Managed Cloud Premiumの使用

サブスクリプション管理

AzureのプレミアムサポートSitecore Managed Cloud、信頼できるパートナーであるRackspaceを使って、Azure環境内での操作を行います。Rackspaceに適切なアクセスレベルと必要な権限を割り当て、マネージドサービスプロバイダーの役割を果たせるようにする必要があります。

これらのサービスの悪用を防ぐため、Rackspaceは企業名義の活用や、多要素認証認証、パスワードローテーションなどの組み込みセキュリティ機能を含む安全策を統合しています。

オーナー/貢献者アクセス

Azure Managed Cloudプレミアムサポートを提供するために、RackspaceはRackspaceが管理するすべてのAzureサブスクリプションに対して、SitecoreのOwnerまたはContributor権限を必要とします。OwnerまたはContributorアカウントをMicrosoftアカウントではなく組織アカウントとして設定する必要があります。オーナー/コントリビューター権限で設定された組織アカウントをRackspaceに提供できない場合、一部のサポートサービスは利用できないか、限定的な範囲でのみ利用可能になることがあります。

!注Rackspaceはオーナー/貢献者のアカウント認証情報を安全なパスワードリポジトリに保存しており、サポート、トラブルシューティング、デプロイメントなどの作業中にアクセスします。顧客のデプロイにはRackspace Supportのみがアクセスできます。

The Azure Active Directory service

Rackspaceはサービスプリンシパル名(SPN)を設定し、Sitecore管理サービスがAzure Active Directory(AD)テナントで保護されたリソースにアクセスできるようにします。オンボーディング中、ユーザーはAzure ADアプリケーションからテナント内のリソースへのアクセス許可を求めるRackspaceの許可を受信します。

RackspaceはSPNに「最低権限レベル」モデルを割り当て、Sitecoreが以下を行えるようにします:

• アクセスポリシーと権限を定義します。
• そのサブスクリプション内でリソースへのプログラム的アクセスを提供するための認証と承認を取得してください。
• Azure向けのManaged Cloud Premiumサポートを提供するための自動化サービス全体を有効にしましょう。

!注RackspaceはSPN認証情報をRackspace管理のAzureサブスクリプション内のキーボールトに安全に保存し、鍵は静止時および輸送中の両方で暗号化されています。

Boarding Pass (Azure AD B2B SPN)

Rackspaceは、Rackspaceサポートエンジニアに対し、オンデマンドで期限内に監査済みかつ名前付きアクセス権を持つ顧客サブスクリプションを提供するために、Boarding Passという一連のツールを開発しました。Boarding PassはAzure AD B2B招待サービス/APIおよび二重認証を用いて、Rackspace Azure ADテナントから既存の企業アイデンティティやユーザーをインポートします。この機能は2つの独立したサービスで構成されています:

• Boarding Pass Enrollment – 自動化アカウントやSPNの設定、あらかじめ定義されたアクセスグループの設定でサブスクリプションの準備をするオンボーディングツール。
• Boarding Pass Access Rackspaceの運用ポータル内にある安全なウェブアプリケーションで、選択したサブスクリプションに期限限定のアクセス権を提供します。

搭乗パスはManaged CloudプレミアムサポートエンジニアリングチームのAzure認定メンバーに限定されており、以下の要件を含む複数のセキュリティ管理が含まれています。

• ユーザーはRackspaceの企業ディレクトリにプレゼンスを持たなければならず、これはRSAのデュアルファクターが強制されています。
• Managed Cloud Premium Support for Azure Operations Portal(制限付きグループ)にアクセスするには、ユーザーはLightweight Directory Access Protocol(LDAP)グループのメンバーでなければなりません。
• 搭乗券ポータルへのアクセス( Reader または Contributor ロールに制限)には、LDAPグループのメンバーである必要があります。