Azure Automation への接続

RealmJoin PowerShell モジュールを使用して Azure Automation Account を RealmJoin Portal に接続し、RealmJoin が Tenant 内で runbook を展開、実行、監視できるようにします。

概要

RealmJoin Portal で提供するには ランブック 日常業務を自動化するには、次を接続する必要があります Azure Automation アカウント。これはランブックのホストとして機能し、次のものを提供します アクセス許可 ランブックが環境内で動作するために必要なものです。

Automation Account は次のもので設定されます RealmJoin PowerShell モジュール。Portal はコピーしてすぐ使えるコマンドを生成します。作成するアプリ登録も、管理するクライアント シークレットもありません。

レガシーの RealmJoin Runbook Management アプリ登録を使用して、Tenant のランブックがすでに構成されていますか？その場合は次を参照してください RealmJoin 管理アプリへの切り替え。Automation Account とランブックは維持され、Tenant ごとのクライアント シークレットは削除されます。

考慮事項

Automation Account の マネージド ID 広範な アクセス許可 環境内でのアクセス許可が必要です。たとえば、Entra ID のグループまたはユーザー オブジェクトを変更する機能や、Exchange Online のメールボックスを管理する機能などです。これらの特権の悪用を防ぐため、このアカウントへの管理アクセスを制限してください。

既存の Automation Account を使用する場合、RealmJoin Portal は次から取得したランブックを自動的に作成、更新、削除することに注意してください ランブックの共有オンライン リポジトリ。この機能は既存の Automation Account ではサポートされない場合があります。不明な場合は、RealmJoin ランブック専用の Azure Automation Account を作成することをお勧めします。これはセットアップ コマンドによって実行されます。

セットアップでデプロイされるもの

セットアップ コマンドを実行すると、次が作成されます。

• 次の RealmJoin Azure Resources Entra ID Tenant 内のサービス プリンシパル（まだ存在しない場合）
• 次の Automation Account 。リソース グループのリージョン内にシステム割り当てマネージド ID を持つもの、または既存の Automation Account の名前を指定した場合はそのアカウント
• 共同作成者 。Automation Account をスコープとして RealmJoin サービス プリンシパルに付与され、RealmJoin がランブックを同期および開始できるようにします
• 次の アプリケーションのアクセス許可 。モジュールにバンドルされているマネージド ID 用です。Microsoft Graph、Office 365 Exchange Online、Windows Defender ATP、SharePoint Online

RealmJoin は独自のマルチテナント アプリケーションを使用して Azure に対して認証します。Tenant 内にアプリ登録やクライアント シークレットは作成されず、RealmJoin がこの Automation Account 外のアクセス許可を取得することもありません。

マネージド ID の Entra ID ディレクトリ ロール — Intune Administrator、Exchange Administrator、User Administrator など — は されません セットアップ コマンドでは割り当てられません。これらは引き続き別途付与する必要があります。次を参照してください ロールとアクセス許可の付与。これらがないと、共有ランブックの大部分が動作しません。

前提条件

RealmJoin Portal 内

• 設定領域へのアクセスを許可するロール（CanReadSettingsDetails、次を参照 使用可能なアクセス許可）。設定ページでは、短期間有効なオンボーディング トークンを含むセットアップ コマンドが生成されます。

Azure 内

• Azure サブスクリプションと 既存のリソース グループ 。ここにデプロイします。モジュールはリソース グループを作成しません。Automation Account 用に別のリソース グループを使用することをお勧めします。
• 必要に応じて既存の Automation Account。名前を指定しない場合は、アカウントが作成されます。

PowerShell を実行するコンピューター上

• PowerShell 5.1 以降（Windows PowerShell または PowerShell 7）
• 次へのアクセス PowerShell Gallery RealmJoin モジュールをインストールするため
• 次の Az.Accounts, Az.Resources および Az.Automation モジュール。RealmJoin モジュールは、現在のユーザー用に固定バージョンを自動的にインストールします

サインインに使用するアカウントのアクセス許可

• Microsoft Entra ID: サービス プリンシパルを作成するアクセス許可 およびアプリケーションのアクセス許可を付与するアクセス許可 — セットアップでは、Graph、Exchange、Defender、SharePoint のアプリ ロールをマネージド ID に割り当てます。実質的には、次のいずれかを意味します グローバル管理者 または 特権ロール管理者.
• Azure サブスクリプション: リソース グループにデプロイするアクセス許可 および およびそのリソース グループにロールの割り当てを作成するアクセス許可。たとえば 所有者、または 共同作成者 と組み合わせた ユーザー アクセス管理者 / ロール ベースのアクセス制御管理者.
• サインインは次を通じて行われます Connect-AzAccount。これは Azure PowerShell ファーストパーティ アプリケーションを使用します。ユーザー同意を制限している Tenant では、先にこのアプリケーションへの管理者同意を付与する必要がある場合があります。

次の場所でコマンドを実行してください 新しく開いたローカルの PowerShell セッションで実行し、次を避けてください Azure Cloud Shell。RealmJoin モジュールには、次の正確なバージョンが必要です Az.* モジュール。セッションに別のバージョンがすでに読み込まれている場合（通常は Cloud Shell で該当します）、モジュールはバージョン競合で停止します。これは新しいセッションを開くことでのみ解決できます。

セットアップ

1

リソース グループを準備する

Azure Portal で、Automation Account を保持するリソース グループを作成または選択します。その名前と、属するサブスクリプションの ID をメモしてください。

次を使用する場合 既存の Automation Account の名前もメモしてください。

2

RealmJoin Portal からコマンドをコピーする

RealmJoin Portal で、次に移動します 設定 → ランブック (https://portal.realmjoin.com/settings/runbooks-configuration).

ページには、ランブックの構成が RealmJoin PowerShell モジュールで管理されることが記載され、コマンド ブロックが表示されます。次の コピー ボタンを使用してコピーします。

$latest = [version](Find-Module RealmJoin -Repository PSGallery -ErrorAction Stop).Version
if (-not (Get-Module -ListAvailable RealmJoin | Where-Object Version -ge $latest)) {
    Install-Module RealmJoin -Force -AllowClobber -ErrorAction Stop
}
Import-Module RealmJoin -Force
Set-RJAutomationAccount -Token "<Token>" 6>&1

情報 6>&1: これらのコマンドは、PowerShell の情報ストリームに進行状況を報告します。この 6>&1 リダイレクトによりその出力がコンソールに表示されます。これがない場合、進行状況メッセージは表示されません。

3

ターゲット パラメーターを追加する

Set-RJAutomationAccount では、デプロイ先を指定する必要があります。実行前に最後の行を完成させてください。

Set-RJAutomationAccount -ResourceGroupName "rg-realmjoin" -SubscriptionId "<SubscriptionId>" -Token "<Token>" 6>&1

• -ResourceGroupName は必須です。省略すると、PowerShell から入力を求められます。
• -SubscriptionId は任意です。指定しない場合は、現在の Azure コンテキストのサブスクリプションが使用され、複数利用可能な場合は選択を求められます。
• -AutomationAccountName は任意です。既存のものを使用するには指定します 既存の Automation Account。それ以外の場合は、生成された名前で新規作成されます。

コマンドで既存の Automation Account を指定すると、RealmJoin が必要とする設定（システム割り当てマネージド ID、Basic SKU、パブリック ネットワーク アクセス）がそのアカウントに適用されます。アカウントを再利用する前に、これらが要件に合致するか確認してください。

4

コマンドを実行する

ブロックを新しい PowerShell セッションに貼り付けて実行します。トークンは約 1 時間有効です。期限切れの場合は、設定ページを再読み込みしてコマンドを再度コピーしてください。

次を使用してサインインするよう求められます Connect-AzAccount。アカウントが複数の Tenant またはサブスクリプションにアクセスできる場合、モジュールから選択を求められます。

デプロイは、サービス プリンシパル、Automation Account、アクセス許可の 3 ステップで実行され、作成される各リソースが報告されます。通常、1 回の実行には数分かかります。

まず実行結果を確認したいですか？次を追加してください -WhatIf Azure Resource Manager の What-If プレビュー用です。サインインと次のインストールは Az モジュールは、プレビューにも両方必要なため、引き続き実行されます。

その後のサインアウト: コマンドの完了後も Azure サインインは有効のままです。完了したら、次を実行します Disconnect-AzAccount 既存のセッションからサインアウトします。

5

マネージド ID に Entra ID ロールを割り当てる

セットアップではマネージド ID にアプリケーションのアクセス許可を付与しますが、Entra ID ディレクトリ ロールは付与しません。ここで割り当ててください。次を参照してください ロールとアクセス許可の付与 現在の一覧と、それを実行するスクリプトについて。

マネージド ID のオブジェクト ID は、Azure Portal の Automation Account の［アカウント設定］>［ID］に表示されます。

Automation Account のマネージド ID

6

Portal で確認し、最初の同期を開始する

次に戻ります 設定 → ランブック そして次を選択します 更新。RealmJoin は新しい構成を取得し、初回ランブック インポートを開始します。同期が完了するまでページを開いたままにしてください。

サブスクリプション、リソース グループ、Automation Account 名、場所が、読み取り専用で次に表示されます Azure 接続 — 以降は PowerShell モジュールによって管理されます。

Portal で管理する設定

セットアップ後も、次の 2 つの設定は 設定 → ランブック で編集可能なままです:

• ブランチ — 次のブランチ 共有ランブック リポジトリ を追跡します。セットアップではこれを次に設定します production。特に変更する理由がない限り、これが適切な選択です。
• Hybrid Runbook Worker の同期を有効にする および使用するワーカー グループ。次を参照してください Hybrid Runbook Worker。ここで選択する前に、そのグループを Automation Account に登録する必要があります。

どちらを保存してもランブック同期がトリガーされます。

後で構成またはアクセス許可の問題が発生した場合は、 Show cmdlet Azure 接続の下にあるボタンでコマンドを再表示できます。再実行しても安全で、不足しているものだけが適用されます。

レガシー セットアップ（Tenant ごとのアプリ登録）

以下のセットアップでは、次を作成します RealmJoin Runbook Management Tenant 内にクライアント シークレットを持つアプリ登録。これは、過去にこの方法で構成された Tenant 向けの参照としてのみ文書化されています。新しい構成には使用しないでください。次に従ってください セットアップ 上記、または 既存の構成を管理アプリに切り替える.

レガシー セットアップを表示する

この方法では、Automation Account を Azure Portal で手動作成し、2 つの外部スクリプトでそのアクセス許可を割り当て、RealmJoin は Tenant ごとのアプリ登録とクライアント シークレットを使用して認証していました。

パート 1 — Azure Automation Account を作成する

1. 次に移動します Azure Portal > Automation Accounts そして新しい Automation Account を作成します。
2. ［基本］タブで、サブスクリプション、リソース グループ、Automation Account 名、リージョンを選択します。
3. ［詳細設定］タブで、システム割り当てマネージド ID が有効になっていることを確認します。
4. ［確認と作成］を選択して、Automation Account を作成します。
5. Automation Account を含むリソース グループに移動し、［IAM］タブで Automation Account に共同作成者ロールを割り当てます。

Automation Account の作成

システム割り当てマネージド ID の有効化

パート 2 — Automation Account にアクセス許可を割り当てる

マネージド ID のアクセス許可は Azure Portal から付与できません。 approle-and-directoryrole-granter スクリプトは、次に公開されている JSON ファイルから、アプリのアクセス許可と Entra ID ロールの両方を割り当てます ランブック リポジトリ:

. .\GrantAppPermToEntApp.ps1 -enterpriseAppObjId "<ManagedIdentityObjectId>" -permissionsTemplate .\AllRealmJoinRunbooks_collected_permissions.json
. .\AssignAzureADRoleToEntApp.ps1 -objectId "<ManagedIdentityObjectId>" -rolesTemplate .\AllRealmJoinRunbooks_collected_rbacroles.json

パート 3 — RealmJoin 用のサービス プリンシパルを作成する

Portal の［設定］>［ランブック］で、まず Tenant ID、サブスクリプション ID、リソース グループを入力します。その後、実行する Azure CLI スニペットがページに表示され、次が作成されました RealmJoin Runbook Management リソース グループに対する共同作成者権限を持つアプリ登録:

az provider register --namespace Microsoft.Automation
az ad sp create-for-rbac -n "RealmJoin Runbook Management" --role contributor --scopes /subscriptions/<SubscriptionId>/resourceGroups/<ResourceGroup>

パート 4 — ウィザードを完了する

Portal に戻り、 appId および password を、その出力から Automation Account 名、共有ランブック リポジトリのブランチ（production）および Automation Account の場所とともに入力しました。保存すると、初回ランブック インポートが開始されました。

RealmJoin Portal の Automation Account 接続