あなたのPowerShellコードでAzureサービスプリンシパルを保護する方法

Question

私のAzureサブスクリプションで特定のアクションをとるPowerShellコードを持っているとしましょう。私はそれが私のAzureユーザー名かAzureサービスプリンシパルを使用してAzureにログインしなければならないことを理解しました。

私の場合、多くの人がこのコードを使用する予定であり、誰もが私のサブスクリプションにアクセスすることを望まないため、サービスプリンシパルを使用したいと考えています。したがって、私はこのSPにのみアクセスできます。

SPを使ってログインするには、アプリケーションIDとキーを自分のコードに含める必要があります。私のコードが侵害された場合、社外の誰かがアプリケーションIDとキーを使用してログに記録できます私のサブスクリプションのものをやります。

このようなセキュリティリスクから自分を守る方法はありますか？ Azure ADには、サービスプリンシパル（Azure App）にアクセスできるユーザー/グループを指定できるセクションもあります。しかし、それは二重認証のようなものでしょうか？あなたは正しい方向に私を向けることができますか？

また、私にいくつかのサンプルコードを提供していただければ幸いです。

Answer 1

正直、このようにはしないでください。証明書へのアクセス権を得た者（コードを配布している場合）には、Azureのサービスプリンシパルとしてアクセスすることもできます。

Azure Automationのランニングブックを作成し、webhookを添付することをお勧めします。 runbookを実行する小さなhtmlファイルを作成することができます（必要なパラメータを入力するよう促す）。こうすることで、ユーザーは設定したコード（webhook経由）のみを実行でき、webhook URLを定期的に（削除して新しいものを作成して）循環させることができます。