App Service と Azure Functions のマネージド ID を使用する

2025-04-22

この記事では、Azure App Service および Azure Functions アプリケーションのマネージド ID を作成する方法と、それを使用して他のリソースにアクセスする方法について説明します。

Microsoft Entra ID のマネージド ID を使用すると、アプリは、Azure Key Vault などの他の Microsoft Entra で保護されたリソースに簡単にアクセスできます。 Azure プラットフォームによって ID が管理されるため、シークレットをプロビジョニングまたはローテーションする必要はありません。 Microsoft Entra ID のマネージド ID の詳細については、「Azure リソースのマネージド ID」を参照してください。

アプリケーションには、次の 2 種類の ID を付与できます。

システム割り当て ID はアプリに関連付けられ、そのアプリが削除されると削除されます。 1 つのアプリに割り当てることができるシステム割り当て ID は 1 つだけです。
ユーザー割り当て ID は、アプリに割り当てることができるスタンドアロン Azure リソースです。アプリは、複数のユーザー割り当て ID を持つことができます。 1 つのユーザー割り当て ID を複数の Azure リソース (2 つの App Service アプリなど) に割り当てることができます。

マネージド ID の構成はスロットに固有です。ポータルでデプロイスロットのマネージド ID を構成するには、まずスロットに移動します。 Azure portal で Microsoft Entra テナント内の Web アプリまたはデプロイスロットのマネージド ID を検索するには、テナントの [概要] ページで直接検索します。

注記

マネージド ID は、 Azure Arc にデプロイされたアプリでは使用できません。

マネージド ID はディレクトリ間のシナリオをサポートしていないため、アプリがサブスクリプションまたはテナント間で移行される場合は、想定どおりに動作しません。このような移動後にマネージド ID を再作成するには、「サブスクリプションを別のディレクトリに移動した場合、マネージド ID は自動的に再作成されますか?」を参照してください。また、ダウンストリームリソースでも新しい ID が使用されるように、アクセスポリシーを更新する必要があります。

前提条件

この記事の手順を実行するには、Azure リソースに対する最小限のアクセス許可セットが必要です。必要な特定のアクセス許可は、シナリオによって異なります。次の表は、最も一般的なシナリオをまとめたものです。

シナリオ	必要な権限	組み込みロールの例
システム割り当て ID を作成する	アプリに対する `Microsoft.Web/sites/write`、またはスロットに対する `Microsoft.Web/sites/slots/write`	Web サイトの共同作成者
ユーザー割り当て ID を作成する	ID を作成するリソースグループに対する `Microsoft.ManagedIdentity/userAssignedIdentities/write`	マネージドIDの寄稿者
アプリにユーザー割り当て ID を割り当てる	アプリに対する `Microsoft.Web/sites/write`、スロットに対する `Microsoft.Web/sites/slots/write`、または ID に対する `Microsoft.ManagedIdentity/userAssignedIdentities/*/assign/action`	Web サイトの共同作成者およびマネージド ID オペレーター
Azure ロールの割り当てを作成する	`Microsoft.Authorization/roleAssignments/write` ターゲットリソーススコープを超える	ロールベースのアクセス制御管理者またはユーザーアクセス管理者

システム割り当て ID を追加する

システム割り当てマネージド ID を有効にするには、次の手順に従います。

Azure portal で、アプリのページに移動します。
左側のメニューで、[設定]>[ID] を選択します。
システム割り当て タブで、ステータスをオンに切り替えます。次に、 [保存] を選択します。

az webapp identity assign コマンドを実行します。

az webapp identity assign --resource-group <group-name> --name <app-name>

App Service の場合

Set-AzWebApp -AssignIdentity コマンドを実行します。

Set-AzWebApp -AssignIdentity $true -ResourceGroupName <group-name>  -Name <app-name>

関数の場合

Update-AzFunctionApp -IdentityType コマンドを実行します。

Update-AzFunctionApp -ResourceGroupName <group-name> -Name <function-app-name>  -IdentityType SystemAssigned

Azure Resource Manager テンプレートを使用して、Azure リソースのデプロイを自動化できます。詳細については、「 App Service でのリソースのデプロイの自動化」および「Azure Functions でのリソースのデプロイの自動化」を参照してください。

リソース定義に次のプロパティを含めることで、ID を使用して Microsoft.Web/sites 型の任意のリソースを作成できます。

"identity": {
    "type": "SystemAssigned"
}

システム割り当てタイプを追加すると、Azure に対してアプリケーション用の ID を作成して管理するように指示されます。

たとえば、Web アプリのテンプレートは次の JSON のようになります。

{
    "apiVersion": "2022-03-01",
    "type": "Microsoft.Web/sites",
    "name": "[variables('appName')]",
    "location": "[resourceGroup().location]",
    "identity": {
        "type": "SystemAssigned"
    },
    "properties": {
        "name": "[variables('appName')]",
        "serverFarmId": "[resourceId('Microsoft.Web/serverfarms', variables('hostingPlanName'))]",
        "hostingEnvironment": "",
        "clientAffinityEnabled": false,
        "alwaysOn": true
    },
    "dependsOn": [
        "[resourceId('Microsoft.Web/serverfarms', variables('hostingPlanName'))]"
    ]
}

サイトが作成されると、次のプロパティが含まれます。

"identity": {
    "type": "SystemAssigned",
    "tenantId": "<tenant-id>",
    "principalId": "<principal-id>"
}

tenantId プロパティは、ID が属する Microsoft Entra テナントを識別します。 principalId プロパティは、アプリケーションの新しい ID を一意に識別するためのものです。 Microsoft Entra ID では、サービスプリンシパルには、App Service または Azure Functions インスタンスに指定したのと同じ名前が付けられます。

テンプレートの後のステージでこれらのプロパティを参照する必要がある場合は、次の例のように、reference() テンプレート関数を 'Full' オプションと共に使用します。

{
    "tenantId": "[reference(resourceId('Microsoft.Web/sites', variables('appName')), '2018-02-01', 'Full').identity.tenantId]",
    "objectId": "[reference(resourceId('Microsoft.Web/sites', variables('appName')), '2018-02-01', 'Full').identity.principalId]",
}

ユーザー割り当て ID を追加する

ユーザー割り当て ID を持つアプリを作成するには、ID を作成し、そのリソース識別子をアプリ構成に追加します。

以下の手順に従って、ユーザー割り当てマネージド ID リソースを作成します。
アプリのページの左側のメニューで、[>] を選択します。
[ユーザー割り当て]を選択し、[追加]を選択します。
先ほど作成した ID を検索して選択し、[ 追加] を選択します。

これらの手順を完了すると、アプリが再起動します。

ユーザー割り当て ID を作成します。

az identity create --resource-group <group-name> --name <identity-name>

az webapp identity assign コマンドを実行して、アプリに ID を割り当てます。

az webapp identity assign --resource-group <group-name> --name <app-name> --identities <identity-id>

App Service の場合

現在、Azure PowerShell を使用した App Service でのユーザー割り当て ID の追加はサポートされていません。

関数の場合

ユーザー割り当て ID を作成します。

Install-Module -Name Az.ManagedServiceIdentity -AllowPrerelease
$userAssignedIdentity = New-AzUserAssignedIdentity -Name <identity-name> -ResourceGroupName <group-name> -Location <region>

Update-AzFunctionApp -IdentityType UserAssigned -IdentityIdコマンドを実行して、Functions で ID を割り当てます。

Update-AzFunctionApp -Name <app-name> -ResourceGroupName <group-name> -IdentityType UserAssigned -IdentityId $userAssignedIdentity.Id

リソース定義に次のブロックを含めることで、ID を使用して Microsoft.Web/sites 任意の種類のリソースを作成できます。 <resource-id>を目的の ID のリソース ID に置き換えます。

"identity": {
    "type": "UserAssigned",
    "userAssignedIdentities": {
        "<resource-id>": {}
    }
}

注記

アプリケーションは、システム割り当て ID とユーザー割り当て ID の両方を同時に持つことができます。その場合、 type プロパティは SystemAssigned,UserAssigned。

ユーザー割り当て型を追加すると、アプリケーションに指定したユーザー割り当て ID を使用するように Azure に指示されます。

たとえば、Web アプリのテンプレートは次の JSON のようになります。

{
    "apiVersion": "2022-03-01",
    "type": "Microsoft.Web/sites",
    "name": "[variables('appName')]",
    "location": "[resourceGroup().location]",
    "identity": {
        "type": "UserAssigned",
        "userAssignedIdentities": {
            "[resourceId('Microsoft.ManagedIdentity/userAssignedIdentities', variables('identityName'))]": {}
        }
    },
    "properties": {
        "name": "[variables('appName')]",
        "serverFarmId": "[resourceId('Microsoft.Web/serverfarms', variables('hostingPlanName'))]",
        "hostingEnvironment": "",
        "clientAffinityEnabled": false,
        "alwaysOn": true
    },
    "dependsOn": [
        "[resourceId('Microsoft.Web/serverfarms', variables('hostingPlanName'))]",
        "[resourceId('Microsoft.ManagedIdentity/userAssignedIdentities', variables('identityName'))]"
    ]
}

サイトが作成されると、次のプロパティが含まれます。

"identity": {
    "type": "UserAssigned",
    "userAssignedIdentities": {
        "<resource-id>": {
            "principalId": "<principal-id>",
            "clientId": "<client-id>"
        }
    }
}

principalId プロパティは、Microsoft Entra の管理に使用される ID の一意識別子です。 clientId プロパティは、アプリケーションの新しい ID を一意に識別するためのものです。これを使用して、実行時の呼び出し中に使用する ID を指定します。

ターゲットリソースを構成する

自分のアプリからのアクセスを許可するようにターゲットリソースを構成することが必要です。ほとんどの Azure サービスでは、ロールの割り当てを作成してターゲットリソースを構成します。

一部のサービスでは、Azure ロールベースのアクセス制御以外のメカニズムが使用されます。 ID を使用してアクセスを構成する方法については、各ターゲットリソースのドキュメントを参照してください。どのリソースで Microsoft Entra トークンがサポートされるかについて詳しくは、「Microsoft Entra 認証をサポートする Azure サービス」をご参照ください。

たとえば、Azure Key Vault 内のシークレットにアクセスするためのトークンを要求する場合は、マネージド ID がターゲットコンテナー内のシークレットを操作できるようにするロールの割り当てを作成する必要もあります。それ以外の場合、有効なトークンを使用した場合でも、Key Vault は呼び出しを拒否します。 Azure SQL Database やその他のサービスについても同様です。

重要

マネージド ID のバックエンドサービスは、リソース URI ごとのキャッシュを約 24 時間保持します。マネージド ID のグループまたはロールメンバーシップの変更が有効になるまでには数時間かかる場合があります。現在、マネージド ID のトークンを有効期限前に強制的に更新することはできません。アクセス許可を追加または削除するためにマネージド ID のグループまたはロールメンバーシップを変更する場合は、ID を使用している Azure リソースが正しいアクセス権を持つまで数時間待つ必要がある場合があります。

グループまたはロールメンバーシップの代替については、「認可にマネージド ID を使用する場合の制限」を参照してください。

アプリコードでの Azure サービスへの接続

アプリは、マネージド ID を使用して、Microsoft Entra ID が保護に役立つ Azure リソース (Azure SQL Database、Azure Key Vault、Azure Storage など) のトークンを取得できます。これらのトークンは、アプリケーションの特定のユーザーではなく、リソースにアクセスするアプリケーションを表します。

App Service と Azure Functions は、トークン取得のために、内部でアクセス可能なRES Tエンドポイントを提供します。標準の HTTP GET 要求を使用して、アプリ内から REST エンドポイントにアクセスできます。すべての言語で汎用 HTTP クライアントを使用して要求を実装できます。

NET、JavaScript、Java、Python の場合、Azure ID クライアントライブラリは、この REST エンドポイントを抽象化し、開発環境を簡素化します。他の Azure サービスへの接続は、サービス固有のクライアントに資格情報オブジェクトを追加するのと同じくらい簡単です。

生の HTTP GET 要求では、指定された 2 つの環境変数が使用され、次の例のようになります。

GET /MSI/token?resource=https://vault.azure.net&api-version=2019-08-01 HTTP/1.1
Host: <ip-address-:-port-in-IDENTITY_ENDPOINT>
X-IDENTITY-HEADER: <value-of-IDENTITY_HEADER>

応答の例は次のようになります。

HTTP/1.1 200 OK
Content-Type: application/json

{
    "access_token": "eyJ0eXAi…",
    "expires_on": "1586984735",
    "resource": "https://vault.azure.net",
    "token_type": "Bearer",
    "client_id": "00001111-aaaa-2222-bbbb-3333cccc4444"
}

この応答は、Microsoft Entra のサービス間アクセストークン要求に対する応答と同じです。 Key Vault にアクセスするには、access_token の値をコンテナーとのクライアント接続に追加します。

Java のアプリと関数の場合、マネージド ID を利用する最も簡単な方法は、Java 用の Azure ID クライアントライブラリを使用することです。詳細については、「チュートリアル: マネージド ID を使用してシークレットなしで App Service から Azure データベースに接続する」を参照してください。

詳細については、クライアントライブラリの各ドキュメントの見出しを参照してください。

リンクされた例では、DefaultAzureCredentialを使用します。マネージド ID を使用する Azure と、マネージド ID を持たないローカルコンピューターでも同じパターンが動作します。

Java 用 Azure ID クライアントライブラリのコード例の詳細については、 Azure ID の例を参照してください。

次のスクリプトを使用して、Azure サービスのリソース URI を指定してローカルエンドポイントからトークンを取得します。

$resourceURI = "https://<Entra-resource-URI-for-resource-to-obtain-token>"
$tokenAuthURI = $env:IDENTITY_ENDPOINT + "?resource=$resourceURI&api-version=2019-08-01"
$tokenResponse = Invoke-RestMethod -Method Get -Headers @{"X-IDENTITY-HEADER"="$env:IDENTITY_HEADER"} -Uri $tokenAuthURI
$accessToken = $tokenResponse.access_token

REST エンドポイントの詳細については、この記事で後述する REST エンドポイントリファレンスを参照してください。

ID を削除する

システム割り当て ID を削除すると、Microsoft Entra ID から削除されます。また、アプリリソース自体を削除すると、システム割り当て ID も Microsoft Entra ID から自動的に削除されます。

アプリのページの左側のメニューで、[>] を選択します。
ID の種類に基づいて、次の手順に従います。
- システム割り当て ID の場合: [ システム割り当て済み ] タブで、[ 状態] を [オフ] に切り替えます。次に、 [保存] を選択します。
- ユーザー割り当て ID の場合: [ ユーザー割り当て ] タブを選択し、ID のチェックボックスをオンにして、[削除] を選択 します。 [はい] を選択して確定します。

システム割り当て ID を削除するには、次のコマンドを使用します。

az webapp identity remove --resource-group <group-name> --name <app-name>

1 つ以上のユーザー割り当て ID を削除するには、次のコマンドを使用します。

az webapp identity remove --resource-group <group-name> --name <app-name> --identities <identity-id1> <identity-id2> ...

[system]で--identitiesを指定して、システム割り当て ID を削除することもできます。

App Service の場合

App Service のシステム割り当て ID を削除するには、 Set-AzWebApp -AssignIdentity コマンドを実行します。

Set-AzWebApp -AssignIdentity $false -Name <app-name> -ResourceGroupName <group-name>

関数の場合

Azure PowerShell (Azure Functions のみ) のすべての ID を削除するには、次のコマンドを実行します。

# Update an existing function app to have IdentityType "None".
Update-AzFunctionApp -Name <function-app-name> -ResourceGroupName <group-name> -IdentityType None

ARM テンプレート内のすべての ID を削除するには、次のコードを使用します。

"identity": {
    "type": "None"
}

注記

ローカルトークンサービス ( WEBSITE_DISABLE_MSI) のみを無効にするアプリケーション設定を設定することもできます。ただし、ID はそのまま残ります。ツールでは、マネージド ID は引き続きオンまたは有効として表示されます。そのため、この設定は使用しないことをお勧めします。

REST エンドポイントのリファレンス

マネージド ID を持つアプリは、次の 2 つの環境変数を定義することによってこのエンドポイントを使用できます。

IDENTITY_ENDPOINT: ローカルトークンサービスの URL。
IDENTITY_HEADER: サーバー側要求フォージェリ (SSRF) 攻撃を軽減するのに役立つヘッダー。プラットフォームによって値がローテーションされます。

IDENTITY_ENDPOINT変数は、アプリがトークンを要求できるローカル URL です。リソースのトークンを取得するには、このエンドポイントに対して HTTP GET 要求を行います。次のパラメーターを含めます。

パラメーター名場所説明

resource クエリトークンを取得する必要のあるリソースの Microsoft Entra リソース URI。このリソースは、Microsoft Entra 認証またはその他のリソース URI をサポートする Azure サービスの 1 つです。

api-version クエリ使うトークン API のバージョン。 2019-08-01 を使用してください。

X-IDENTITY-HEADER ヘッダー IDENTITY_HEADER 環境変数の値。このヘッダーは、SSRF 攻撃の軽減に役立ちます。

client_id クエリ (省略可能) 使用するユーザー割り当て ID のクライアント ID。 principal_id、mi_res_id、またはobject_idを含む要求では使用できません。すべての ID パラメーター (client_id、principal_id、object_id、および mi_res_id) を省略した場合、システム割り当て ID が使用されます。

principal_id クエリ (省略可能) 使用するユーザー割り当て ID のプリンシパル ID。 object_id パラメーターは、代わりに使用できるエイリアスです。 client_id、mi_res_id、またはobject_idを含む要求では使用できません。すべての ID パラメーター (client_id、principal_id、object_id、および mi_res_id) を省略した場合、システム割り当て ID が使用されます。

mi_res_id クエリ (省略可能) 使用するユーザー割り当て ID の Azure リソース ID。 principal_id、client_id、またはobject_idを含む要求では使用できません。すべての ID パラメーター (client_id、principal_id、object_id、および mi_res_id) を省略した場合、システム割り当て ID が使用されます。

パラメーター名	場所	説明
`resource`	クエリ	トークンを取得する必要のあるリソースの Microsoft Entra リソース URI。このリソースは、Microsoft Entra 認証またはその他のリソース URI をサポートする Azure サービスの 1 つです。
`api-version`	クエリ	使うトークン API のバージョン。 `2019-08-01` を使用してください。
`X-IDENTITY-HEADER`	ヘッダー	`IDENTITY_HEADER` 環境変数の値。このヘッダーは、SSRF 攻撃の軽減に役立ちます。
`client_id`	クエリ	(省略可能) 使用するユーザー割り当て ID のクライアント ID。 `principal_id`、`mi_res_id`、または`object_id`を含む要求では使用できません。すべての ID パラメーター (`client_id`、`principal_id`、`object_id`、および `mi_res_id`) を省略した場合、システム割り当て ID が使用されます。
`principal_id`	クエリ	(省略可能) 使用するユーザー割り当て ID のプリンシパル ID。 `object_id` パラメーターは、代わりに使用できるエイリアスです。 `client_id`、`mi_res_id`、または`object_id`を含む要求では使用できません。すべての ID パラメーター (`client_id`、`principal_id`、`object_id`、および `mi_res_id`) を省略した場合、システム割り当て ID が使用されます。
`mi_res_id`	クエリ	(省略可能) 使用するユーザー割り当て ID の Azure リソース ID。 `principal_id`、`client_id`、または`object_id`を含む要求では使用できません。すべての ID パラメーター (`client_id`、`principal_id`、`object_id`、および `mi_res_id`) を省略した場合、システム割り当て ID が使用されます。

重要

ユーザー割り当て ID のトークンを取得しようとしている場合は、省略可能なプロパティのいずれかを含めます。それ以外の場合、トークンサービスはシステム割り当て ID のトークンの取得を試みます。この ID は存在する場合と存在しない可能性があります。

次のチュートリアルを検討してください。

次の方法で共有

App Service と Azure Functions のマネージド ID を使用する

前提条件

システム割り当て ID を追加する

ユーザー割り当て ID を追加する

ターゲット リソースを構成する

アプリ コードでの Azure サービスへの接続

ID を削除する

REST エンドポイントのリファレンス

関連コンテンツ

フィードバック

その他のリソース

ターゲットリソースを構成する

アプリコードでの Azure サービスへの接続