Azure

Azureサブスクリプションを接続して、CloudThinkerエージェントがコスト分析、コンプライアンス監査、Microsoft Azure全体のインフラ管理を実行できるようにします。 Azureの認証はサービスプリンシパル（アプリ登録 + クライアントシークレット + テナントID）で行います。プリンシパルのロール割り当てが各エージェントの読み取り範囲を決定します。

前提条件

OwnerまたはUser Access Administrator権限を持つAzureサブスクリプション。
Microsoft Entra IDでアプリ登録を作成する権限。
アカウントに登録済みの多要素認証。セキュリティ既定値は、多要素認証なしのアプリ登録をブロックします。

ReaderとCost Management Readerがあれば、読み取り専用のエージェントはすべて動作します。エージェントにAzureリソースを変更させる場合のみ書き込みロールを追加してください。

セットアップ

Azure CLI
Azureポータル

サブスクリプションを選択する

az login
az account set --subscription <subscription-id>

サービスプリンシパルを作成する

az ad sp create-for-rbac --name cloudthinker \
  --role Reader \
  --scopes /subscriptions/<subscription-id>

出力をコピーしてください。passwordは一度しか表示されません。

{
  "appId": "00000000-0000-0000-0000-000000000000",
  "displayName": "cloudthinker",
  "password": "the-client-secret",
  "tenant": "00000000-0000-0000-0000-000000000000"
}

コストへのアクセスを追加する

az role assignment create --assignee <appId> \
  --role "Cost Management Reader" \
  --scope /subscriptions/<subscription-id>

CloudThinkerで接続を追加する

Connections → Azure に移動し、appIdをAPP_ID、passwordをCLIENT_SECRET、tenantをTENANT_IDに入力します。AZURE_DEFAULT_REGIONを選択してConnectをクリックします。成功状態: 接続がConnectedステータスで表示されます。

アプリケーションを登録する

Azure Portal → Microsoft Entra ID → App registrations → New registration に移動します。名前をcloudthinkerにし、既定のアカウント種類のままRegisterをクリックします。

識別子をコピーする

アプリの概要ページでApplication (client) IDとDirectory (tenant) IDをコピーします。

クライアントシークレットを作成する

Certificates & secrets → New client secret に移動します。有効期限を12か月に設定してAddをクリックし、シークレットのValueをすぐにコピーします。

ロールを割り当てる

Subscriptions → 対象のサブスクリプション → Access control (IAM) → Add role assignment に移動します。アプリ登録にReaderを割り当て、Cost Management Readerでも同じ手順を繰り返します。

CloudThinkerで接続を追加する

Connections → Azure に移動し、クライアントIDをAPP_ID、シークレット値をCLIENT_SECRET、ディレクトリIDをTENANT_IDに入力します。AZURE_DEFAULT_REGIONを選択してConnectをクリックします。成功状態: 接続がConnectedステータスで表示されます。

クライアントシークレットは作成直後にコピーしてください。Azureは二度と表示しません。新しいシークレットが必要な場合はaz ad sp credential reset --id <appId>を実行します。

Microsoft Customer Agreementの請求

オンラインで購入した従量課金サブスクリプションはMicrosoft Customer Agreement（MCA）を使用します。Cost ManagementはMCAサブスクリプションに対してGiven subscription doesn't have valid WebDirect/AIRS offer typeを返すため、Optimizeは請求プロファイルのスコープでコストを読み取ります。サービスプリンシパルにそのスコープへのアクセスを付与してください。Cost Management + Billing → 請求アカウント → Billing profiles → 対象のプロファイル → Access control (IAM) → Add に移動し、アプリ登録にBilling profile readerを割り当てます。サブスクリプションのロール割り当ては請求スコープを含みません。

接続の詳細

フィールド	説明	例
APP_ID	アプリ登録のApplication (client) ID	`00000000-0000-0000-0000-000000000000`
CLIENT_SECRET	Certificates & secretsで作成したシークレット値	—
TENANT_ID	Microsoft Entra IDのDirectory (tenant) ID	`00000000-0000-0000-0000-000000000000`
AZURE_DEFAULT_REGION	Azure CLI呼び出しの既定リージョン	`East US`

サブスクリプションは接続フィールドではありません。CloudThinkerはサービスプリンシパルが読み取れるすべてのサブスクリプションを検出します。

必要な権限

ロール	スコープ	付与される範囲
Reader	サブスクリプション	リソースインベントリ、セキュリティ監査、パフォーマンス分析
Cost Management Reader	サブスクリプション	Optimizeの支出、予測、コスト推奨
Billing profile reader	MCA請求プロファイル	Microsoft Customer AgreementサブスクリプションでのOptimize
Contributor	サブスクリプション	任意。承認ゲート付きのリソース書き込み操作

Readerだけではコストデータを取得できません。Readerは*/readを付与しますが、Cost Managementのクエリは*/readに一致しないPOSTアクションです。

エージェントにリソースを変更させる場合のみContributorを割り当ててください。書き込み呼び出しはすべてチャットでの承認を待ちます。

エージェントの機能

接続後、エージェントはAzureリソースの分析と最適化を実行できます。

エージェント	Azureの機能
Alex	コスト分析、VMの適正サイズ調整、リザーブドインスタンスの推奨、リソース最適化
Oliver	Security Centerのファインディング、Microsoft Entra ID監査、コンプライアンスチェック、ポリシー違反
Tony	SQL Databaseパフォーマンス、Cosmos DB最適化、PostgreSQLチューニング
Kai	AKSクラスター管理、コンテナ最適化、ワークロード分析

接続を確認する

@alex run an Azure account check and list the connected subscriptions and resource groups

プロンプト例

@alex analyze Azure VM costs over the last 30 days and #recommend right-sizing opportunities
@oliver audit Azure Security Center findings and flag high-severity policy violations
@kai check AKS cluster health and #report any failing pods or resource pressure

トラブルシューティング

az loginまたはポータルがAADSTS530035: Access has been blocked by security defaultsを返します。セキュリティ既定値は、アプリを登録する前に多要素認証を要求します。aka.ms/mfasetupで認証方法を登録してから再度サインインしてください。--use-device-codeと--allow-no-subscriptionsでは回避できません。

認証失敗

APP_ID、CLIENT_SECRET、TENANT_IDを確認します。シークレットが期限切れでないこと、アプリ登録が入力したテナントにあることを確認してください。条件付きアクセスポリシーがサービスプリンシパルのサインインをブロックしていないことも確認してください。

クライアントシークレットの期限切れ

az ad sp credential reset --id <appId>を実行するか、Microsoft Entra ID → App registrations → 対象のアプリ → Certificates & secrets で新しいシークレットを作成します。接続のCLIENT_SECRETを更新してください。

Optimizeにコストデータがない

OptimizeがAzure Cost Management is not readableと表示します。サブスクリプションにCost Management Readerを割り当ててください。サブスクリプションがMicrosoft Customer Agreementの場合は、請求プロファイルにBilling profile readerも割り当てます。ロール割り当ての反映には数分かかります。

Cost Managementが429を返す

新しいサブスクリプションではCost Managementのスロットリングが強く、クエリが429 Too many requestsを返します。設定の誤りではありません。数分待ってからOptimizeを再読み込みしてください。

リソースがない

表示したいすべてのサブスクリプションにReaderロールが割り当てられていることを確認します。サービスプリンシパルが読み取れないサブスクリプションのリソースは表示されません。

セキュリティ

最小権限 — エージェントがユースケースに必要な権限のみを付与します。まず読み取り専用から始め、後から拡張してください。
デフォルトで読み取り専用 — エージェントにこの接続で変更を行わせる場合を除き、読み取り専用の認証情報を使用してください。
認証情報のローテーション — 通常のスケジュールに従ってキーとトークンをローテーションしてください。接続を更新すると、CloudThinker が新しい値を自動的に取得します。
オフボーディング時に失効 — 接続を削除するか、チームメンバーが退職する際には、プロバイダー側で認証情報を無効化してください。

シークレットの有効期限を設定 — クライアントシークレットには常に有効期限を設定し、期限前にローテーションしてください。
ロールのスコープを絞る — ReaderとCost Management ReaderはCloudThinkerが必要とするサブスクリプションに割り当て、既定で管理グループレベルには割り当てないでください。

AWS接続

Amazon Web Servicesを接続

Oliverエージェント

Azureコンプライアンス向けセキュリティエージェント

組織

エージェント

自動化と自律性

接続

プラットフォーム設定

セキュリティ

請求

前提条件

セットアップ

Microsoft Customer Agreementの請求

接続の詳細

必要な権限

エージェントの機能

接続を確認する

プロンプト例

トラブルシューティング

セキュリティ

関連

AWS接続

Oliverエージェント

​前提条件

​セットアップ

​Microsoft Customer Agreementの請求

​接続の詳細

​必要な権限

​エージェントの機能

​接続を確認する

​プロンプト例

​トラブルシューティング

​セキュリティ

​関連

AWS接続

Oliverエージェント

前提条件

セットアップ

Microsoft Customer Agreementの請求

接続の詳細

必要な権限

エージェントの機能

接続を確認する

プロンプト例

トラブルシューティング

セキュリティ

関連