Azure Lighthouseとは？その仕組みや主要機能、設定方法について解説！

Azure Lighthouseは、複数の顧客テナントを一元管理できるMicrosoft Azureのマルチテナント管理サービスです。サービスプロバイダーと顧客の双方にセキュリティと運用効率の向上をもたらします。
本記事では、Azure Lighthouseの仕組み、主要機能、ARMテンプレートを使った設定手順、Microsoft Entra IDとの統合、ユースケースまでを解説します。

Azure Lighthouseとは

Azure Lighthouseは、Microsoft Azure上で、複数の顧客リソースを一元的に管理できるサービスです。これにより、企業が他のベンダー（例えば、ITサポート会社や管理サービスプロバイダー）にリソースの管理を任せる際、効率的かつ安全に委任できるようになります。

具体的には、顧客は自分のAzureリソースの管理権限を信頼できるベンダーに委任でき、ベンダー側は各顧客のAzure環境を1つのインターフェースで効率よく管理できるようになります。例えば、セキュリティ管理やアクセス制御の設定、リソースの監視などをベンダーに任せることで、顧客は本業に集中できるメリットがあります。

Azure Lighthouseの主なポイントは次の通りです。

• 一元管理
  複数の顧客やプロジェクトのリソースを、1つの画面で管理可能
  
  
• 権限の委任とアクセス制御
  顧客がベンダーに特定の権限を与え、リソースへのアクセス範囲を細かく設定できる
  
  
• 自動化と拡張性
  大規模な環境でのリソース管理を効率化し、業務を自動化
  
  
• セキュリティ強化
  顧客リソースに対するアクセス状況を監視でき、セキュリティを向上

Azure Lighthouseを利用すると、顧客側は必要な管理業務を専門のベンダーに委任しつつ、リソースの可視性と制御を維持できます。これにより、複雑なマルチテナント環境におけるクラウドリソース管理がさらに効率化され、安全かつスムーズな運用が実現します。

Azure Lighthouseの主要な機能

Azure Lighthouseは、複数の会社やプロジェクト（テナント）をまとめて管理するための便利なツールです。ここでは、その主要な機能を説明します。

Azure委任リソース管理

この機能のポイントは、他の会社（サービスプロバイダー）に自分のAzureリソースの管理を任せることができる点です。

• 専門家（サービスプロバイダー）が、あなたのAzureリソースに直接アクセスして管理
• あなたは、自分のリソースに対するコントロールを維持しながら、専門的なサポートが受けられる
• 管理が効率的になり、コストを削減することが可能

これにより、ベンダーは複数の顧客の環境を1つの場所で管理し、素早くサポートを提供できるようになります。

クロステナント可視性

この機能は、複数の顧客やプロジェクトにまたがるリソースを一度に確認できる仕組みです。

• 1つのダッシュボードで複数の顧客のリソース状態を一目で把握
• 問題が早く見つかり、迅速に対応できる
• リソースの使い方を分析し、より効率的に活用できる

この機能を使うことで、ベンダーは複数の顧客のリソースをまとめて監視し、問題が発生する前に対応できます。

ロールベースのアクセス制御（RBAC）

RBACは、誰がどのリソースにアクセスできるかを細かく管理する機能です。

• 顧客ごとに異なる権限（アクセスのレベル）を設定可能
• 必要な部分にだけアクセスを許可するので、安全に管理できる
• ユーザー、グループ、または特定のプログラムに権限を割り当てられる

これにより、セキュリティを保ちながら、管理の柔軟性を高めることができます。

自動化とカスタマイズ

Azure Lighthouseは、自動化とカスタマイズにも対応しています。

• 事前に作成されたテンプレートを使って、リソースの配置を自動化できる
• PowerShellやAzure CLIなどを使って、日々の作業を自動化可能
• カスタムスクリプトや独自のワークフローを組み込むこともできる

これにより、大きなプロジェクトでも効率よく管理でき、顧客ごとの特別なニーズに応じた対応が可能になります。

これらの機能を組み合わせることで、Azure Lighthouseは、複雑なマルチテナント環境でも効率的で安全なリソース管理を実現します。

Azure Lighthouseの仕組み

Azure Lighthouseは、複数のAzureコンポーネントとサービスを統合して、効率的なマルチテナント管理を実現しています。その仕組みを理解することで、より効果的な活用が可能になります。

Microsoft Entra IDとの統合

Microsoft Entra ID（旧Azure Active Directory）は、Microsoftが提供するIDとアクセス管理のサービスです。具体的には、ユーザーの身元を確認し、特定の人やグループが特定のリソースにアクセスできるよう管理する役割を果たします。例えば、ユーザーがAzureポータルにログインするときに身元を確認し、アクセスの可否を判断することができるため、企業全体のセキュリティを強化できます。

Microsoft Entra IDとの統合により、Azure Lighthouseはセキュリティを保ちながら、複数の企業にまたがる環境（マルチテナント環境）を一貫して安全に管理できるようになります。

• クロステナント認証
  Microsoft Entra IDが1つの認証基盤として機能し、複数の企業（テナント）をまたいでアクセス管理を実現
• プロバイダーのアカウント使用
  サービスを提供する会社（プロバイダー）が、自社のMicrosoft Entra IDアカウントで顧客のリソースにアクセス
• 条件付きアクセスポリシー
  特定の条件を満たした場合にのみアクセスを許可するルールを設定でき、アクセスをさらに安全に制限

このように、Microsoft Entra IDとの密接な連携により、セキュアで一貫性のある認証が可能になるため、複数企業のリソースをまとめて管理しやすくなります。

Azure Resource Managerテンプレートの活用

Azure Resource Manager（ARM）テンプレートは、Azureのリソースを管理・展開するためのJSON形式のファイルです。このテンプレートを使用することで、リソースの設定や管理を自動化し、一貫した構成を保つことができます。たとえば、リソースグループや仮想マシン、ストレージアカウントなど、Azure上で使うさまざまなリソースを、テンプレートに記述して一括でデプロイできます。

Azure Lighthouseの設定や導入でも、ARMテンプレートが使われます。

• 設定ファイル
  顧客に対するリソース管理の委任設定を、ARMテンプレートのJSONファイルに記載し、簡単に導入できる
  
  
• 詳細な設定
  テンプレート内で、リソースの種類やアクセス権限、管理範囲（スコープ）を細かく指定可能
  
  
• バージョン管理
  テンプレートのバージョンを管理でき、同じ設定を何度でも再利用できる

ARMテンプレートを活用することで、複数の顧客やプロジェクトの設定が一貫して行われ、導入プロセスが迅速化します。これにより、各顧客ごとのセットアップがシンプルになり、運用の効率も上がります。

オンボーディングプロセス

オンボーディングプロセスとは、新しいユーザーや顧客がサービスやシステムを利用できるようにする一連の手順のことです。Azure Lighthouseでは、顧客がプロバイダーによるリソース管理を受け入れ、安全にアクセス権を委任できるようにする過程がオンボーディングプロセスにあたります。オンボーディングを通じて、顧客は設定やアクセス権限を整え、スムーズにサービス提供が始められるようになります。

Azure Lighthouseにおけるオンボーディングプロセスは次の流れで行われます。

1. サービスプロバイダーが設定を準備
   サービスプロバイダーがAzure Resource Manager（ARM）テンプレートを作成し、リソース管理の設定を記載します。

2. 顧客がテンプレートをデプロイ
   プロバイダーから提供されたテンプレートを顧客が自分のAzure環境に導入します。

3. アクセスの付与
   テンプレートが正常にデプロイされると、指定された範囲と権限に基づいて、プロバイダーが顧客のリソースにアクセスできるようになります。

4. リソース管理の開始
   プロバイダーは自分の管理ポータルで、顧客のリソースを確認し管理できるようになります。

このプロセスによって、顧客は自分の環境の制御を維持しながら、プロバイダーに効率的にリソース管理を委任できるため、安全で円滑な運用が可能となります。

Azure Lighthouseの仕組みは、Microsoft Entra ID統合、ARMテンプレート、そして明確なオンボーディングプロセスを基盤としています。これにより、セキュアで透明性の高いマルチテナント管理環境が構築されます。サービスプロバイダーと顧客の両方にとって、効率的かつ安全なクラウドリソース管理の実現を支援します。

Azure Lighthouseと招待機能の違い

Azure上でのリソース管理には、Azure Lighthouseを使う方法と「招待機能」を使う方法の2つがあります。どちらもリソースに対するアクセス権を付与する手段ですが、それぞれに特徴があり、使用するシーンも異なります。このセクションでは、Azure Lighthouseと招待機能の違いについて詳しく説明します。

Azure Lighthouseの特徴

Azure Lighthouseは、複数の顧客にわたるリソースを一元的に管理できるツールです。複数のテナントに対して同じ管理方法を提供できるため、マネージドサービスプロバイダー（MSP）など、複数顧客のAzureリソースを管理する際に非常に便利です。

• 一元管理
  Azure Lighthouseを使えば、複数の顧客のリソースを1つのダッシュボードで管理できます。複数のAzure環境を横断して監視や操作が可能です。
  
  
• 細かなアクセス制御
  顧客ごとに異なる権限やアクセス範囲を設定できるため、管理するリソースのスコープや権限を柔軟にカスタマイズできます。
  
  
• 継続的なサポート
  サービスプロバイダーが顧客のAzure環境に常にアクセスできるよう設定できるため、長期的にリソースを管理する場面で有効です。

招待機能の特徴

招待機能は、特定のユーザーやゲストに直接アクセス権を付与する方法です。Microsoft Entra IDの「External ID（旧B2Bコラボレーション）」の一環として、特定のリソースに一時的または限定的にアクセスさせたい場合に役立ちます。

• 個別のアクセス権付与
  Microsoft Entra IDの招待機能を利用することで、外部のゲストユーザーや特定の人に簡単にアクセスを付与できます。
  
  
• 特定リソースへのアクセス
  アクセスできる範囲が限定的で、単一テナントまたは特定のリソースにアクセスを許可する場合に向いています。
  
  
• 簡易的なアクセス管理
  特定の作業やプロジェクトのために一時的なアクセスを付与したい場合に便利です。

適用シーンの違い

Azure Lighthouseと招待機能は、それぞれ異なる利用シーンで役立ちます。

• Azure Lighthouse
  マネージドサービスプロバイダーや大規模なエンタープライズ向けで、複数テナントや大量のリソースを一元管理する必要がある場合に適しています。たとえば、サービスプロバイダーが複数顧客のAzureリソースを継続的に管理したいときに最適です。

• 招待機能
  特定のユーザーに対して一時的または限定的にアクセスを許可したいときに便利です。例えば、外部パートナーや短期間のプロジェクトのために、特定のテナントのリソースへアクセス権を付与する場合などに適しています。

このように、Azure Lighthouseと招待機能はそれぞれ異なる特徴とメリットを持っているため、ニーズに応じて使い分けることが重要です。

---

Azure Lighthouseのユースケース

Azure Lighthouseは、さまざまな業界や規模の組織で利用される強力なツールで、特に複数の会社やプロジェクトにまたがるAzureリソースの管理に役立ちます。
ここでは、Azure Lighthouseが活用される主なユースケースと具体例を紹介します。

マネージドサービスプロバイダー（MSP）の効率化

Azure Lighthouseは、マネージドサービスプロバイダー（MSP）と呼ばれるITサービス提供会社にとって非常に便利です。MSPは複数の顧客のリソースを一元的に管理できるため、運用効率が大幅に向上します。

• 複数顧客の一元管理
  1つの画面からすべての顧客のリソースを確認し、管理できます。
  
  
• スケーラブルな運用
  新しい顧客をすばやく追加して、すぐに管理を開始できます。
  
  
• サービス品質の向上
  常にリソースを監視できるので、問題が発生する前に解決できます。

具体例：

• ITサポート企業が、たくさんの中小企業のAzureリソースを一括管理して、効率的にサービスを提供
• セキュリティ会社が、複数の顧客のAzure環境を監視し、セキュリティ上の脅威にすぐに対応

エンタープライズ環境での複数テナント管理

大規模企業や多国籍企業では、部門や子会社ごとに複数のAzureリソースを利用していることが多く、Azure Lighthouseが役立ちます。企業全体でリソースを統一して管理できるので、運用が効率的になり、セキュリティやコンプライアンスも強化できます。

• 部門間の統合管理
  異なる部門や子会社のAzureリソースを、中央のIT部門でまとめて管理
  
  
• グローバル運用の最適化
  世界各地にあるリソースを効率的に監視・管理
  
  
• ガバナンスの強化
  全社で同じポリシーや規則を適用し、コンプライアンスを徹底

具体例：

• 多国籍製造企業が、世界中の各拠点のAzureリソースを本社のITチームで一括管理
• 金融機関が、複数の事業部門のクラウドリソースを統一的に管理し、各国の規制に従う

セキュリティとコンプライアンスの強化

Azure Lighthouseは、セキュリティやコンプライアンス（規則順守）の面でも役立ちます。複数の環境にわたるリソースを安全に管理し、必要な規制を守るための機能が備わっています。

• 集中したセキュリティ監視
  複数の顧客やプロジェクトのセキュリティをまとめて監視し、脅威を早期に発見
  
  
• コンプライアンス管理の効率化
  法律や規制に応じて、一貫したルールを適用
  
  
• インシデント対応の迅速化
  複数の環境で発生するセキュリティインシデントに即座に対応

具体例：

• セキュリティ専門企業が、複数の顧客のリソースを定期的に監査してリスクを評価
• 規制が厳しい業界の企業が、複数の事業部門や地域にまたがるコンプライアンス状況をまとめて管理

これらのユースケースにより、Azure Lighthouseは、MSPの運用効率化、大企業のリソース管理、セキュリティとコンプライアンスの強化など、多様なシナリオで役立つことがわかります。組織は、業界や運用に合わせてAzure Lighthouseを利用することで、より効果的で安全なクラウドリソース管理を実現できます。

Azure Lighthouseの設定手順

Azure Lighthouseの効果的な活用には、適切な設定と継続的な管理が不可欠です。ここでは、Azure Lighthouseの設定手順、サービスプロバイダーオファーの作成、および顧客側でのアクセス管理について説明します。

委任される側（ベンダー側）の作業

まずは、Azure Lighthouseを有効にしてもらうためのARMテンプレートを作成する必要があります。

1. Azure Portalより、検索に「Azure Lighthouse」と入力し、開きます。

2. Azure Lighthouseの画面より「顧客の管理」を選択
   
   顧客の管理を開く

3. 次に「ARMテンプレートを作成」を選択
   
   ARMテンプレートの作成を開く

4. まず最初に出てくる以下の画面ではサブスクリプション全体で委任してもらうのか、特定のリソースグループを委任してもらうのかを選択
   そして「認可の追加」へ
   
   全体の設定

5. 認可の追加画面では、誰にどんな権限を与えるかを設定し追加する
   
   認可の追加

6. テンプレートの表示へ

7.テンプレートの表示よりテンプレートを「ダウンロード」

テンプレートの表示よりダウンロード

これでベンダー側の作業は以上です。
ダウンロードしたテンプレートを顧客に渡しカスタムデプロイしてもらうことで委任してもらうことができます。

委任する側（顧客側）の作業

先ほど作成したARMテンプレートを受け取り、デプロイすることで委任します。実際の流れは以下の通りです。

1. Azure Portalより、「カスタムテンプレートのデプロイ」を検索し、開く

2. 「エディターで独自のテンプレートを作成する」を選択
   
   エディターで独自のテンプレートを作成する

3.　テンプレートの読み込みより、受け取ったARMテンプレートを選択し、開く

4. 「確認と作成」よりデプロイする

委任後の管理

以上の手順による構成後、どの画面より管理を行うのか簡単に説明をしておきます。

• 委任してもらう側
  「顧客の管理」より「顧客」や「委任」の画面から、どのサブスクリプションやリソースグループがどう委任されているかを確認できます。
  

• 委任する側
  「サービスプロバイダープランの表示」より「サービスプロバイダーのオファー」や「委任」の画面から、サブスクリプションやリソースグループがどう委任しているかを確認できます。
  

Azure Lighthouseのセキュリティと透明性

Azure Lighthouseは、クラウド上で複数の企業（マルチテナント）が一緒に使う環境でも、安全に管理できる機能を提供するサービスです。この仕組みを使えば、サービスを提供する側も利用する側も、安心してリソースを管理できます。Azure Lighthouseのセキュリティや透明性を支えるポイントを説明します。

きめ細かなアクセス管理

Azure Lighthouseでは、誰が何をできるかを細かく設定でき、必要以上の権限を渡すリスクを防ぎます。

• ロールベースのアクセス制御（RBAC）
  どのリソースにアクセスできるか、あらかじめ役割（ロール）ごとに設定します。「閲覧のみ」「設定変更可能」などの権限を組み合わせて設定できます。
  
  
• スコープベースの委任
  リソースごとにアクセス範囲を指定可能です。会社全体のデータにアクセスさせず、一部だけを公開するなどの対応ができます。
  
  
• 一時的なアクセス
  必要なときだけ、一定期間だけの権限を付与することもできます。

アクションを記録して見える化

誰が何をしたかを把握するため、Azure Lighthouseはすべての操作を記録し、透明性を保ちます。

• 詳細な活動ログ
  サービス提供側が行ったアクションがすべて記録されるので、万が一の時でも確認が可能です。
  
  
• クロステナントログ分析
  複数の会社や部署のログを横断して分析でき、全体の状況を一目で把握できます。
  
  
• カスタムダッシュボード
  監視が必要な指標やアクティビティを一目で見られるダッシュボードをカスタマイズ可能です。

必要な時だけ高い権限を使える「ジャストインタイムアクセス」

Azure Lighthouseには「ジャストインタイムアクセス」という便利な機能があり、必要な時にだけ一時的に権限を引き上げる仕組みがあります。

• 必要時に昇格
  普段は最低限の権限で操作し、必要時にだけ高い権限を使えるようになります。
  
  
• 時間制限付きアクセス
  アクセスに有効期限をつけ、必要な間だけの特別なアクセスを提供できます。
  
  
• 承認プロセス
  高い権限が必要な場合、承認を経てから使用可能にすることで安全性を確保できます。

これらの機能によって、Azure Lighthouseは企業間で共有するリソースを安全かつ効率的に管理できるように設計されています。

Azure Lighthouseの統合と拡張性

Azure Lighthouseは、他のAzureサービスやツールとの優れた統合性と拡張性を提供し、包括的なクラウド管理ソリューションの構築を可能にします。この節では、Azure Lighthouseの主要な統合ポイントと拡張性について説明します。

Azure Marketplaceとの連携

Azure Lighthouseは Azure Marketplaceと緊密に連携し、サービスプロバイダーのオファリングを効果的に展開します。

• マネージドサービスオファーの公開
  標準化されたサービス定義をAzure Marketplaceで提供
  
  
• 顧客獲得の促進
  Azure Marketplaceを通じた新規顧客へのリーチ拡大
  
  
• 自動化されたオンボーディング
  マーケットプレースを通じた効率的な顧客オンボーディングプロセス

この連携により、サービスプロバイダーは自社のサービスを効果的に市場に投入し、顧客はニーズに合ったサービスを容易に見つけ出すことができます。

Azure Policy、Microsoft Defender for Cloudとの統合

Azure Lighthouseは、Azure PolicyやMicrosoft Defender for Cloudと統合することで、強力なガバナンスとセキュリティ管理を実現します。

• クロステナントポリシー管理
  複数の顧客環境に一貫したポリシーを適用
  
  
• セキュリティ評価の集中管理
  Defender for Cloudを通じた複数テナントのセキュリティ状況の統合的な把握
  
  
• コンプライアンス管理の効率化
  業界標準や規制要件への準拠状況を一元的に管理

これらの統合により、マルチテナント環境全体でのセキュリティとコンプライアンスの維持が容易になります。

カスタムソリューションの開発

Azure Lighthouseは、カスタムソリューションの開発を通じて機能を拡張する柔軟性を提供します。

• API統合
  RESTful APIを利用した独自の管理ツールやダッシュボードの開発
  
  
• 自動化スクリプトの作成
  PowerShellやAzure CLIを使用した運用タスクの自動化
  
  
• カスタムレポーティング
  複数テナントのデータを統合した独自のレポート生成

これらの拡張性により、組織固有のニーズに合わせたソリューションを構築し、Azure Lighthouseの価値をさらに高めることができます。

Azure Lighthouseの統合と拡張性は、包括的なクラウド管理環境の構築を可能にします。Azure Marketplace、Azure Policy、Microsoft Defender for Cloudとの統合、そしてカスタム開発の柔軟性により、組織は自社のニーズに最適化されたマルチテナント管理ソリューションを実現できます。これらの機能を効果的に活用することで、クラウドリソース管理の効率性、セキュリティ、そして価値創出を大幅に向上させることができます。

マルチテナント管理の知見をAI業務自動化にも活かすなら

Azure Lighthouseで複数テナントのリソースを一元管理してきた経験は、組織横断のAI業務自動化プロジェクトにも応用できます。AI業務自動化ガイドでは、マルチテナント環境での運用ノウハウを活かしたAI導入の進め方を220ページにわたって解説しています。

まとめ

本記事では、Azure Lighthouseの仕組みから設定手順、活用シナリオまでを解説しました。

• 複数テナントの一元管理によるMSP運用の効率化
  Azure Lighthouseは、マネージドサービスプロバイダーが複数顧客のAzureリソースを1つのダッシュボードで管理できる環境を提供します。顧客の追加もARMテンプレートで自動化でき、運用のスケーラビリティが高まります。
  
  
• Microsoft Entra IDとRBACによるセキュリティの確保
  クロステナント認証、スコープベースの委任、ジャストインタイムアクセスにより、必要最小限の権限で安全にリソースを管理できます。すべての操作は活動ログに記録され、透明性も担保されます。
  
  
• Azure PolicyやDefender for Cloudとの統合によるガバナンス強化
  複数テナントに一貫したポリシーを適用し、セキュリティ評価やコンプライアンス管理を一元化できます。Azure Marketplaceとの連携により、サービスの公開と顧客獲得も効率化されます。

まずはAzure Portalで「Azure Lighthouse」を検索し、ARMテンプレートの作成画面から委任設定の構成を確認してみてください。既存の管理対象テナントがある場合は、1テナントで試験的に導入し、運用フローを検証することを推奨します。