--- sourceDocument: Xanadu IT Operations Management sourceDocumentLink: https://servicenow-prod.fluidtopics.net/r/ja-JP/xanadu/it-operations-management Release : - xanadu ft:locale : - ja-JP ft:publication_title : - Xanadu IT Operations Management ft:clusterId : - itom bundleId : - itom workflow : - Technology --- # ドメインアドミンの考慮事項 # ドメインアドミンの考慮事項 {#ariaid-title1} * リリースバージョン: Xanadu * * 更新日 2024年08月01日 * * ![](https://www.servicenow.com/docs/portal-asset/ico-clock) 所要時間：12分 顧客のドメインセパレーションを構成する前に、次の考慮事項を検証してから クラウドプロビジョニングとガバナンス アプリケーションで管理している各ドメインのクラウドリソースをプロビジョニングしたことを確認してください。 ## 概要 {#domain-admin-workflow__section_hxm_jsp_ckb} 次のセクションでは、サービスプロバイダーが管理する会社に対してドメインアドミニストレーターが実行するアクティビティを一覧表示します。クラウド管理ポータルを使用して、サービスアカウントとクラウドアカウントを設定します。ユーザーがプロビジョニングしたりライフサイクル運用を実行する前に、クラウドリソース用に設定可能な事前プロビジョニング操作を作成します。 強力なユニバーサルプロセス標準、データ主導型のプロセス設計、厳格なガバナンス、および集中管理により、単一インスタンス内の クラウドプロビジョニングとガバナンス でのドメインセパレーションのこれらのメリットを最大限に活用できます。ドメイン admin ロールは、サービスプロバイダーの組織内のユーザーに厳密に制限され、顧客の組織のクラウドアドミンユーザーにはアサインされません。この制限により、SP は、顧客が他のドメインのデータにフルアクセスしないようにできます。データは複数のクライアント間で共有されるため、ドメインアドミンはデータ漏洩につながる可能性のあるアクセス許可を公開したり提供したりしないでください。 ## クラウドリソースのプロビジョニング {#domain-admin-workflow__section_qfq_mg3_ckb} * 関連するサービスアカウントを各ドメインのクラウドアカウントにマップしていることを確認します。たとえば、Azure クラウドからプライマリサブスクリプションを検出すると、1 つ以上の子サービスアカウントが作成され、それらは同じドメインに作成されます。つまり、Azure クラウドのマスターサブスクリプション内のすべてのサービスアカウントは、単一の会社とドメインだけに属している必要があります。 root_admin または cloud_admin ロールを持つユーザーでログインし、クラウドおよびサービスアカウントの設定や、任意ドメインの検出を実行しします。ディスカバリーまたはクラウドアカウントとサービスアカウントの作成とマッピングなどのアクションを実行する場合は、ドメインピッカーを使用します。 注: * クラウドプロビジョニングとガバナンス では、ドメインスコープの展開と折りたたみの機能はサポートされていません。 * ユーザーがアクセスできるものとアクセスできないものの詳細については、「[ドメインスコープ](https://www.servicenow.com/docs/access?context=c_DomainScope&version=xanadu&pubname=xanadu-platform-security&ft:locale=en-US)」を参照してください。 {#domain-admin-workflow__ul_z3c_pcg_lkb} サービスアカウントは、プロバイダーアカウントの認証情報とアクセス情報を保存するインスタンスの安全なレコードです。ディスカバリーはこの情報を使用してプロバイダーアカウントにアクセスし、指定された各データセンターでリソースごとにデータを取得します。クラウドアカウントは、管理対象のクラウドインフラストラクチャのすべてまたは一部の クラウドプロビジョニングとガバナンス における論理的な表現です。クラウドアカウントには、複数のサービスアカウント (異なるプロバイダーのサービスアカウントを含む) を含めることができます。サービスアカウントごとに、クラウドアカウントに含めるデータセンターを指定します。 管理キーとサービスアカウント認証情報が各ドメインに固有で、共有されていないことを確認します。複数のクラウドプロバイダーに対してクラウドアカウントとサービスアカウントをセットアップするには、1 日目のセットアップアクションを実行します。 * [での Amazon Web Services の 1 日目のセットアップガイド クラウドプロビジョニングとガバナンス](https://servicenow-prod.fluidtopics.net/df8ptib41JNucnWkWNHv4w "クラウドプロビジョニングとガバナンス を初めて設定する場合、この「1 日目」のセットアップガイドの手順を実行します。手順は順番に実行してください。1 日目のセットアップを実行した後、必要に応じて、任意の順序でオプションの 2 日目のセットアップおよび構成手順を実行できます。各手順の詳細な説明については、この概要に従ってください。") * [Azure の 1 日目のセットアップガイド: クラウドプロビジョニングとガバナンス](https://servicenow-prod.fluidtopics.net/L3nZIsFNB4GXIm~Z4lE86A "クラウドプロビジョニングとガバナンス を初めて設定する場合、この「1 日目」のセットアップガイドの手順を実行します。手順は順番に実行してください。1 日目のセットアップを実行した後、必要に応じて、任意の順序でオプションの 2 日目のセットアップおよび構成手順を実行できます。各手順の詳細な説明については、この概要に従ってください。") * [Google Cloud Connector の 1 日目のセットアップガイド: クラウドプロビジョニングとガバナンス](https://servicenow-prod.fluidtopics.net/XPdBWGT91~Gz2wsqsrHYlA "ServiceNow Google Cloud Connector アプリケーションを初めて設定する場合、この「1 日目」のセットアップガイドの手順を実行します。手順は順番に実行してください。1 日目のセットアップを実行した後、必要に応じて、任意の順序でオプションの 2 日目のセットアップおよび構成手順を実行できます。各手順の詳細な説明については、この概要に従ってください。") * [VMware での 1 日目のセットアップガイド クラウドプロビジョニングとガバナンス](https://servicenow-prod.fluidtopics.net/bPLAX3N7RvHCiCbZEbZAxg "クラウドプロビジョニングとガバナンス を初めて設定する場合、この「1 日目」のセットアップガイドの手順を実行します。手順は順番に実行してください。1 日目のセットアップを実行した後、必要に応じて、任意の順序でオプションの 2 日目のセットアップおよび構成手順を実行できます。各手順の詳細な説明については、この概要に従ってください。") {#domain-admin-workflow__ul_obq_kbp_ckb} * [クラウド API (CAPI)](https://servicenow-prod.fluidtopics.net/r_f1ncIWbTc_u~YsHLnrcA "クラウド API (CAPI) を使用すると、REST API を使用して クラウドプロビジョニングとガバナンス をクラウドプロバイダとデータ連携できます。") および[クラウドスクリプトとクラウドスクリプトテンプレート](https://servicenow-prod.fluidtopics.net/Z15iR3DUoQbWAwx824kvZg "クラウドプロビジョニングとガバナンス アプリケーションでは、スクリプトの実行はクラウドスクリプトとクラウドスクリプトテンプレートに分割されます。スクリプトは詳細計画、理想ブロック、OS プロファイルで使用し、ポリシースクリプトを使用して要求フォーム属性を設定します。ポリシースクリプトがユーザーデータをオーバーライドすることはできません。") ドメインセパレーションは クラウドプロビジョニングとガバナンス でサポートされるため、CAPI はドメインセパレーションされていません。CAPI はグローバルドメインでセットアップされてリーフドメイン間で共有されるため、ハードコードされた機密情報 (アカウントの詳細、認証情報、名前など) がスクリプトに (コメントや注釈の中にも) 含まれないようにします。 CAPI を使用すると、REST API を使用してクラウドプロバイダーと クラウドプロビジョニングとガバナンス をデータ連携できます。クラウドスクリプトは、プラットフォーム機能を使用するシンプルな Java スクリプトです。クラウドプロビジョニングとガバナンス アプリケーションでは、スクリプトの実行はクラウドスクリプトとクラウドスクリプトテンプレートに分割されます。テンプレート、リソースブロック、OS プロファイルでスクリプトを使用し、ポリシースクリプトを使用して要求フォーム属性を設定します。ポリシースクリプトがユーザーデータをオーバーライドすることはできません。クラウドスクリプトテンプレートは、実行のターゲットである仮想マシンに渡される実際の実行可能ファイルです。クラウドテンプレートを作成してから、それをクラウドスクリプトに関連付ける必要があります。 * [クラウドディスカバリー](https://servicenow-prod.fluidtopics.net/SdoUGBFUVpWvdTk67ZodJA "企業の IT 部門は、クラウドディスカバリー を使用してクラウドベースのインフラストラクチャに関する詳細情報を収集できます。クラウドディスカバリー は、主要なクラウドサービスプロバイダーのリソースを検索します。") サービスプロバイダー (SP) はドメインセパレーションを使用して、各顧客のデータを分離します。指定されたドメイン内のユーザーは、自分のドメインまたは子ドメイン内のデータのみを可視化できます。通常、SP はトップレベルドメインを制御します。これにより、すべてのドメインに関連付けられたデータを可視化することができます。ディスカバリーのドメインセパレーションサポートはレベル 2 とみなされますが、クラウドプロビジョニングとガバナンス の子ドメインに委任される管理権限は発生しません。SP は管理権限のコントロールを保持する必要があります。SP は、クラウドリソースを検出するために、ドメインアドミニストレーターとしてログインするかドメインアドミニストレーターの代理として、常にリーフドメインからディスカバリーを実行します。 クラウドディスカバリーには、単一のインターフェイスでクラウドのスケジュールを作成して実行できるウィザードが用意されています。ディスカバリーマネージャーでスケジュールを作成する際に、検出するアカウントを選択し、アカウントにアクセスするための認証情報と、リソースをスキャンする MID サーバーを選択します。その後、ディスカバリーホームページで結果を表示し、発生した可能性があるエラーを追跡できます。 詳細については、次を参照してください。 * [ディスカバリーマネージャー](https://servicenow-prod.fluidtopics.net/8NWRoyPhJceNL0FCNpQx5w#discovery-manager "選択したクラウドディスカバリー方法 (サービスアカウントまたは IP 範囲) に基づいて、クラウドリソースを検出するためのスケジュールを作成します。") * [ネットワーク内でのディスカバリーの実行](https://servicenow-prod.fluidtopics.net/mNl6KSfWOUmJEnb1XugfkQ "スケジュールまたはスクリプトから検出を実行して、構成アイテムを作成したり、サブネットを定義したり、AWS および Azure クラウドでリソースを検索したりすることができます。") * [Amazon AWS クラウドディスカバリー](https://servicenow-prod.fluidtopics.net/EnzWZaNvIRduqJTwy26dyA "クラウドディスカバリー を使用して、AWS 組織の仮想リソース (管理アカウントとメンバーアカウント) を検出します。") * [Microsoft Azure クラウドディスカバリー](https://servicenow-prod.fluidtopics.net/HrNP8QKt84~SCQob5qA25g "クラウドリソースが Azure クラウドにある場合は、選択したリソースにアクセスする権限を MID サーバー に付与するサービスプリンシパルと呼ばれるユーザー ID を作成する必要があります。") * [VMware クラウドディスカバリー](https://servicenow-prod.fluidtopics.net/HKLPwPSqECxOiwNG0Nwm5g "VMware クラウドリソースにアクセスするアプリケーションは、VMware 認証情報にアクセスする必要があります。 .") * [Google Cloud Platform クラウドディスカバリー](https://servicenow-prod.fluidtopics.net/JULDtYtKuujTJsihcfXecQ "ディスカバリー は Google Cloud Platform とそのコンポーネントを検索します。 これらのリソースを検出するには、ServiceNow Store から ディスカバリーとサービスマッピングパターン アプリケーションをアップデートする必要があります。") * [IBM クラウドディスカバリー](https://servicenow-prod.fluidtopics.net/lvbhWux1ofoZupIJTstr1Q "クラウドリソースが IBM クラウドにある場合は、IBM アカウントにアクセスできる認証情報を作成します。") {#domain-admin-workflow__ul_flx_p2k_dkb} {#domain-admin-workflow__ul_r25_wdk_dkb} * イベント管理をセットアップおよび構成して、外部イベントを受信し、イベントおよびアラート管理ルールに基づいてアラートを生成します。イベントの可視化は、関連付けられているサービスアカウントのドメインによって異なります。そのドメインに属するユーザーのみが、処理されたイベントのイベント詳細を表示できます。サービスアカウントに関連付けられていないイベントは、すべてのドメインに表示されます。 単一の管理コンソールを使用してビジネスサービスおよびインフラストラクチャの健全性を監視し、発生した問題に適切に対応します。イベント管理は、ビジネスサービスのパフォーマンスを確実に継続するためのインテリジェントなイベントとアラート分析を提供します。イベント管理は、MID サーバーを介してイベントを受信し、処理します。 詳細については、次を参照してください。 * [イベント管理 の探索](https://servicenow-prod.fluidtopics.net/fZe1YVxpvW1U7PstKTRiuA "イベント管理を調べて、その概要、プロセスフロー、ユーザーロール、および IT に関する包括的な問題の監視と解決のためのメリットを理解します。") * [イベント管理のセットアップ](https://servicenow-prod.fluidtopics.net/OkvadgSIBu1FfOSls0dZWQ "イベント管理 を有効にした後、イベントの受信および処理、アラートの生成および分析を行うように設定します。") * [イベント通知を ServiceNow インスタンスに送信するための AWS Config サービスの構成](https://servicenow-prod.fluidtopics.net/o8Zp9sDEM2~1LsxhSt8LTA "リソースのライフサイクルのステータスのあらゆる変更に対して、イベント通知を ServiceNow インスタンスに送信するように Amazon Web サービス (AWS) Config サービスを構成します。") * [CMDB を自動更新するように Microsoft Azure アラートサービスを設定する](https://servicenow-prod.fluidtopics.net/oGMEsVmnfL4pArxvlE7abA#azure-alert-service-cloud-mgt "次のスケジュール設定済みの クラウドディスカバリー の実行を待たずに 構成管理データベース (CMDB) を自動更新するように、Microsoft Azure のアラートサービスを設定します。") * [CMDB を自動更新するように Google Stackdriver Logging サービスを設定する](https://servicenow-prod.fluidtopics.net/k5SmzXSOd7q6pOr~VGmhTQ "Google Stackdriver Logging サービスを有効にすると、Google Cloud Connector または Google アカウントで Google Cloud プラットフォーム リソースのライフサイクル状況または構成の変更が行われるたびに、CMDB CI データを自動的に更新できます。その結果、ディスカバリー の実行を待たずに CMDB の CI データが更新されます。") * [CMDB を自動更新するように VMware サービスを設定する](https://servicenow-prod.fluidtopics.net/DSgmIF1Lf8ilvJNw5E8Ukg "クラウド環境からイベントを設定して、スキャンを追加することなく CMDB に必要な更新を行うことができます。VMware サービスは、クラウドプロビジョニングとガバナンス で VMware リソースのライフサイクル状況または構成が変更されるたびに、CMDB の CI データを自動的に更新することができます。その結果、ディスカバリー の実行を待たずに CMDB の CI データが更新されます。") {#domain-admin-workflow__ul_rml_sjl_hkb} {#domain-admin-workflow__ul_sw5_gfg_gkb} * クラウドプロビジョニングとガバナンス アプリケーションは、継続的デリバリーソリューション (構成管理とも呼ばれます) とのデータ連携をサポートします。Ansible または Terraform 構成管理プロバイダーを作成し、そのプロバイダーで ディスカバリーを実行してリソースを検索します。それぞれの新しい構成管理プロバイダーの詳細については、「[継続的デリバリ (構成管理) のサポート](https://servicenow-prod.fluidtopics.net/~HVZpAQwAB7hzfHJCoEllw "クラウドプロビジョニングとガバナンス アプリケーションは、継続的デリバリーソリューション (構成管理とも呼ばれます) とのデータ連携をサポートします。Ansible は、デフォルトの構成管理プロバイダーとしてサポートされています。")」および「[作業負荷プロバイダータイプの作成](https://servicenow-prod.fluidtopics.net/nRNx2eV6dXr4Wjo8fbegRg "新しい構成管理プロバイダーごとに作業負荷プロバイダータイプを作成します。この情報は、構成管理プロバイダーを通じて仮想リソースをプロビジョニングするときにユーザーが選択できる管理属性として、[注文カタログ] フォームに表示されます。")」を参照してください。この情報は、構成管理プロバイダーを通じて仮想リソースをプロビジョニングするときにユーザーが選択できる管理属性として、\[注文カタログ\] フォームに表示されます。 * terraform テンプレートに基づいてカタログを作成し、そのカタログを複数のドメインと共有する場合。グローバルドメインでモジュールの一覧表示 (構成ディスカバリー) を実行します。MID サーバー はグローバルドメインで作成し、そのディスカバリーのために Terraform 機能のみアサインする必要があります。これにより、SP は複数のドメインとカタログを共有できます。 警告: Terraform の構成管理以外の機能を備えたグローバル MID サーバー は作成しないでください。 共通の Terraform カタログを作成して複数の顧客と共有： * グローバルアドミニストレーターとしてグローバルドメインで MID サーバー を作成します。 * [Terraform オープンソース構成プロバイダーを作成します](https://servicenow-prod.fluidtopics.net/Z1IW1VyQOUi7wY9mlcSqCg "クラウドプロビジョニングとガバナンス に Terraform Open Source 構成プロバイダーを作成します。Terraform Open Source 構成プロバイダーを使用すると、クラウドプロビジョニングとガバナンス によってインストール可能な Terraform Open Source 構成 (Terraform テンプレート) を検出し、その変更を検出できます。")。 注: 構成プロバイダーとして「Terraform」のみを追加します。 * [Terraform テンプレートに基づいてカタログアイテムを作成します](https://servicenow-prod.fluidtopics.net/u8emQLRmOXABZeNWK8QPbw "Terraform テンプレートからカタログアイテムを作成して、クラウドリソースのプロビジョニングを要求します。アクティブ化されたカタログアイテムは、クラウドユーザーポータルに表示されます。")。 {#domain-admin-workflow__ul_u35_z5j_jkb} * クラウドプロビジョニングとガバナンス ではワークフローのある Now Platform ルールをサポートしています。ルールは、条件とアクションの集合です。​ルールのすべての条件が「true」と評価された場合、システムはアクションを実行します。いずれかの条件が false と評価された場合、システムはアクションを実行しません。ルールを作成すると、アクティビティを追跡し、よりすばやく問題に対応して解決できるようになります。ワークフローフレームワークを活用して 2 日目の操作を自動化します。クラウド API または特定のリソースと通信するワークフローをすばやく書き込みます。SSH、PowerShell、または類似のツールを使用してワークフロー機能にアクセスしてから、拡張します。詳細については、「[ワークフローを使用した 2 日目の操作](https://servicenow-prod.fluidtopics.net/wrwC7HeEcwemYp5C7GcAdw "ワークフローフレームワークを活用して 2 日目の操作を自動化します。クラウド API または特定のリソースと通信するワークフローをすばやく書き込みます。SSH、PowerShell、または類似のツールを使用してワークフロー機能にアクセスしてから、拡張します。")」を参照してください。 * [予算ベースの通知および承認](https://servicenow-prod.fluidtopics.net/EalY3943OPXn2id7~PfE1w#costbased-quota-managment "アドミニストレーターは、グループおよびグループ内のユーザーに予算を割り当てできます。ユーザーやグループが予算のしきい値制限に達すると、それに関するアラートの通知がユーザーやグループに送信されます。") クラウドプロビジョニングとガバナンス でのドメインセパレーションは、予算のデータ分離をサポートします。ドメイン固有の予算を割り当てることができます。グループおよびグループ内のユーザーに予算をアサインします。ユーザーやグループが予算のしきい値制限に達すると、それに関するアラートの通知がユーザーやグループに送信されます。詳細については、「[予算の構成](https://servicenow-prod.fluidtopics.net/EalY3943OPXn2id7~PfE1w#configure-budgets "そのグループ内のグループとユーザーの予算を設定できます。グループの予算期間を設定し、グループとそのグループ内の各ユーザーに予算限度額を割り当てることができます。")」を参照してください。 * [クラウドリソースのタグの作成](https://servicenow-prod.fluidtopics.net/SEJEwg1quP~K2huE_xCK3g#cloud-tagging "タグは、クラウドリソースを分類して、より豊富で詳細な追跡および請求処理レポートデータを提供します。") タグは、クラウドリソースを分類して、より豊富で詳細な追跡および請求処理レポートデータを提供します。タグキーはドメインセパレーションされず、他のドメインのユーザーに表示されます。タグの可視化は、関連付けられている CI ドメインまたは関連する請求処理記録ドメインによって異なります。CI または請求処理レコードに関連付けられていないタグは、すべてのドメインアドミンに表示されます。タグが作成されると、作成した新しいカタログに表示されます。クラウドアドミンは、カタログに必要なタグを選択する必要があります。 * 請求処理データは、ドメインごとに分離されて表示できます。請求処理ジョブは、構成されたサービスアカウントのドメインを使用します。請求処理のセットアップを構成すると、クラウドアドミンおよびクラウドユーザーは、請求処理ダッシュボードでクラウド請求処理データやクラウドタグの使用状況などのレポートを表示できます。MID サーバーを定期的に使用して請求処理データをプロバイダーからダウンロードする、スケジュール済みジョブを定義します。クラウドプロビジョニングとガバナンス でデータがコストテーブルに保存され、その情報を使用してレポートが生成されます。 請求処理スケジュールのセットアップと請求処理レポートのダウンロードの詳細については、以下を参照してください。 * [AWS 請求処理データをダウンロードするスケジュールの定義](https://servicenow-prod.fluidtopics.net/MVfn0aIgHPEbxnrg4WH67w "MID サーバー を定期的に使用して請求処理データをプロバイダーからダウンロードするスケジュール済みジョブを定義します。クラウドプロビジョニングとガバナンス でデータがコストテーブルに保存され、その情報を使用してレポートが生成されます。") * [Azure 請求処理データをダウンロードするスケジュールの定義](https://servicenow-prod.fluidtopics.net/y8McSGiG1V_skG_lOkm1MA "MID サーバー を定期的に使用して請求処理データをプロバイダーからダウンロードするスケジュール済みジョブを定義します。クラウドプロビジョニングとガバナンス でデータがコストテーブルに保存され、その情報を使用してレポートが生成されます。") {#domain-admin-workflow__ul_nvz_2lb_ckb} {#domain-admin-workflow__ul_ggv_bvv_15b} {#domain-admin-workflow__ul_iw5_4b3_3kb} ## 次の手順 {#domain-admin-workflow__section_e1c_tfk_fkb} 重要: リソースブロック上のワークフローを呼び出すカスタム操作を作成する際は、コンテキストを適切なドメインに変更してください。 正しいドメインにコンテキストを変更するには、ワークフロー内から次のスクリプトを呼び出すように \[ワークフローアクティビティ\] を編集します。適切なユーザーが、サービスアカウントクリエーターまたは注文ユーザーから取得されていることを確認します。この代理操作スクリプトを呼び出すと、ワークフローを正しいコンテキストで実行し、関連付けられたドメインに属する正しい MID サーバー を選択できます。 //var orderContext = json.decode(workflow.inputs.ordercontext) ; new CMPDomainSeparationUtil() .impersonateUser(current.request.requested_for); インスタンスで管理している各ドメインで利用できる クラウドプロビジョニングとガバナンス ライフサイクル操作の実行の詳細については、「[クラウドユーザーポータル](https://servicenow-prod.fluidtopics.net/nxeKaAhS45mx0dKDi4n3PA "クラウドユーザーポータルでは、すべての日常のクラウドアクティビティにすぐにアクセスできます。")」を参照してください。 **関連概念** * [クラウドプロビジョニングとガバナンス の Day 2 追加セットアップ](https://servicenow-prod.fluidtopics.net/TEQ9FWigiGU5FS6DIGAiNw "1 日目のセットアップを実行した後、必要に応じて、任意の順序でオプションのセットアップおよび構成手順を実行できます。 各手順の詳細な説明については、この概要に従ってください。") * [ITOM ヴィジビリティで使用されるディスカバリーパターン](https://servicenow-prod.fluidtopics.net/98LuJIjGZHxKgQnkgXFXJg "サービスマッピング および ディスカバリー は、業界標準のほとんどのネットワークデバイスとアプリケーションを対象にするディスカバリープロセスのパターンを使用しています。これらのパターンをカスタマイズしたり、新しいパターンを作成したりすることができます。")