは、参考として、レガシーメソッドの構成手順を示しています。

テーブルレベルの従来の方法では、 Azure カスタムロールを使用して、ワークスペース内の特定のテーブルへのアクセス権をユーザーまたはグループに付与することもできます。 Azure カスタムロールは、ユーザーのアクセスモードに関係なく、ワークスペースコンテキストまたはリソースコンテキストのアクセス制御モードを持つワークスペースに適用されます。

特定のテーブルへのアクセスを定義するには、カスタムロールを作成します。

ロール定義の [アクション] セクションでユーザーのアクセス許可を設定します。
すべてのテーブルへのアクセス権を付与するために Microsoft.OperationalInsights/workspaces/query/* を使用します。
アクションでワイルドカードを使用するときに特定のテーブルへのアクセスを除外するには、ロール定義の NotActions セクションで除外されたテーブルを一覧表示します。

特定のテーブルへのアクセス権を付与および拒否するカスタムロールアクションの例を次に示します。

ハートビート テーブルと AzureActivity テーブルへのアクセスを許可します。

"Actions":  [
    "Microsoft.OperationalInsights/workspaces/read",
    "Microsoft.OperationalInsights/workspaces/query/read",
    "Microsoft.OperationalInsights/workspaces/query/Heartbeat/read",
    "Microsoft.OperationalInsights/workspaces/query/AzureActivity/read"
  ],

SecurityBaseline テーブルにのみアクセス権を付与します。

"Actions":  [
    "Microsoft.OperationalInsights/workspaces/read",
    "Microsoft.OperationalInsights/workspaces/query/read",
    "Microsoft.OperationalInsights/workspaces/query/SecurityBaseline/read"
],

SecurityAlert テーブルを除くすべてのテーブルへのアクセスを許可します。

"Actions":  [
    "Microsoft.OperationalInsights/workspaces/read",
    "Microsoft.OperationalInsights/workspaces/query/read",
    "Microsoft.OperationalInsights/workspaces/query/*/read"
],
"notActions":  [
    "Microsoft.OperationalInsights/workspaces/query/SecurityAlert/read"
],

カスタムテーブルには、テキストログや HTTP データコレクター API などのデータソースから収集したデータが格納されます。テーブルの種類を識別するには、 Log Analytics でテーブル情報を表示します。

レガシの方法のテーブルレベルのアクセスを使用して、テーブルレベルで個々のカスタムログテーブルへのアクセス権を付与することはできませんが、すべてのカスタムログテーブルに対するアクセス権を付与することはできます。すべてのカスタムログテーブルへのアクセス権を持つロールを作成するには、次の操作を使用してカスタムロールを作成します。

"Actions":  [
    "Microsoft.OperationalInsights/workspaces/read",
    "Microsoft.OperationalInsights/workspaces/query/read",
    "Microsoft.OperationalInsights/workspaces/query/Tables.Custom/read"
],

考慮事項

Log Analytics UI では、テーブルレベルのユーザーはワークスペース内のすべてのテーブルの一覧を表示できますが、アクセスできるテーブルからデータのみを取得できます。
*/read アクションを含む標準の閲覧者ロールまたは共同作成者ロールは、テーブルレベルのアクセス制御をオーバーライドし、すべてのログデータへのアクセス権をユーザーに付与します。
テーブルレベルのアクセス権がユーザーに付与されているものの、ワークスペースレベルのアクセス許可は付与されていない場合、API からはログデータにアクセスできますが、Azure portal からはアクセスできません。
サブスクリプションの管理者と所有者は、他のすべてのアクセス許可設定に関係なくすべてのデータ型に対するアクセス権を持ちます。
ワークスペース所有者は、テーブルとごのアクセス制御では他のすべてのユーザーと同様に扱われます。
割当て数を減らすために、ロールは個々のユーザーではなくセキュリティグループに割り当てます。このベストプラクティスは、既存のグループ管理ツールを使用してアクセスを構成および確認するのに役立ちます。

次の方法で共有

Log Analytics ワークスペースでテーブル レベルのアクセスを管理する

テーブル レベルのアクセス用に詳細な RBAC を構成する

詳細な RBAC カスタム ロールを作成する

制限の緩い条件を構築する

テーブル レベルのアクセスを構成する (デュアル ロール方式)

ワークスペース ロールを作成する

テーブル アクセス ロールを割り当てる

テーブル レベルのアクセスを構成する (従来の方法)

カスタム テーブルに関連する従来の方法の制限事項

考慮事項

関連コンテンツ

フィードバック

その他のリソース