Azure Blob Storage と Python で作業を開始する

[アーティクル]
10/02/2024

この記事では、Python 用 Azure Blob Storage クライアントライブラリを使用して、Azure Blob Storage に接続する方法について説明します。接続されると、コードは、Blob Storage サービスのコンテナー、BLOB、機能を使って動作できます。

API リファレンス | パッケージ (PyPi) | ライブラリのソースコード | サンプル | フィードバックを送信する

前提条件

Azure サブスクリプション - 無料アカウントを作成する
Azure Storage アカウント - ストレージアカウントの作成
python=3.8.10

プロジェクトの設定

このセクションでは、Python 用 Azure Blob Storage クライアントライブラリを操作するためのプロジェクトの準備について説明します。

プロジェクトディレクトリから、pip install コマンドを使用して、Azure Blob Storage と Azure ID のクライアントライブラリのパッケージをインストールします。 Azure サービスへのパスワードレス接続には、azure-identity パッケージが必要です。

pip install azure-storage-blob azure-identity

次にコードファイルを開き、必要な import ステートメントを追加します。この例では、以下を .py ファイルに追加します。

from azure.identity import DefaultAzureCredential
from azure.storage.blob import BlobServiceClient, BlobClient, ContainerClient

BLOB クライアントライブラリ情報:

azure.storage.blob: サービス、コンテナー、BLOB を操作するために使用できるプライマリクラス ("クライアントオブジェクト") が含まれています。

非同期プログラミング

Python 用 Azure Blob Storage クライアントライブラリでは、同期および非同期の両方の API がサポートされています。非同期 API は、Python の asyncio ライブラリに基づいています。

プロジェクトで非同期 API を使用するには、次の手順に従います。

aiohttp などの非同期トランスポートをインストールします。オプションの依存関係インストールコマンドを使用して、aiohttp を azure-storage-blob と共にインストールできます。この例では、次の pip install コマンドを使用します。
```
pip install azure-storage-blob[aio]
```
コードファイルを開き、必要な import ステートメントを追加します。この例では、以下を .py ファイルに追加します。
```
import asyncio

from azure.identity.aio import DefaultAzureCredential
from azure.storage.blob.aio import BlobServiceClient, BlobClient, ContainerClient
```
import asyncio ステートメントは、コードでライブラリを使用している場合にのみ必要です。ここでは、asyncio ライブラリを使用する開発者ガイドの記事の例として、わかりやすくするために追加されています。
async with を使用してクライアントオブジェクトを作成し、データリソースの操作を開始します。最上位のクライアントのみで async with を使用する必要があります。ここから作成された他のクライアントでは同じ接続プールを共有するためです。この例では、async with を使用して BlobServiceClient オブジェクトを作成してから、ContainerClient オブジェクトを作成します。
```
async with BlobServiceClient(account_url, credential=credential) as blob_service_client:
    container_client = blob_service_client.get_container_client(container="sample-container")
```
詳細については、「Blob Storage へのアクセスを認可して接続する」の非同期の例を参照してください。

BLOB 非同期クライアントライブラリ情報:

azure.storage.blob.aio: サービス、コンテナー、BLOB を非同期で操作するために使用できるプライマリクラスが含まれています。

Blob Storage へのアクセスを承認して接続する

アプリを BLOB Storage に接続するには、BlobServiceClient クラスのインスタンスを作成します。このオブジェクトは、ストレージアカウントレベルでデータリソースを操作するための開始点となります。それを使って、ストレージアカウントとそのコンテナーを操作できます。また、操作する必要があるリソースに応じて、サービスクライアントを使用してコンテナークライアントまたは BLOB クライアントを作成することもできます。

ベストプラクティスを含むクライアントオブジェクトの作成と管理の詳細については、「データリソースを操作するクライアントオブジェクトの作成および管理」を参照してください。

Microsoft Entra 認可トークン、アカウントアクセスキー、または Shared Access Signature (SAS) を使用して、BlobServiceClient オブジェクトを認可できます。最適なセキュリティのため、Microsoft では、可能な限り、Microsoft Entra ID とマネージド ID を使って、BLOB データに対する要求を認可することをお勧めします。詳しくは、Microsoft Entra ID を使用した BLOB へのアクセスの認可に関する記事をご覧ください。

Microsoft Entra ID を使用して認可するには、セキュリティプリンシパルを使用する必要があります。必要なセキュリティプリンシパルの種類は、アプリが実行される場所によって異なります。次の表をガイドとして使用します。

アプリが実行される場所	セキュリティプリンシパル	ガイダンス
ローカルコンピューター (開発とテスト)	サービスプリンシパル	アプリの登録、Microsoft Entra グループの設定、ロールの割り当て、環境変数の構成の方法を確認するには、開発者サービスプリンシパルを使用してアクセスを認可する方法に関する記事を参照してください
ローカルコンピューター (開発とテスト)	ユーザー ID	Microsoft Entra グループを設定し、ロールを割り当て、Azure にサインインする方法については、開発者資格情報を使用してアクセスを認可する方法に関する記事を参照してください
Azure でホスト	マネージド ID	マネージド ID を有効にしてロールを割り当てる方法については、マネージド ID を使用して Azure でホストされるアプリからのアクセスを承認する方法に関する記事を参照してください
Azure の外部でホストされる (オンプレミスアプリなど)	サービスプリンシパル	アプリを登録し、ロールを割り当て、環境変数を構成する方法については、アプリケーションサービスプリンシパルを使用してオンプレミスアプリからのアクセスを承認する方法に関する記事を参照してください

DefaultAzureCredential を使用してアクセスを承認する

Blob Storage へのアクセスを承認して接続する最も簡単で安全な方法は、DefaultAzureCredential インスタンスを作成して OAuth トークンを取得することです。その後、その資格情報を使用して BlobServiceClient オブジェクトを作成できます。

この例では、DefaultAzureCredential を使用して BlobServiceClient オブジェクトを作成します。

def get_blob_service_client_token_credential(self):
    # TODO: Replace <storage-account-name> with your actual storage account name
    account_url = "https://<storage-account-name>.blob.core.windows.net"
    credential = DefaultAzureCredential()

    # Create the BlobServiceClient object
    blob_service_client = BlobServiceClient(account_url, credential=credential)

    return blob_service_client

プロジェクトで非同期 API を使用する場合は、async with を使用して BlobServiceClient のインスタンスを作成します。

# TODO: Replace <storage-account-name> with your actual storage account name
account_url = "https://<storage-account-name>.blob.core.windows.net"
credential = DefaultAzureCredential()

async with BlobServiceClient(account_url, credential=credential) as blob_service_client:
    # Work with data resources in the storage account

Shared Access Signature (SAS) トークンを使用するには、トークンを文字列として指定し、BlobServiceClient オブジェクトを初期化します。アカウント URL に SAS トークンが含まれている場合は、credential パラメーターを省略します。

def get_blob_service_client_sas(self, sas_token: str):
    # TODO: Replace <storage-account-name> with your actual storage account name
    account_url = "https://<storage-account-name>.blob.core.windows.net"
    # The SAS token string can be assigned to credential here or appended to the account URL
    credential = sas_token

    # Create the BlobServiceClient object
    blob_service_client = BlobServiceClient(account_url, credential=credential)

    return blob_service_client

プロジェクトで非同期 API を使用する場合は、async with を使用して BlobServiceClient のインスタンスを作成します。

# TODO: Replace <storage-account-name> with your actual storage account name
account_url = "https://<storage-account-name>.blob.core.windows.net"

# Replace <sas_token_str> with your actual SAS token
sas_token: str = "<sas_token_str>"

async with BlobServiceClient(account_url, credential=sas_token) as blob_service_client:
    # Work with data resources in the storage account

SAS トークンの生成と管理の詳細については、次の記事を参照してください。

Note

Microsoft では、Shared Access Signature (SAS) を使うシナリオにはユーザー委任 SAS を使うことをお勧めします。ユーザー委任 SAS は、アカウントキーの代わりに Microsoft Entra 資格情報で保護されます。

ストレージアカウントの共有キーを使用するには、キーを文字列として指定し、BlobServiceClient オブジェクトを初期化します。

def get_blob_service_client_account_key(self):
    # TODO: Replace <storage-account-name> with your actual storage account name
    account_url = "https://<storage-account-name>.blob.core.windows.net"
    shared_access_key = os.getenv("AZURE_STORAGE_ACCESS_KEY")
    credential = shared_access_key

    # Create the BlobServiceClient object
    blob_service_client = BlobServiceClient(account_url, credential=credential)

    return blob_service_client

接続文字列を使用して BlobServiceClient オブジェクトを作成することもできます。

def get_blob_service_client_connection_string(self):
    # TODO: Replace <storage-account-name> with your actual storage account name
    account_url = "https://<storage-account-name>.blob.core.windows.net"
    connection_string = os.getenv("AZURE_STORAGE_CONNECTION_STRING")

    # Create the BlobServiceClient object
    blob_service_client = BlobServiceClient.from_connection_string(connection_string)

    return blob_service_client

プロジェクトで非同期 API を使用する場合は、async with を使用して BlobServiceClient のインスタンスを作成します。

# TODO: Replace <storage-account-name> with your actual storage account name
account_url = "https://<storage-account-name>.blob.core.windows.net"

shared_access_key = os.getenv("AZURE_STORAGE_ACCESS_KEY")

async with BlobServiceClient(account_url, credential=shared_access_key) as blob_service_client:
    # Work with data resources in the storage account

アカウントキーの取得方法と、キーを適切に管理して保護するためのベストプラクティスガイドラインについては、「ストレージアカウントアクセスキーを管理する」をご覧ください。

重要

アカウントアクセスキーは慎重に使用する必要があります。アカウントアクセスキーを紛失した場合、または誤ってセキュリティで保護されていない場所に置いた場合には、サービスが脆弱になる可能性があります。アクセスキーを持つすべてのユーザーは、ストレージアカウントに対する要求を承認でき、実質的にすべてのデータにアクセスできます。 DefaultAzureCredential はセキュリティ機能と利点が強化されており、Azure サービスに対する認可を管理するために推奨されるアプローチです。

アプリの構築

Azure Blob Storage のデータリソースを操作するアプリを構築する際、コードでは主に、ストレージアカウント、コンテナー、BLOB という 3 つのリソースの種類と対話します。これらのリソースの種類、リソースの相互関係、およびアプリがリソースと対話する方法について詳しくは、「アプリが Blob Storage データリソースと対話する方法を理解する」を参照してください。

次のガイドでは、Python 用 Azure Storage クライアントライブラリを使用してデータにアクセスし、特定のアクションを実行する方法について説明します。

ガイド	説明
再試行ポリシーを構成する	クライアント操作の再試行ポリシーを実装します。
BLOB をコピーする	ある場所から別の場所に BLOB をコピーします。
コンテナーの作成	BLOB コンテナーを作成します。
ユーザーの委任 SAS の作成	コンテナーまたは BLOB 用のユーザー委任 SAS を作成します。
BLOB のリースを作成および管理する	BLOB に対するロックを確立して管理します。
コンテナーのリースを作成および管理する	コンテナーに対するロックを確立して管理します。
BLOB の削除と復元	BLOB を削除し、論理的に削除された BLOB を復元します。
コンテナーを削除して復元する	コンテナーを削除し、論理的に削除されたコンテナーを復元します。
BLOB をダウンロードする	文字列、ストリーム、ファイルパスを使って BLOB をダウンロードします。
タグを使って BLOB を検索する	タグの設定と取得を行い、タグを使って BLOB を検索します。
BLOB をリストする	さまざまな方法で BLOB の一覧を表示します。
コンテナーをリストする	アカウントのコンテナーの一覧を表示し、さまざまなオプションを使って一覧をカスタマイズします。
プロパティとメタデータの管理 (BLOB)	BLOB のプロパティとメタデータを取得および設定します。
プロパティとメタデータの管理 (コンテナー)	コンテナーのプロパティとメタデータを取得および設定します。
データ転送のパフォーマンスチューニング	データ転送操作のパフォーマンスを最適化します。
BLOB のアクセス層を設定または変更する	ブロック BLOB のアクセス層を設定または変更します。
BLOB をアップロードする	文字列、ストリーム、ファイルパス、その他の方法を使って BLOB をアップロードする方法について説明します。

次の方法で共有

Azure Blob Storage と Python で作業を開始する

前提条件

プロジェクトの設定

非同期プログラミング

Blob Storage へのアクセスを承認して接続する

DefaultAzureCredential を使用してアクセスを承認する

アプリの構築

フィードバック

その他のリソース