User Cost Attribution (UCA) の Azure リソースとアクセス許可

Avatar
Nerdio Product Support

User Cost Attribution (UCA) を有効にすると、Nerdio Managerはコスト データを収集、格納、レポートするために、テナント内に少数の Azure リソースをデプロイします。この記事では、各リソースの機能、リソース同士およびNerdio Managerとの連携方法、ならびにそれらに必要な役割とアクセス ポリシーについて説明します。環境に何がデプロイされているかを理解し、セキュリティ チームと権限を確認するために使用してください。

これらのリソースをデプロイするための前提条件と手順については、「User Cost Attribution の概要」および「User Cost Attribution を有効にする」を参照してください。

Azure リソース

User Cost Attribution (UCA) を有効にすると、App Service、ストレージアカウント、および Key Vault がデプロイされます。次の表では、各リソースの機能と連携先について説明します。

リソース

その機能

～と連携します

App Service

データ取得、レポートの読み取りと書き込み、自己診断、その他の運用タスクを含む、すべての User Cost Attribution コードと機能をホストします。

すべての機能はREST APIを通じて制御されます。すべてのAPIリクエストは、関連付けられたKey Vaultに格納されているAPIキーで認証される必要があります。

  • Azure API:Azureからコストデータ、ユーザーセッションデータ、およびその他のリソース情報を取得します。

  • ストレージアカウント未加工のレポートデータ（コストなど）、主要なレポート、運用ログ、およびその他の情報（構成データや通貨情報など）を読み書きします。

  • Key VaultNerdio ManagerApp Serviceとのやり取りを認証する格納済みのAPIキーと、Power BI操作を認証する格納済みのセカンダリAPIキーを読み取ります。

  • App ServiceNerdio Managerコンソールでレポートデータの表示やレポート作成などの機能を提供するために、アクティブに連携します。すべてのリクエストは、関連付けられたAPIキーで認証されます。

  • Power BI コネクタ（オプション）:オプションのPower BI コネクタを参照してください。

ストレージアカウント

User Cost Attribution が動作するために必要なすべてのデータを格納します。これには、すべての未加工レポートデータ（コスト、セッション、リソースなど）、計算済みレポートファイル、および構成データや通貨情報などのその他の項目が含まれます。

  • User Cost Attribution App Service:上記のとおりです。

  • App ServiceUser Cost Attribution App Service が生成する共有アクセス署名（SAS）トークンを使用して、必要なレポートデータを直接取得し、Nerdio Managerコンソールに表示します。

Key Vault

User Cost Attribution が動作するために必要な API キーとアプリケーション シークレットを格納します。User Cost Attribution App Service と Nerdio Manager App Service の両方が、格納されている API キーを読み取って、それらの間の通信を認証します。

  • User Cost Attribution App Service:シークレットの Get および Set アクセス許可を使用して、API キーを特定および表示します。

  • App Serviceシークレットの Get および Set アクセス許可を使用して、API キーを特定および表示します。また、User Cost Attribution リソースが展開されるときに、API キーを作成して格納します。

オプションの Power BI コネクタ

オプションの Power BI コネクタを使用すると、User Cost Attribution レポートを Power BI にインポートできます。インポートはセカンダリ API キーで認証されます。このキーは、特定の Power BI 機能のみを許可できます。User Cost Attribution App Service は、インポートの仲介役として機能します。Power BI コネクタがストレージアカウントに直接アクセスすることはありません。詳細については、「User Cost Attribution で Power BI を使用してレポートを統合します」を参照してください。

アーキテクチャ

次の図は、User Cost Attribution リソース、Azure データ ソース、Nerdio Manager、およびオプションの Power BI コネクタとゲートウェイがどのように連携するかを示しています。Key Vault、アプリ登録、および認証プロセスは表示されていません。

アーキテクチャ図。Azure データ ソース (Log Analytics ワークスペース、Cost Explorer、使用状況データ、およびデスクトップ仮想化データ) が User Cost Attribution App Service に供給され、そこでレポートが作成され、ストレージアカウント内のレポートファイルの読み取りと書き込みが行われます。App Service は、Nerdio Manager コンソールのコスト属性ページと連携します。オプションのカスタム Power BI コネクタは、レポート ファイルを App Service からローカル コンピューター上の Power BI デスクトップに移動します。レポートは Power BI ワークスペースに発行し、オンプレミス データ ゲートウェイ経由で更新し、Excel ファイルに接続できます。

権限

初期セットアップ

User Cost Attribution を有効にするユーザーは、Microsoft Entra ID で次のテナント レベルの役割のいずれかを保持している必要があります。グローバル管理者、クラウド アプリケーション管理者、または アプリケーション管理者。これは 1 回限りの要件であり、アプリ登録を作成するためにのみ必要です。サブスクリプションレベルの役割を含む前提条件の完全なリストについては、User Cost Attribution の概要を参照してください。

役割の割り当て

User Cost Attribution では、レポートおよび機能を完了するために、以下の役割の割り当てが必要です。これらは常にそのまま維持してください。これらは、User Cost Attribution 用に作成されたアプリ登録のサービスプリンシパルに割り当てられます。

スコープ

ロール

サブスクリプション

コスト管理リーダー

サブスクリプション

デスクトップ仮想化リーダー

サブスクリプション

Log Analytics リーダー

サブスクリプション

モニタリングリーダー

User Cost Attribution 用に作成されたストレージアカウント

ストレージBlobデータ共同作成者

Key Vault のアクセス ポリシー

Key Vault には、以下のアクセス ポリシーが必要です。

権限

プリンシパル

シークレットのアクセス許可:取得、設定

ユーザーコスト配分 App Service のマネージド ID

シークレットのアクセス許可:取得、設定

Automation アカウントのマネージド ID

助けが必要ですか？

サポートチケットを提出してくださいこの項目について。

この記事は役に立ちましたか？

0人中0人がこの記事が役に立ったと言っています
他にご質問がございましたら、リクエストを送信してください

コメント (0件のコメント)

記事コメントは受け付けていません。