EntraIDでBastion経由で仮想マシンにログインする

はじめに

こんにちは。NewITソリューション部の菅原です。

Azureで仮想マシンを構築する際、管理ユーザーを作成する必要があり、そのパスワードを一時的に共有する場合があると思います。その場合、余計なアカウント管理が発生したり、パスワードの置き場所に困ったりすることがあると思います。

そこで今回は、仮想マシンにEntraIDを使用してログインする方法を解説していきたいと思います。
EntraIDでログインすることで、仮想マシン内ではAzureアカウントに紐づいたアカウントが作成されます。また、仮想マシンにロールを付与されたアカウントしかアクセスできないので、アカウント管理が楽になります。

今回は以下のように最小限の構成で動作確認をしていきたいと思います。

1．VM構築

まずは仮想マシンを構築していきます。
OSはUbuntuServer 24.04で作成しています。
EntraIDでログインすることができる対象のOSについては以下リンクをご参照ください。
https://learn.microsoft.com/ja-jp/entra/identity/devices/howto-vm-sign-in-azure-ad-linux#supported-linux-distributions-and-azure-regions

また、「管理」タブの以下オプションには必ずチェックを付けてください。
・「システム割り当てマネージドIDの有効化」
・「Microsoft EntraIDでログイン」

2．Bastion構築

次にBastionを構築します。
前項で一緒に作成した仮想ネットワークを指定して作成します。
また、この際に「ネイティブクライアントサポート」にチェックを入れて作成します。

3．ロール付与

EntraIDで仮想マシンにログインするためには、ログインするユーザーまたはグループに対して以下のどちらかのロールを付与する必要があります。
・仮想マシンの管理者ログイン
・仮想マシンのユーザーログイン

以上で、Azureのリソース作成・設定に関しての手順は完了になります。

4．動作確認

最後に、実際に接続してみましょう。
まずはローカル環境からAzureにログインするために、ターミナル上で以下コマンドを実行します。
ブラウザが立ち上がるので、画面に従ってAzureにログインします。（※ロールを付与したアカウントでログインする）

az login

次に、Bastionを経由しないで仮想マシンにログインしてみます。
以下コマンドを実行して、ログインできることを確認しましょう。

az ssh vm -n {vmのリソース名} -g {vmがあるリソースグループ名}

最後に、Bastionを経由して仮想マシンにログインしてみます。
以下コマンドを実行して、ログインできることを確認しましょう。

az network bastion ssh --name {bastionのリソース名} --resource-group {vmのあるリソースグループ名} --target-resource-id {vmのリソースID（プロパティから確認可能）} --auth-type AAD

5．まとめ

今回はEntraIDで仮想マシンにログインする方法をご紹介しました。
これによってアクセス管理がしやすくなるため、使いどころは多いかと思います。
ぜひお試しください。

弊社ではクラウドやAIを中心としたシステムを提供しております。
ご興味をお持ちいただけましたらお気軽にお問い合わせいただけると幸いです。