# Azure Management Groupを接続する

{% hint style="info" %}
この機能は次の場合にのみ利用できます **Pro** と **Advanced** プラン。 **お問い合わせ** 詳細はチャットでお問い合わせください。
{% endhint %}

Azure サブスクリプションのオンボーディング時に、Azure の管理グループ全体を自動的に接続するオプションがあります。

## Azure 管理グループを接続する理由

Azure 管理グループ全体を接続すると、次の利点があります。

* **より迅速なセットアップ**：手動で接続する必要があるサブスクリプションは 1 つだけです。
* **サブスクリプションの自動検出**：Azure サブスクリプションは、今後追加されるものも含めて自動的に Aikido に追加されます。
* **ACR スキャンの自動セットアップ**：Aikido が Azure Container Registry をすべて自動的に検出してスキャンします。
* **Azure VM スキャンの自動セットアップ**：有効にすると、Aikido はエージェントレス技術を使用して Azure VM をすべてスキャンします。

## 前提条件

* Pro、Advanced、または Enterprise プランをご利用中です。
* Azure 環境内の管理グループへのアクセス権があります。

## はじめに

* Azure サブスクリプションのオンボーディングの標準フローに従ってください。
* ステップ 3 で、「Management Groups」オプションを選択します。
* Aikido で「管理クラウド」として機能するサブスクリプションの ID を入力してください。これは接続情報を保持するサブスクリプションにすぎません。これと他のサブスクリプションの間にセットアップ上の違いはありません。今後しばらく保持する予定のものを選ぶことをおすすめします。
* 他のフィールドは任意です。 **空欄のままにすると、テナント内のすべての Azure サブスクリプションが自動的に接続されます。**
* 次に、Azure 環境への RBAC/IAM アクセスを構成する必要があります。

{% hint style="info" %}
管理グループ レベルでアクセス権を付与する必要があります。テナント ルート管理グループでアクセス権を付与すると、すべての管理グループとサブスクリプションに自動的に伝播されます。

または、特定の（サブ）管理グループにアクセス権を付与して、環境の一部だけをオンボーディングすることもできます。
{% endhint %}

* CSPM コンポーネントについて、Aikido には Azure ロール `セキュリティ閲覧者` と `Log Analytics 閲覧者`.
* ACR スキャンについて、Aikido には次が必要です `AcrPull` と `Container Registry Repository Catalog Lister`.
* VM スキャンについて、Aikido には次の権限を持つロールが必要です。

```
Microsoft.Compute/virtualMachines/read,
Microsoft.Compute/disks/beginGetAccess/action,
Microsoft.Compute/disks/endGetAccess/action,
Microsoft.Compute/disks/read,
Microsoft.Compute/snapshots/read,
Microsoft.Compute/snapshots/write,
Microsoft.Compute/snapshots/delete,
Microsoft.Compute/snapshots/beginGetAccess/action,
Microsoft.Compute/snapshots/endGetAccess/action,
Microsoft.Authorization/roleAssignments/read,
```

* セットアップが完了すると、他のサブスクリプションは数分以内に表示され始めます。

#### クラウドの用途の判定 <a href="#cloud-purpose-determination" id="cloud-purpose-determination"></a>

Azure サブスクリプションの用途/環境は、その名前から自動的に判定されます。Aikido は「production」「staging」「uat」などの用語を探し、それに応じてクラウドの用途を設定します。一致するものが見つからない場合、用途は「mixed」になります。「Configure」ボタンを使用して、各クラウド接続の用途を手動で更新できます。