AAD アプリケーションサービスプリンシパルを使用して Azure Sphere パブリック API にアクセスする

[アーティクル]
09/27/2024

重要

これは Azure Sphere (レガシ) のドキュメントです。 Azure Sphere (レガシ) は 2027 年 9 月 27 日に再提供されておりユーザーは現時点で Azure Sphere (統合) に移行する必要があります。 TOC の上にある Version セレクターを使用して、Azure Sphere (統合) のドキュメントを表示します。

自動ツールでは、完全な特権を持つユーザーとして認証するのではなく、制限付きアクセスと非対話型認証が必要です。これを実現するには、アプリケーションが特定のアクセス許可でサインインできるようにするサービスプリンシパルを使用します。簡単に言うと、Azure サービスプリンシパルは、アプリケーションが Azure Active Directory に登録されるときに Azure で作成される ID として機能します。

このモードでは、Azure Active Directory (AAD) テナント内のアプリケーションのアクセス許可がサービスプリンシパルによって定義され、リソースにアクセスするときに認証と承認が有効になります。

サービスプリンシパルには、クライアント証明書とクライアントシークレットの 2 種類の認証方法があります。

前提条件

Azure Active Directory テナント (テナントドメイン)。
Azure Sphere テナント。
サービスプリンシパルクライアントシークレット、または PEM 形式でサービスプリンシパルを作成するために使用される X509 証明書。
Azure Sphere パブリック API アプリケーション ID を Azure テナントに追加します。

手順 1: サービスプリンシパルを登録する

Azure ポータル左側のナビゲーションウィンドウで、[Azure Active Directory] をクリックします。
Azure AD にアプリケーションを登録し、サービスプリンシパルを作成します。クライアント ID をメモします。
認証の種類を選択します。サービスプリンシパルには、次の 2 種類の認証を使用できます。
- クライアントシークレット
- クライアント証明書

手順 2: Azure Sphere テナントにサービスプリンシパルを追加し、ロールを割り当てる

Note

この手順を開始する前に、次のことを確認してください。

Azure Sphere テナント: Azure Sphere CLI を使用してコマンド **azsphere tenant show-selected** を実行します
Azure テナント ID: Azure portal を使用してテナント ID をします。 Azure Active Directory テナント ID をコピーします。
このアプリケーションに関連付けられているサービスプリンシパルオブジェクトの一意の ID を検索します。
- アプリの登録に移動し、「手順 1: サービスプリンシパルを登録するで作成したアプリケーションを選択します。
- [ローカルディレクトリでのマネージドアプリケーション] で、アプリの名前のリンクを選択します。この選択項目のラベルは、切り詰められている可能性があります。
- Properties ページで、Object ID をコピーします。

Azure Sphere は、サービスプリンシパルを別のユーザーとして扱います。サービスプリンシパルを使用してトークンを取得するには、最初にサービスプリンシパルユーザーを Azure Sphere テナントに追加してから、 Azure Sphere CLI を使用して Azure Sphere テナントのユーザーにロールを割り当てます。

ユーザー ID は、 <ObjectID>@<TenantID>.onmicrosoft.com として生成できます。

次の例では、Azure Sphere テナント ID tttttttt-tttt-tttt-tttt-ttttttttttttにオブジェクト ID xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxxと Azure AD テナント ID zzzzzzzz-zzzz-zzzz-zzzz-zzzzzzzzzzzzの組み合わせを使用してユーザーを作成し、このユーザーの Contributor ロールを追加します。

Azure Sphere CLI を使用して Azure Sphere ログインでサインインします:
```
azsphere login
```

必要なテナントを選択します。

azsphere tenant select --tenant tttttttt-tttt-tttt-tttt-tttttttttttt

必要なロールにユーザーを追加するには:

azsphere role add --role Contributor --user xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx@zzzzzzzz-zzzz-zzzz-zzzz-zzzzzzzzzzzz.onmicrosoft.com

手順 3: アプリケーション登録ポータルを使用してクライアントシークレットまたはクライアント証明書を登録する

クライアントシークレットとクライアント証明書を使用すると、(HTTPS スキームを使用して) Web アドレス指定可能な場所でトークンを受信するときに、アプリケーションが認証サービスに対して自身を識別できます。 Azure Active Directory を使用して認証する場合、クライアント資格情報のシナリオでは、クライアントシークレットの代わりに証明書を使用することをお勧めします。

アプリケーション登録のクライアントシークレットまたはクライアント証明書を使用して、 Azure Sphere Public API (PAPI)のアクセストークンを取得できます。

クライアントシークレットを使用してアプリケーションを構成する

アプリケーションをクライアントシークレットに登録するには:

Azure Portal の左側のナビゲーションウィンドウで、[Azure Active Directory] をクリックします。
アプリの登録に移動し、「手順 1: サービスプリンシパルを登録するで作成したアプリケーションを選択します。
左側のウィンドウで、 Certificates > シークレット> クライアントシークレットセクション >新しいクライアントシークレットを選択します。
説明を入力し、有効期間を選択し、 [追加] を選択します。クライアントシークレットが生成され、クライアントシークレットの値が表示されます。
後でキーを取得できないため、クライアントシークレットの値をコピーします。
アプリケーションとしてサインインする Azure Sphere パブリック API アプリケーション ID をクライアントシークレットの値に指定します。アプリケーションが取得できる場所にキー値を保存します。

重要

クライアントシークレットの値は重要なセキュリティ資格情報です。クライアントシークレットを他のユーザーと共有したり、クライアントアプリケーション内で配信したりしないでください。アクセスポリシーと監査履歴を完全に制御して、一元化されたシークレット管理を提供する Azure Key Vault サービスを使用することをお勧めします。

次のサンプルコードを使用します。

 IConfidentialClientApplication app =

 ConfidentialClientApplicationBuilder.Create("<<App registration Client ID>>")

                 .WithClientSecret("<<App registration Client Secret Value>>")

                 .WithAuthority(AzureCloudInstance.AzurePublic, "<<3rd Party Tenant Id>>")

                 .Build();

 string[] scopes = new[] { "https://firstparty.sphere.azure.net/api/.default" };

 AuthenticationResult result =  await app.AcquireTokenForClient(scopes).ExecuteAsync();
 string accessToken=result.AccessToken;

クライアント証明書を使用してアプリケーションを構成する

クライアント証明書を設定するには:

Azure Portal の左側のナビゲーションウィンドウで、[Azure Active Directory] をクリックします。
アプリの登録に移動し、「手順 1: サービスプリンシパルを登録するで作成したアプリケーションを選択します。
左側のウィンドウで、 Certificates とシークレット>Certificates>証明書のアップロードを選択します。証明書 (既存の証明書またはエクスポートした自己署名証明書) を選択します。
アプリケーション登録ポータルで証明書をアプリケーションに登録した後、クライアントアプリケーションコードで証明書を使用できるようにします。

クライアント証明書にアプリケーションを登録するには、次のサンプルコードを使用します。

 IConfidentialClientApplication app =

 ConfidentialClientApplicationBuilder.Create("<<App registration Client ID>>")

                 .WithCertificate("<<App registration Certificate>>")

                 .WithAuthority(AzureCloudInstance.AzurePublic, "<<3rd Party Tenant Id>>")

                 .Build();

 string[] scopes = new[] { "https://firstparty.sphere.azure.net/api/.default" };

 AuthenticationResult result =  await app.AcquireTokenForClient(scopes).ExecuteAsync();
 string accessToken=result.AccessToken;

Note

IConfidentialClient を使用するにはライブラリMSAL.Net 追加する必要があります。

次の方法で共有

AAD アプリケーションサービスプリンシパルを使用して Azure Sphere パブリック API にアクセスする

前提条件

手順 1: サービスプリンシパルを登録する

手順 2: Azure Sphere テナントにサービスプリンシパルを追加し、ロールを割り当てる

手順 3: アプリケーション登録ポータルを使用してクライアントシークレットまたはクライアント証明書を登録する

クライアントシークレットを使用してアプリケーションを構成する

クライアント証明書を使用してアプリケーションを構成する

フィードバック

その他のリソース

次の方法で共有

AAD アプリケーション サービス プリンシパルを使用して Azure Sphere パブリック API にアクセスする

前提条件

手順 1: サービス プリンシパルを登録する

手順 2: Azure Sphere テナントにサービス プリンシパルを追加し、ロールを割り当てる

手順 3: アプリケーション登録ポータルを使用してクライアント シークレットまたはクライアント証明書を登録する

クライアント シークレットを使用してアプリケーションを構成する

クライアント証明書を使用してアプリケーションを構成する

フィードバック

その他のリソース

AAD アプリケーションサービスプリンシパルを使用して Azure Sphere パブリック API にアクセスする

手順 1: サービスプリンシパルを登録する

手順 2: Azure Sphere テナントにサービスプリンシパルを追加し、ロールを割り当てる

手順 3: アプリケーション登録ポータルを使用してクライアントシークレットまたはクライアント証明書を登録する

クライアントシークレットを使用してアプリケーションを構成する