• AWS Systems Manager CloudWatch ダッシュボードは、2026 年 4 月 30 日以降は利用できなくなります。お客様は、これまでと同様に Amazon CloudWatch コンソールを使用して、Amazon CloudWatch ダッシュボードの表示、作成、管理を継続できます。詳細については、「[Amazon CloudWatch ダッシュボードのドキュメント](https://docs.aws.amazon.com/AmazonCloudWatch/latest/monitoring/CloudWatch_Dashboards.html)」を参照してください。

# Azure の前提条件
<a name="cloud-connector-prereqs-azure"></a>

Azure 環境で以下のステップを実行します。AWS 前提条件から次の値が必要です。
+ **発行者 URL** — 前のセクションの AWS OIDC 発行者 URL。
+ **サブジェクト** — Systems Manager Azure フェデレーションロールの ARN。例: `arn:aws:iam::{{ACCOUNT_ID}}:role/service-role/SSM-AzureRole-{{connector-name}}-{{id8}}`

**フェデレーションの Azure 側を設定するには**

1. 

**Azure Entra ID アプリケーションを作成する**

   Microsoft Entra ID (旧 Azure Active Directory) でアプリケーション登録を作成します。出力の*アプリケーション (クライアント) ID* を書き留めます。

   ```
   az ad app create --display-name "{{AWSSSMAzureIntegration}}" --query appId
   ```

1. 

**アプリケーションのサービスプリンシパルを作成する**

   アプリケーションに関連付けられたサービスプリンシパルを作成します。出力のサービスプリンシパル *ID* を書き留めます。

   ```
   az ad sp create --id {{APPLICATION_ID}}
   ```

1. 

**フェデレーティッド ID 認証情報を追加する**

   AWS OIDC 発行者を信頼するアプリケーションにフェデレーティッド ID 認証情報を追加します。これにより、Azure は Systems Manager Azure フェデレーションロールに代わって AWS によって発行されたトークンを受け入れることができます (「[Azure フェデレーションロール](cloud-connector-azure-federation-role.md)」を参照)。

   ```
   az ad app federated-credential create \
       --id {{APPLICATION_ID}} \
       --parameters "{
           \"name\": \"aws-ssm-federation\",
           \"issuer\": \"{{AWS_OIDC_ISSUER_URL}}\",
           \"subject\": \"arn:aws:iam::{{ACCOUNT_ID}}:role/service-role/SSM-AzureRole-{{CONNECTOR_NAME}}-{{ID8}}\",
           \"audiences\": [\"api://AzureADTokenExchange\"]
       }"
   ```

   置き換え前:
   + {{APPLICATION\_ID}} — ステップ 1 のアプリケーション (クライアント) ID。
   + {{AWS\_OIDC\_ISSUER\_URL}} — AWS OIDC 発行者 URL (例: `https://a1667813-695b-5415-b0f7-d473d62bb123.tokens.sts.global.api.aws`)。
   + {{ACCOUNT\_ID}} — お客様のAWS アカウント ID。
   + {{CONNECTOR\_NAME}} — Cloud Connector のサニタイズされた表示名。
   + {{ID8}} — Azure フェデレーションロールに割り当てられた UUID の最初の 8 文字。これは、AWS マネジメントコンソール で Cloud Connector を作成した後、ロール名で確認できます。または、ロールを手動で作成するときに指定します (「[Azure フェデレーションロール](cloud-connector-azure-federation-role.md)」を参照)。

1. 

**VM Run Command カスタムロールを作成する**

   Systems Manager が Azure VM でコマンドを実行するために必要な最小限のアクセス許可を付与するカスタムロールを作成します。{{SUBSCRIPTION\_ID}} を、管理する Azure サブスクリプション ID に置き換えます。

   ```
   az role definition create --role-definition '{
       "Name": "AWSSSMVMExtensionRole-{{SUBSCRIPTION_ID}}",
       "Description": "Allows AWS Systems Manager to run commands on Azure VMs",
       "Actions": [
           "Microsoft.Compute/virtualMachines/read",
           "Microsoft.Compute/virtualMachines/runCommand/action",
           "Microsoft.Compute/virtualMachines/runCommands/*"
       ],
       "AssignableScopes": [
           "/subscriptions/{{SUBSCRIPTION_ID}}"
       ]
   }'
   ```

   テナントレベルのスコープ (テナント内のすべてのサブスクリプション) の場合は、代わりに管理グループスコープを使用します。

   ```
   az role definition create --role-definition '{
       "Name": "AWSSSMVMExtensionRole-{{TENANT_ID}}",
       "Description": "Allows AWS Systems Manager to run commands on Azure VMs",
       "Actions": [
           "Microsoft.Compute/virtualMachines/read",
           "Microsoft.Compute/virtualMachines/runCommand/action",
           "Microsoft.Compute/virtualMachines/runCommands/*"
       ],
       "AssignableScopes": [
           "/providers/Microsoft.Management/managementGroups/{{TENANT_ID}}"
       ]
   }'
   ```

   ロールが作成されたことを確認するには:

   ```
   az role definition list --name "AWSSSMVMExtensionRole-{{SUBSCRIPTION_ID}}" --output table
   ```

1. 

**VM Run Command ロールをサービスプリンシパルに割り当てる**

   ステップ 2 で作成したサービスプリンシパルにカスタムロールを割り当てます。スコープによって、Systems Manager が管理できる Azure リソースが決まります。

   サブスクリプションレベルのスコープ (サブスクリプションごとに繰り返す):

   ```
   az role assignment create \
       --assignee {{SERVICE_PRINCIPAL_ID}} \
       --role "AWSSSMVMExtensionRole-{{SUBSCRIPTION_ID}}" \
       --scope "/subscriptions/{{SUBSCRIPTION_ID}}"
   ```

   管理グループレベルのスコープの場合:

   ```
   az role assignment create \
       --assignee {{SERVICE_PRINCIPAL_ID}} \
       --role "AWSSSMVMExtensionRole-{{TENANT_ID}}" \
       --scope "/providers/Microsoft.Management/managementGroups/{{TENANT_ID}}"
   ```

1. 

**AWS Config 用の Azure Entra ID アプリケーションを作成する**

   Azure リソースの状態を記録するときに使用するために、AWS Config 用のアプリケーション登録を別途作成します。出力の*アプリケーション (クライアント) ID* を書き留めます。

   ```
   az ad app create \
       --display-name "AWSConfigAzureIntegration-{{ACCOUNT_ID}}-{{TENANT_ID_PREFIX}}" \
       --query appId
   ```

   AWS Config アプリケーション用にサービスプリンシパルを作成する:

   ```
   az ad sp create --id {{CONFIG_APPLICATION_ID}}
   ```

1. 

**AWS Config 用のフェデレーティッド ID 認証情報を追加する**

   AWS Config アプリケーションにフェデレーティッド ID 認証情報を追加します。サブジェクトは、AWS Config サービスリンクロール ARN です (後のステップで Config コネクタを作成すると自動的に作成されます）。

   ```
   az ad app federated-credential create \
       --id {{CONFIG_APPLICATION_ID}} \
       --parameters "{
           \"name\": \"aws-config-federation\",
           \"issuer\": \"{{AWS_OIDC_ISSUER_URL}}\",
           \"subject\": \"arn:aws:iam::{{ACCOUNT_ID}}:role/aws-service-role/thirdparty.config.amazonaws.com/AWSServiceRoleForConfigThirdParty\",
           \"audiences\": [\"api://AzureADTokenExchange\"]
       }"
   ```

1. 

**リーダーロールを AWS Config サービスプリンシパルに割り当てる**

   Azure 組み込みリーダーロールをテナント (管理グループ) レベルで AWS Config サービスプリンシパルに割り当てます。これにより AWS Config が Azure リソースを検出できるようになります。

   ```
   az role assignment create \
       --assignee {{CONFIG_SERVICE_PRINCIPAL_ID}} \
       --role "acdd72a7-3385-48ef-bd42-f606fba81ae7" \
       --scope "/providers/Microsoft.Management/managementGroups/{{TENANT_ID}}"
   ```

1. 

**Azure アクティビティログストリーミング用の Event Hub を作成する**

   AWS Config は Azure Event Hub を使用して、リソースの変更を示すアクティビティログイベントを受信します。Azure サブスクリプションのいずれかで Event Hub 名前空間、ハブ、コンシューマーグループを作成します。

   ```
   # Create a resource group for the Event Hub
   az group create \
       --subscription "{{HOSTING_SUBSCRIPTION_ID}}" \
       --name "AWSConfigAzureResources" \
       --location eastus
   
   # Create an Event Hub namespace with a discovery tag
   az eventhubs namespace create \
       --subscription "{{HOSTING_SUBSCRIPTION_ID}}" \
       --resource-group "AWSConfigAzureResources" \
       --name "{{EVENT_HUB_NAMESPACE}}" \
       --location eastus \
       --sku Standard \
       --tags "AWSConfig-{{ACCOUNT_ID}}-{{AWS_REGION}}=activitylog"
   
   # Create the Event Hub
   az eventhubs eventhub create \
       --subscription "{{HOSTING_SUBSCRIPTION_ID}}" \
       --resource-group "AWSConfigAzureResources" \
       --namespace-name "{{EVENT_HUB_NAMESPACE}}" \
       --name "activitylog" \
       --partition-count 4
   
   # Create the consumer group for AWS Config
   az eventhubs eventhub consumer-group create \
       --subscription "{{HOSTING_SUBSCRIPTION_ID}}" \
       --resource-group "AWSConfigAzureResources" \
       --namespace-name "{{EVENT_HUB_NAMESPACE}}" \
       --eventhub-name "activitylog" \
       --name "AWSConfig"
   ```

   {{EVENT\_HUB\_NAMESPACE}} をグローバル一意の名前 (`awsconfig-{{ACCOUNT_ID}}-{{REGION}}` など) に置き換え、{{HOSTING\_SUBSCRIPTION\_ID}} を Event Hub リソースをホストする Azure サブスクリプションに置き換えます。

1. 

**Event Hub データレシーバーロールを AWS Config サービスプリンシパルに割り当てる**

   AWS Config サービスプリンシパルによる Event Hub からの読み取りを許可します:

   ```
   EVENT_HUB_ID=$(az eventhubs eventhub show \
       --subscription "{{HOSTING_SUBSCRIPTION_ID}}" \
       --resource-group "AWSConfigAzureResources" \
       --namespace-name "{{EVENT_HUB_NAMESPACE}}" \
       --name "activitylog" \
       --query id \
       -o tsv)
   
   az role assignment create \
       --assignee {{CONFIG_SERVICE_PRINCIPAL_ID}} \
       --role "a638d3c7-ab3a-418d-83e6-5f17a39d4fde" \
       --scope "$EVENT_HUB_ID"
   ```

1. 

**Event Hub へのアクティビティログのエクスポートを設定する**

   AWS Config にモニタリングさせる Azure サブスクリプションごとに、アクティビティログイベントを Event Hub にエクスポートする診断設定を作成します。

   ```
   az provider register \
       --namespace Microsoft.Insights \
       --subscription "{{SUBSCRIPTION_ID}}"
   
   az rest --method PUT \
       --url "https://management.azure.com/subscriptions/{{SUBSCRIPTION_ID}}/providers/Microsoft.Insights/diagnosticSettings/{{EVENT_HUB_NAMESPACE}}?api-version=2021-05-01-preview" \
       --body "{
           \"properties\": {
               \"eventHubAuthorizationRuleId\": \"/subscriptions/{{HOSTING_SUBSCRIPTION_ID}}/resourceGroups/AWSConfigAzureResources/providers/Microsoft.EventHub/namespaces/{{EVENT_HUB_NAMESPACE}}/authorizationRules/RootManageSharedAccessKey\",
               \"eventHubName\": \"activitylog\",
               \"logs\": [{\"category\": \"Administrative\", \"enabled\": true}]
           }
       }"
   ```

   モニタリングするサブスクリプションごとにこのステップを繰り返します。

Azure のセットアップが完了したら、次の値を書き留めます。Cloud Connector を作成するときに必要になります。
+ **テナント ID** — Azure AD ディレクトリ (テナント) ID。
+ **SSM アプリケーション (クライアント) ID** — Systems Manager Azure AD アプリのアプリケーション ID (ステップ 1)。
+ **Config アプリケーション (クライアント) ID** — AWS Config Azure AD アプリのアプリケーション ID (ステップ 6)。
+ **サブスクリプション ID** — 管理する Azure サブスクリプション。
+ **Event Hub 名前空間ホスト名** — Event Hub 名前空間の完全修飾ホスト名 (例: `{{EVENT_HUB_NAMESPACE}}.servicebus.windows.net`)。