ARM テンプレートでデプロイスクリプトを使用する

[アーティクル]
04/09/2024

Azure Resource Manager (ARM) テンプレートでデプロイスクリプトを使用する方法を説明します。 deploymentScripts リソースを使用すると、ARM デプロイでスクリプトを実行して、実行結果を確認できます。

ヒント

ARM テンプレートと同じ機能を備え、構文も使いやすいため、Bicep をお勧めします。詳細については、「デプロイスクリプト」を参照してください。

これらのスクリプトは、次のようなカスタム手順を実行するために使用できます。

ユーザーをディレクトリに追加します。
データプレーン操作 (BLOB のコピー、シードデータベースなど) を実行します。
ライセンスキーを検索して検証します。
自己署名証明書を作成します。
Microsoft Entra ID でオブジェクトを作成します。
カスタムシステムから IP アドレスブロックを検索します。

デプロイスクリプトの利点は次のとおりです。

簡単にコーディング、使用、デバッグができます。デプロイスクリプトは、好みの開発環境で開発できます。スクリプトは、テンプレートまたは外部スクリプトファイルに埋め込むことができます。
スクリプト言語とプラットフォームを指定できます。現時点では、Linux 環境の Azure PowerShell および Azure CLI のデプロイスクリプトがサポートされています。
スクリプトにコマンドライン引数を渡すことを許可します。
スクリプトの出力を指定して、デプロイに渡すことができます。

デプロイスクリプトリソースは、Azure Container Instance が使用可能なリージョンでのみ使用できます。「Azure リージョンの Azure Container Instances のリソースの可用性」を参照してください。現在、デプロイスクリプトにはパブリックネットワークのみが使用されています。

重要

デプロイスクリプトサービスでは、スクリプトの実行とトラブルシューティングのために、ストレージアカウントとコンテナーインスタンスという 2 つのサポートリソースが必要になります。です。既存のストレージアカウントを指定できます。指定しない場合は、スクリプトサービスによってストレージアカウントが作成されます。自動で作成される 2 つのサポートリソースは通常、デプロイスクリプトの実行が終了状態になったときに、スクリプトサービスによって削除されます。サポートリソースは、削除されるまで請求の対象になります。価格情報については、「Container Instances の価格」と「Azure Storage の料金」を参照してください。詳細については、「デプロイスクリプトリソースのクリーンアップ」を参照してください。

Note

現在は、Azure サインインの再試行ロジックがラッパースクリプトに組み込まれています。デプロイスクリプトと同じテンプレートでアクセス許可を付与する場合、マネージド ID のロール割り当てがレプリケートされるまで、デプロイスクリプトサービスによって、10 秒間隔で 10 分間サインインが試行されます。

トレーニングリソース

デプロイスクリプトについてステップバイステップガイダンスを通じて学習する場合は、「デプロイスクリプトを使用して ARM テンプレートを拡張する」を参照してください。

最低限のアクセス許可を構成する

デプロイスクリプトの API バージョン 2020-10-01 以降では、デプロイスクリプトの実行に 2 つのプリンシパルが関係します。

デプロイプリンシパル (テンプレートのデプロイに使用されるプリンシパル): デプロイスクリプトリソースの実行に必要な基になるリソース (ストレージアカウントと Azure コンテナーインスタンス) の作成には、このプリンシパルが使用されます。最小限の特権のアクセス許可を構成するには、次のプロパティを含んだカスタムロールをデプロイプリンシパルに割り当てます。
```
{
  "roleName": "deployment-script-minimum-privilege-for-deployment-principal",
  "description": "Configure least privilege for the deployment principal in deployment script",
  "type": "customRole",
  "IsCustom": true,
  "permissions": [
    {
      "actions": [
        "Microsoft.Storage/storageAccounts/*",
        "Microsoft.ContainerInstance/containerGroups/*",
        "Microsoft.Resources/deployments/*",
        "Microsoft.Resources/deploymentScripts/*"
      ],
    }
  ],
  "assignableScopes": [
    "[subscription().id]"
  ]
}
```
Azure Storage と Azure Container Instance のリソースプロバイダーが登録されていない場合は、Microsoft.Storage/register/action と Microsoft.ContainerInstance/register/action も追加する必要があります。
デプロイスクリプトプリンシパル: このプリンシパルが必要になるのは、デプロイスクリプトが Azure に対して認証を行い、Azure CLI または PowerShell を呼び出す必要がある場合のみです。デプロイスクリプトプリンシパルの指定には 2 とおりの方法があります。
- identity プロパティにユーザー割り当てマネージド ID を指定します (「サンプルテンプレート」を参照)。指定された場合、スクリプトサービスは、デプロイスクリプトの呼び出し前に Connect-AzAccount -Identity を呼び出します。マネージド ID に、スクリプト内の操作を完了するために必要なアクセス権がある必要があります。現在、identity プロパティにサポートされているのは、ユーザー割り当てマネージド ID のみです。別の ID でログインするには、この箇条書きの 2 つ目の方法を使用してください。
- サービスプリンシパルの資格情報を安全な環境変数として渡したうえで、デプロイスクリプトから Connect-AzAccount または az login を呼び出します。
マネージド ID を使用する場合は、デプロイプリンシパルに、マネージ ID リソースに割り当てられたマネージド ID オペレーター ロール (組み込みロール) が必要です。

サンプルテンプレート

次の JSON は例です。詳細については、最新のテンプレートスキーマを参照してください。

{
  "type": "Microsoft.Resources/deploymentScripts",
  "apiVersion": "2020-10-01",
  "name": "runPowerShellInline",
  "location": "[resourceGroup().location]",
  "tags": {
    "tagName1": "tagValue1",
    "tagName2": "tagValue2"
  },
  "kind": "AzurePowerShell", // or "AzureCLI"
  "identity": {
    "type": "userAssigned",
    "userAssignedIdentities": {
      "/subscriptions/01234567-89AB-CDEF-0123-456789ABCDEF/resourceGroups/myResourceGroup/providers/Microsoft.ManagedIdentity/userAssignedIdentities/myID": {}
    }
  },
  "properties": {
    "forceUpdateTag": "1",
    "containerSettings": {
      "containerGroupName": "mycustomaci"
    },
    "storageAccountSettings": {
      "storageAccountName": "myStorageAccount",
      "storageAccountKey": "myKey"
    },
    "azPowerShellVersion": "9.7",  // or "azCliVersion": "2.47.0",
    "arguments": "-name \\\"John Dole\\\"",
    "environmentVariables": [
      {
        "name": "UserName",
        "value": "jdole"
      },
      {
        "name": "Password",
        "secureValue": "jDolePassword"
      }
    ],
    "scriptContent": "
      param([string] $name)
      $output = 'Hello {0}. The username is {1}, the password is {2}.' -f $name,${Env:UserName},${Env:Password}
      Write-Output $output
      $DeploymentScriptOutputs = @{}
      $DeploymentScriptOutputs['text'] = $output
    ", // or "primaryScriptUri": "https://raw.githubusercontent.com/Azure/azure-docs-json-samples/master/deployment-script/deploymentscript-helloworld.ps1",
    "supportingScriptUris":[],
    "timeout": "PT30M",
    "cleanupPreference": "OnSuccess",
    "retentionInterval": "P1D"
  }
}

Note

この例は、デモンストレーション用です。 1 つのテンプレートでプロパティ scriptContent と primaryScriptUri の両方を指定することはできません。

Note

scriptContent には、複数の行を含むスクリプトが表示されます。 Azure portal および Azure DevOps パイプラインで複数行のデプロイスクリプトを解析することはできません。セミコロン、\r\n、または \n を使用して PowerShell コマンドを 1 行にチェーンするか、外部のスクリプトファイルで primaryScriptUri プロパティを使用することができます。利用可能な無料の JSON 文字列エスケープ/エスケープ解除ツールが多数あります。たとえば、「https://www.freeformatter.com/json-escape.html」のように入力します。

プロパティ値の詳細:

identity: デプロイスクリプト API バージョン2020-10-01 以降では、スクリプトで Azure 固有のアクションを実行する必要がない限り、ユーザー割り当てマネージド ID は省略可能です。 API バージョン 2019-10-01-preview では、デプロイスクリプトサービスでスクリプトを実行するために使用されるため、マネージド ID が必要です。 ID プロパティを指定すると、スクリプトサービスはユーザースクリプトを呼び出す前に Connect-AzAccount -Identity を呼び出します。現時点では、ユーザー割り当てマネージド ID のみがサポートされています。別の ID を使ってログインするには、スクリプト内で Connect-AzAccount を呼び出します。
tags: デプロイスクリプトのタグ。デプロイスクリプトサービスによってストレージアカウントとコンテナーインスタンスが生成された場合、タグは両方のリソースに渡されます。このタグは、これらのリソースを識別するために使用できます。これらのリソースを識別するもう 1 つの方法は、サフィックスに "azscripts" が含まれるかどうかです。詳しくは、「デプロイスクリプトの監視とトラブルシューティング」をご覧ください。
kind: スクリプトの種類を指定します。現在、Azure PowerShell および Azure CLI のスクリプトがサポートされています。値は、AzurePowerShell と AzureCLI です。
forceUpdateTag:テンプレートのデプロイ間でこの値を変更すると、デプロイスクリプトが強制的に再実行されます。 newGuid() または utcNow() 関数を使用する場合は、どちらの関数もパラメーターの既定値でのみ使用できます。詳細については、「スクリプトを複数回実行する」を参照してください。
containerSettings:Azure Container Instance をカスタマイズするための設定を指定します。デプロイスクリプトには、新しい Azure Container Instance が必要です。既存の Azure Container Instance は指定できません。ただし、containerGroupName を使用して、コンテナーグループ名をカスタマイズできます。指定しない場合、グループ名は自動的に生成されます。
storageAccountSettings:既存のストレージアカウントを使用するための設定を指定します。 storageAccountName を指定しない場合、ストレージアカウントは自動的に作成されます。「既存のストレージアカウントの使用」を参照してください。
azPowerShellVersion/azCliVersion:使用するモジュールのバージョンを指定します。サポートされている Azure PowerShell バージョンの一覧を参照してください。バージョンによって、使用するコンテナーイメージが決まります。
- 9 以上の Az バージョンでは、Ubuntu 22.04 が使用されます。
- 6 以上、9 未満の Az バージョンでは、Ubuntu 20.04 が使用されます。
- 6 未満の Az バージョンでは、Ubuntu 18.04 が使用されます。
重要

Ubuntu 18.04 のサポート終了日が近づいており、2023 年 5 月 31 日以降はセキュリティアップデートが提供されなくなるため、最新バージョンへのアップグレードが推奨されています。

サポートされている Azure CLI バージョンの一覧を参照してください。

重要

デプロイスクリプトでは、Microsoft Container Registry (MCR) から入手可能な CLI イメージが使用されます。デプロイスクリプト用の CLI イメージの認証には、通常約 1 か月かかります。 30 日以内にリリースされた CLI バージョンは使用しないでください。イメージのリリース日を確認するには、「Azure CLI リリースノート」を参照してください。サポートされていないバージョンが使用されている場合、サポートされているバージョンがエラーメッセージに一覧表示されます。
arguments:パラメーター値を指定します。値はスペースで区切ります。

デプロイスクリプトは、CommandLineToArgvW システム呼び出しを起動して、引数を文字列の配列に分割します。この手順が必要なのは、引数が command プロパティとして Azure コンテナーインスタンスに渡され、その command プロパティは文字列の配列であるためです。

引数にエスケープ文字が含まれている場合は JsonEscaper を使用して、文字をダブルエスケープします。元のエスケープされた文字列をそのツールに貼り付け、 [エスケープ] を選択します。ツールにより、ダブルエスケープされた文字列が出力されます。たとえば、前のサンプルテンプレートの引数は -name \"John Dole\" です。エスケープされた文字列は -name \\\"John Dole\\\" です。

オブジェクト型の ARM テンプレートパラメーターを引数として渡すには、string () 関数を使用してオブジェクトを文字列に変換してから、replace () 関数を使用してすべての \" を \\\" に置き換えます。例:
```
replace(string(parameters('tables')), '\"', '\\\"')
```
詳細については、サンプルテンプレートを参照してください。
environmentVariables:スクリプトに渡す環境変数を指定します。詳細については、「デプロイスクリプトを開発する」を参照してください。
scriptContent:スクリプトの内容を指定します。外部スクリプトを実行するには、代わりに primaryScriptUri を使用します。例については、「インラインスクリプトを使用する」および「外部スクリプトを使用する」を参照してください。
primaryScriptUri: サポートされているファイル拡張子を含むプライマリデプロイスクリプトへのパブリックにアクセス可能な URL を指定します。詳細については、「外部関数を使用する」を参照してください。
supportingScriptUris: scriptContent または primaryScriptUri で呼び出されるサポートファイルへのパブリックにアクセス可能な URL の配列を指定します。詳細については、「外部関数を使用する」を参照してください。
timeout: ISO 8601 形式で指定される、スクリプトの許容最長実行時間を指定します。既定値は P1D です。
cleanupPreference スクリプトの実行が終了状態になったときに 2 つのデプロイサポートリソース (ストレージアカウントとコンテナーインスタンス) をクリーンアップする方法を指定します。既定の設定は Always です。これは、終了状態 (Succeeded、Failed、Canceled) に関係なくリソースを削除することを意味します。詳細については、「デプロイスクリプトリソースのクリーンアップ」を参照してください。
retentionInterval: デプロイスクリプトの実行が終了状態に達した後、サービスがデプロイスクリプトリソースを保持する間隔を指定します。この期限を過ぎると、デプロイスクリプトリソースは削除されます。期間は ISO 8601 のパターンに基づきます。保持期間は 1 から 26 時間 (PT26H) です。このプロパティは、cleanupPreference が OnExpiration に設定されている場合に使用されます。詳細については、「デプロイスクリプトリソースのクリーンアップ」を参照してください。

その他のサンプル

サンプル 1: キーコンテナーを作成し、デプロイスクリプトを使用してキーコンテナーに証明書を割り当てます。
サンプル 2: サブスクリプションレベルでリソースグループを作成し、リソースグループにキーコンテナーを作成した後、デプロイスクリプトを使用して、キーコンテナーに証明書を割り当てます。
サンプル 3: ユーザー割り当てマネージド ID を作成し、リソースグループレベルで ID に共同作成者ロールを割り当てて、キーコンテナーを作成した後、デプロイスクリプトを使用してキーコンテナーに証明書を割り当てます。
サンプル 4: この一覧のサンプル 1 と同じシナリオです。デプロイスクリプトを実行するために新しいリソースグループが作成されます。このテンプレートは、サブスクリプションレベルのテンプレートです。
サンプル 5: サンプル 4 と同じシナリオです。このテンプレートは、リソースグループレベルのテンプレートです。
サンプル 6: ユーザー割り当てマネージド ID を手動で作成し、Microsoft Graph API を使用して Microsoft Entra アプリケーションを作成するためのアクセス許可を割り当てます。ARM テンプレートで、デプロイスクリプトを使用して Microsoft Entra アプリケーションとサービスプリンシパルを作成し、オブジェクト ID とクライアント ID を出力します。

インラインスクリプトを使用する

次のテンプレートには、Microsoft.Resources/deploymentScripts の種類で定義されたリソースが 1 つあります。強調表示されている部分は、インラインスクリプトです。

{
  "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#",
  "contentVersion": "1.0.0.0",
  "parameters": {
    "name": {
      "type": "string",
      "defaultValue": "\\\"John Dole\\\""
    },
    "utcValue": {
      "type": "string",
      "defaultValue": "[utcNow()]"
    }
  },
  "resources": [
    {
      "type": "Microsoft.Resources/deploymentScripts",
      "apiVersion": "2020-10-01",
      "name": "runPowerShellInlineWithOutput",
      "location": "[resourceGroup().location]",
      "kind": "AzurePowerShell",
      "properties": {
        "forceUpdateTag": "[parameters('utcValue')]",
        "azPowerShellVersion": "8.3",
        "scriptContent": "
          param([string] $name)
          $output = \"Hello {0}\" -f $name
          Write-Output $output
          $DeploymentScriptOutputs = @{}
          $DeploymentScriptOutputs['text'] = $output
        ",
        "arguments": "[concat('-name', ' ', parameters('name'))]",
        "timeout": "PT1H",
        "cleanupPreference": "OnSuccess",
        "retentionInterval": "P1D"
      }
    }
  ],
  "outputs": {
    "result": {
      "value": "[reference('runPowerShellInlineWithOutput').outputs.text]",
      "type": "string"
    }
  }
}

Note

インラインデプロイスクリプトは二重引用符で囲まれているため、デプロイスクリプト内の文字列は、円記号 (\) を使用してエスケープするか、単一引用符で囲む必要があります。前の JSON サンプルに示されているように、文字列の置換を使用することを検討することもできます。

このスクリプトは、1 つのパラメーターを受け取り、パラメーター値を出力します。 DeploymentScriptOutputs は、出力を格納するために使用されます。出力セクションのvalueの線は、格納されている値にアクセスする方法を示しています。 Write-Output はデバッグ目的で使用されます。出力ファイルにアクセスする方法については、「デプロイスクリプトの監視とトラブルシューティング」を参照してください。プロパティの説明については、「サンプルテンプレート」を参照してください。

スクリプトを実行するには、 [試してみる] を選択して Cloud Shell を開き、次のコードをシェルウィンドウに貼り付けます。

$resourceGroupName = Read-Host -Prompt "Enter the name of the resource group to be created"
$location = Read-Host -Prompt "Enter the location (i.e. centralus)"

New-AzResourceGroup -Name $resourceGroupName -Location $location

New-AzResourceGroupDeployment -ResourceGroupName $resourceGroupName -TemplateUri "https://raw.githubusercontent.com/Azure/azure-docs-json-samples/master/deployment-script/deploymentscript-helloworld.json"

Write-Host "Press [ENTER] to continue ..."

出力は次のようになります。

Resource Manager テンプレートデプロイスクリプトの

外部スクリプトを使用する

インラインスクリプトに加えて、外部スクリプトファイルを使用することもできます。 ps1 ファイル拡張子を持つプライマリ PowerShell スクリプトのみがサポートされています。 CLI スクリプトの場合、スクリプトが有効な bash スクリプトである限り、プライマリスクリプトには任意の拡張子を設定できます (または拡張子なしにできます)。外部スクリプトファイルを使用するには、scriptContent を primaryScriptUri に置き換えます。次に例を示します。

"primaryScriptUri": "https://raw.githubusercontent.com/Azure/azure-docs-json-samples/master/deployment-script/deploymentscript-helloworld.ps1",

詳細については、テンプレートの例を参照してください。

外部スクリプトファイルにアクセスできる必要があります。 Azure ストレージアカウントに格納されているスクリプトファイルをセキュリティで保護するには、SAS トークンを生成し、テンプレートの URI に含めます。デプロイの完了に必要な時間を確保できるように有効期限を設定します。詳細については、「SAS トークンを使用してプライベート ARM テンプレートをデプロイする」を参照してください。

デプロイスクリプトによって参照されるスクリプトの整合性を確保する必要があります (primaryScriptUri または supportingScriptUris のいずれか)。信頼できるスクリプトのみを参照します。

サポートスクリプトを使用する

複雑なロジックを、1 以上のサポートスクリプトファイルに分けることができます。 supportingScriptUris プロパティを使用すると、必要に応じて、サポートスクリプトファイルに URI の配列を指定できます。

"scriptContent": "
    ...
    ./Create-Cert.ps1
    ...
"

"supportingScriptUris": [
  "https://raw.githubusercontent.com/Azure/azure-docs-json-samples/master/deployment-script/create-cert.ps1"
],

サポートスクリプトファイルは、インラインスクリプトとプライマリスクリプトファイルの両方から呼び出すことができます。サポートスクリプトファイルには、ファイル拡張子に関する制限はありません。

サポートファイルは、実行時に azscripts/azscriptinput にコピーされます。インラインスクリプトおよびプライマリスクリプトファイルからサポートファイルを参照するには、相対パスを使用します。

PowerShell スクリプトからの出力を操作する

次のテンプレートでは、2 つの deploymentScripts リソース間で値を渡す方法が示されています。

{
  "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#",
  "contentVersion": "1.0.0.0",
  "parameters": {
    "name": {
      "type": "string",
      "defaultValue": "John Dole"
    },
    "utcValue": {
      "type": "string",
      "defaultValue": "[utcNow()]"
    }
  },
  "resources": [
    {
      "type": "Microsoft.Resources/deploymentScripts",
      "apiVersion": "2020-10-01",
      "name": "scriptInTemplate1",
      "location": "[resourceGroup().location]",
      "kind": "AzurePowerShell",
      "properties": {
        "forceUpdateTag": "[parameters('utcValue')]",
        "azPowerShellVersion": "8.3",
        "timeout": "PT1H",
        "arguments": "[concat('-name', ' ', concat('\\\"', parameters('name'), '\\\"'))]",
        "scriptContent": "
          param([string] $name)
          $output = 'Hello {0}' -f $name
          Write-Output $output
          $DeploymentScriptOutputs = @{}
          $DeploymentScriptOutputs['text'] = $output
        ",
        "cleanupPreference": "Always",
        "retentionInterval": "P1D"
      }
    },
    {
      "type": "Microsoft.Resources/deploymentScripts",
      "apiVersion": "2020-10-01",
      "name": "scriptInTemplate2",
      "location": "[resourceGroup().location]",
      "kind": "AzurePowerShell",
      "dependsOn": [
        "scriptInTemplate1"
      ],
      "properties": {
        "forceUpdateTag": "[parameters('utcValue')]",
        "azPowerShellVersion": "8.3",
        "timeout": "PT1H",
        "arguments": "[concat('-textToEcho', ' ', concat('\\\"', reference('scriptInTemplate1').outputs.text, '\\\"'))]",
        "scriptContent": "
          param([string] $textToEcho)
          Write-Output $textToEcho
          $DeploymentScriptOutputs = @{}
          $DeploymentScriptOutputs['text'] = $textToEcho
        ",
        "cleanupPreference": "Always",
        "retentionInterval": "P1D"
      }
    }
  ],
  "outputs": {
    "result": {
      "value": "[reference('scriptInTemplate2').outputs.text]",
      "type": "string"
    }
  }
}

最初のリソースでは、 $DeploymentScriptOutputs という名前の変数を定義し、それを使用して出力値を格納します。テンプレート内の別のリソースから出力値にアクセスするには、次のように指定します。

reference('<ResourceName>').outputs.text

CLI スクリプトからの出力を操作する

Azure PowerShell デプロイスクリプトとは対照的に、CLI/bash では、スクリプト出力を格納するための共通変数は公開されません。代わりに、AZ_SCRIPTS_OUTPUT_PATH という名前の環境変数を使用して、スクリプト出力ファイルの場所を示します。 ARM テンプレート内でデプロイスクリプトを実行すると、この Bash シェルによってこの環境変数が自動的に構成されます。その定義済みの値は、/mnt/azscripts/azscriptoutput/scriptoutputs.json として設定されます。その出力は、有効な JSON 文字列オブジェクト構造に準拠する必要があります。そのファイルの内容は、キーと値のペアとして書式設定する必要があります。たとえば、文字列の配列は、{ "MyResult": [ "foo", "bar"] } として保存する必要があります。 [ "foo", "bar" ] など、配列の結果のみを格納することは無効と見なされます。

{
  "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#",
  "contentVersion": "1.0.0.0",
  "parameters": {
    "identity": {
      "type": "string"
    },
    "utcValue": {
      "type": "string",
      "defaultValue": "[utcNow()]"
    }
  },
  "resources": [
    {
      "type": "Microsoft.Resources/deploymentScripts",
      "apiVersion": "2020-10-01",
      "name": "runBashWithOutputs",
      "location": "[resourceGroup().location]",
      "kind": "AzureCLI",
      "identity": {
        "type": "UserAssigned",
        "userAssignedIdentities": {
          "[parameters('identity')]": {
          }
        }
      },
      "properties": {
        "forceUpdateTag": "[parameters('utcValue')]",
        "AzCliVersion": "2.40.0",
        "timeout": "PT30M",
        "arguments": "'foo' 'bar'",
        "environmentVariables": [
          {
            "name": "UserName",
            "value": "jdole"
          },
          {
            "name": "Password",
            "secureValue": "jDolePassword"
          }
        ],
        "scriptContent": "result=$(az keyvault list); echo \"arg1 is: $1\"; echo \"arg2 is: $2\"; echo \"Username is: $UserName\"; echo \"password is: $Password\"; echo $result | jq -c '{Result: map({id: .id})}' > $AZ_SCRIPTS_OUTPUT_PATH",
        "cleanupPreference": "OnExpiration",
        "retentionInterval": "P1D"

前のサンプルでは、jq が使用されています。これには、コンテナーイメージが付属しています。「開発環境の設定」を参照してください。

既存のストレージアカウントを使用する

スクリプト実行とトラブルシューティングには、ストレージアカウントとコンテナーインスタンスが必要です。既存のストレージアカウントを指定するオプションがあります。指定しない場合は、コンテナーインスタンスと共にストレージアカウントがスクリプトサービスによって自動的に作成されます。既存のストレージアカウントを使用するための要件は次のとおりです。

サポートされるストレージアカウントの種類:

SKU	サポートされている種類
Premium_LRS	FileStorage
Premium_ZRS	FileStorage
Standard_GRS	Storage、StorageV2
Standard_GZRS	StorageV2
Standard_LRS	Storage、StorageV2
Standard_RAGRS	Storage、StorageV2
Standard_RAGZRS	StorageV2
Standard_ZRS	StorageV2

これらの組み合わせによりファイル共有がサポートされます。詳細については、「Azure ファイル共有を作成する」および「ストレージアカウントの種類」を参照してください。

ストレージアカウントのファイアウォール規則はまだサポートされていません。詳細については、Azure Storage ファイアウォールおよび仮想ネットワークの構成に関する記事を参照してください。
デプロイプリンシパルには、ストレージアカウントを管理するためのアクセス許可が必要です。これには、ファイル共有の読み取り、作成、削除が含まれます。

既存のストレージアカウントを指定するには、次の JSON を Microsoft.Resources/deploymentScripts のプロパティ要素に追加します。

"storageAccountSettings": {
  "storageAccountName": "myStorageAccount",
  "storageAccountKey": "myKey"
},

storageAccountName: ストレージアカウントの名前を指定します。

storageAccountKey : ストレージアカウントキーのいずれかを指定します。 listKeys() 関数を使用して、キーを取得することができます。次に例を示します。

"storageAccountSettings": {
    "storageAccountName": "[variables('storageAccountName')]",
    "storageAccountKey": "[listKeys(resourceId('Microsoft.Storage/storageAccounts', variables('storageAccountName')), '2019-06-01').keys[0].value]"
}

完全な Microsoft.Resources/deploymentScripts 定義のサンプルについては、「サンプルテンプレート」を参照してください。

既存のストレージアカウントを使用すると、スクリプトサービスによって一意の名前を持つファイル共有が作成されます。スクリプトサービスがファイル共有をクリーンアップする方法については、「デプロイスクリプトリソースのクリーンアップ」を参照してください。

デプロイスクリプトを開発する

終了しないエラーを処理する

デプロイスクリプトで $ErrorActionPreference 変数を使用することで、終了しないエラーに PowerShell が対応する方法を制御できます。この変数がデプロイスクリプトに設定されていない場合、スクリプトサービスでは既定値 Continue が使用されます。

$ErrorActionPreference の設定に関係なく、デプロイスクリプトでエラーが発生すると、スクリプトサービスによってリソースのプロビジョニングの状態が失敗に設定されます。

環境変数を使用する

デプロイスクリプトでは、これらの環境変数を使用します。

環境変数	既定値	システムで予約済み
AZ_SCRIPTS_AZURE_ENVIRONMENT	AzureCloud	N
AZ_SCRIPTS_CLEANUP_PREFERENCE	OnExpiration	N
AZ_SCRIPTS_OUTPUT_PATH	<AZ_SCRIPTS_PATH_OUTPUT_DIRECTORY>/<AZ_SCRIPTS_PATH_SCRIPT_OUTPUT_FILE_NAME>	Y
AZ_SCRIPTS_PATH_INPUT_DIRECTORY	/mnt/azscripts/azscriptinput	Y
AZ_SCRIPTS_PATH_OUTPUT_DIRECTORY	/mnt/azscripts/azscriptoutput	Y
AZ_SCRIPTS_PATH_USER_SCRIPT_FILE_NAME	Azure PowerShell: userscript.ps1; Azure CLI: userscript.sh	Y
AZ_SCRIPTS_PATH_PRIMARY_SCRIPT_URI_FILE_NAME	primaryscripturi.config	Y
AZ_SCRIPTS_PATH_SUPPORTING_SCRIPT_URI_FILE_NAME	supportingscripturi.config	Y
AZ_SCRIPTS_PATH_SCRIPT_OUTPUT_FILE_NAME	scriptoutputs.json	Y
AZ_SCRIPTS_PATH_EXECUTION_RESULTS_FILE_NAME	executionresult.json	Y
AZ_SCRIPTS_USER_ASSIGNED_IDENTITY	/subscriptions/	N

AZ_SCRIPTS_OUTPUT_PATH の使用に関する詳細については、「CLI スクリプトからの出力を操作する」を参照してください。

セキュリティで保護された文字列をデプロイスクリプトに渡す

コンテナーインスタンスで環境変数 (EnvironmentVariable) を設定すると、コンテナーによって実行されるアプリケーションまたはスクリプトの動的な構成を提供できます。デプロイスクリプトでは、Azure Container Instance と同じ方法で、セキュリティで保護されていない環境変数と保護されている環境変数が処理されます。詳細については、「コンテナーインスタンスで環境変数を設定する」を参照してください。例については、「サンプルテンプレート」を参照してください。

環境変数の最大許容サイズは 64 KB です。

デプロイスクリプトの監視とトラブルシューティング

スクリプトサービスは、ストレージアカウント (既存のストレージアカウントが指定されていない場合) と、スクリプト実行用のコンテナーインスタンスを作成します。これらのリソースがスクリプトサービスによって自動的に作成される場合、両方のリソースには、リソース名に azscripts サフィックスが付けられます。

Resource Manager テンプレートデプロイスクリプトのリソース名のスクリーンショット。

ユーザースクリプト、実行結果、stdout ファイルは、ストレージアカウントのファイル共有に格納されます。 azscripts という名前のフォルダーがあります。このフォルダーには、azscriptinput と azscriptoutput という、入力用と出力ファイル用の 2 つのフォルダーがあります。

出力フォルダーには、executionresult.json とスクリプトの出力ファイルが含まれています。 executionresult.json で、スクリプト実行のエラーメッセージを確認できます。出力ファイルは、スクリプトが正常に実行された場合にのみ作成されます。入力フォルダーには、システム用 PowerShell スクリプトファイルとユーザー用デプロイスクリプトファイルが含まれています。ユーザー用デプロイスクリプトを変更したものに置き換え、Azure コンテナーインスタンスからデプロイスクリプトを再実行することができます。

Azure ポータルの使用

デプロイスクリプトリソースをデプロイすると、Azure portal のリソースグループの下にそのリソースが一覧表示されます。次のスクリーンショットは、デプロイスクリプトリソースの [概要] ページです。

Resource Manager テンプレートデプロイスクリプトのポータルでの [概要] のスクリーンショット。

概要ページには、リソースの重要な情報が表示されます。たとえば、 [プロビジョニングの状態] 、 [ストレージアカウント] 、 [コンテナーインスタンス] 、 [ログ] などです。

左側のメニューから、デプロイスクリプトの内容、スクリプトに渡される引数、および出力を表示できます。デプロイスクリプトを含む、デプロイスクリプトのテンプレートをエクスポートすることもできます。

PowerShell の使用

Azure PowerShell を使用すると、サブスクリプションまたはリソースグループのスコープでデプロイスクリプトを管理できます。

Get-AzDeploymentScript:デプロイスクリプトを取得または一覧表示します。
Get-AzDeploymentScriptLog:デプロイスクリプト実行のログを取得します。
Remove-AzDeploymentScript:デプロイスクリプトとそれに関連付けられているリソースを削除します。
Save-AzDeploymentScriptLog:デプロイスクリプト実行のログをディスクに保存します。

Get-AzDeploymentScript の出力は次のようになります。

Name                : runPowerShellInlineWithOutput
Id                  : /subscriptions/01234567-89AB-CDEF-0123-456789ABCDEF/resourceGroups/myds0618rg/providers/Microsoft.Resources/deploymentScripts/runPowerShellInlineWithOutput
ResourceGroupName   : myds0618rg
Location            : centralus
SubscriptionId      : 01234567-89AB-CDEF-0123-456789ABCDEF
ProvisioningState   : Succeeded
Identity            : /subscriptions/01234567-89AB-CDEF-0123-456789ABCDEF/resourceGroups/mydentity1008rg/providers/Microsoft.ManagedIdentity/userAssignedIdentities/myuami
ScriptKind          : AzurePowerShell
AzPowerShellVersion : 9.7
StartTime           : 5/11/2023 7:46:45 PM
EndTime             : 5/11/2023 7:49:45 PM
ExpirationDate      : 5/12/2023 7:49:45 PM
CleanupPreference   : OnSuccess
StorageAccountId    : /subscriptions/01234567-89AB-CDEF-0123-456789ABCDEF/resourceGroups/myds0618rg/providers/Microsoft.Storage/storageAccounts/ftnlvo6rlrvo2azscripts
ContainerInstanceId : /subscriptions/01234567-89AB-CDEF-0123-456789ABCDEF/resourceGroups/myds0618rg/providers/Microsoft.ContainerInstance/containerGroups/ftnlvo6rlrvo2azscripts
Outputs             :
                      Key                 Value
                      ==================  ==================
                      text                Hello John Dole

RetentionInterval   : P1D
Timeout             : PT1H

Azure CLI の使用

Azure CLI を使用すると、サブスクリプションまたはリソースグループのスコープでデプロイスクリプトを管理できます。

az deployment-scripts delete:デプロイスクリプトを削除します。
az deployment-scripts list:すべてのデプロイスクリプトを一覧表示します。
az deployment-scripts show:デプロイスクリプトを取得します。
az deployment-scripts show-log:デプロイスクリプトのログを表示します。

list コマンドの出力は次のようになります。

[
  {
    "arguments": "'foo' 'bar'",
    "azCliVersion": "2.40.0",
    "cleanupPreference": "OnExpiration",
    "containerSettings": {
      "containerGroupName": null
    },
    "environmentVariables": null,
    "forceUpdateTag": "20231101T163748Z",
    "id": "/subscriptions/01234567-89AB-CDEF-0123-456789ABCDEF/resourceGroups/myds0624rg/providers/Microsoft.Resources/deploymentScripts/runBashWithOutputs",
    "identity": {
      "tenantId": "01234567-89AB-CDEF-0123-456789ABCDEF",
      "type": "userAssigned",
      "userAssignedIdentities": {
        "/subscriptions/01234567-89AB-CDEF-0123-456789ABCDEF/resourcegroups/myidentity/providers/Microsoft.ManagedIdentity/userAssignedIdentities/myuami": {
          "clientId": "01234567-89AB-CDEF-0123-456789ABCDEF",
          "principalId": "01234567-89AB-CDEF-0123-456789ABCDEF"
        }
      }
    },
    "kind": "AzureCLI",
    "location": "centralus",
    "name": "runBashWithOutputs",
    "outputs": {
      "Result": [
        {
          "id": "/subscriptions/01234567-89AB-CDEF-0123-456789ABCDEF/resourceGroups/mytest/providers/Microsoft.KeyVault/vaults/mykv1027",
          "resourceGroup": "mytest"
        }
      ]
    },
    "primaryScriptUri": null,
    "provisioningState": "Succeeded",
    "resourceGroup": "mytest",
    "retentionInterval": "1 day, 0:00:00",
    "scriptContent": "result=$(az keyvault list); echo \"arg1 is: $1\"; echo $result | jq -c '{Result: map({id: .id})}' > $AZ_SCRIPTS_OUTPUT_PATH",
    "status": {
      "containerInstanceId": "/subscriptions/01234567-89AB-CDEF-0123-456789ABCDEF/resourceGroups/mytest/providers/Microsoft.ContainerInstance/containerGroups/eg6n7wvuyxn7iazscripts",
      "endTime": "2023-11-01T16:39:12.080950+00:00",
      "error": null,
      "expirationTime": "2023-11-02T16:39:12.080950+00:00",
      "startTime": "2023-11-01T16:37:53.139700+00:00",
      "storageAccountId": null
    },
    "storageAccountSettings": {
      "storageAccountKey": null,
      "storageAccountName": "dsfruro267qwb4i"
    },
    "supportingScriptUris": null,
    "systemData": {
      "createdAt": "2023-10-31T19:06:57.060909+00:00",
      "createdBy": "someone@contoso.com",
      "createdByType": "User",
      "lastModifiedAt": "2023-11-01T16:37:51.859570+00:00",
      "lastModifiedBy": "someone@contoso.com",
      "lastModifiedByType": "User"
    },
    "tags": null,
    "timeout": "0:30:00",
    "type": "Microsoft.Resources/deploymentScripts"
  }
]

REST API を使用する

デプロイスクリプトリソースのデプロイ情報は、REST API を使用して、リソースグループレベルとサブスクリプションレベルで取得できます。

/subscriptions/<SubscriptionID>/resourcegroups/<ResourceGroupName>/providers/microsoft.resources/deploymentScripts/<DeploymentScriptResourceName>?api-version=2020-10-01

/subscriptions/<SubscriptionID>/providers/microsoft.resources/deploymentScripts?api-version=2020-10-01

ARMClient を使用する例を次に示します。

armclient login
armclient get /subscriptions/01234567-89AB-CDEF-0123-456789ABCDEF/resourcegroups/myrg/providers/microsoft.resources/deploymentScripts/myDeployementScript?api-version=2020-10-01

次のように出力されます。

{
  "kind": "AzurePowerShell",
  "identity": {
    "type": "userAssigned",
    "tenantId": "01234567-89AB-CDEF-0123-456789ABCDEF",
    "userAssignedIdentities": {
      "/subscriptions/01234567-89AB-CDEF-0123-456789ABCDEF/resourceGroups/myidentity1008rg/providers/Microsoft.ManagedIdentity/userAssignedIdentities/myuami": {
        "principalId": "01234567-89AB-CDEF-0123-456789ABCDEF",
        "clientId": "01234567-89AB-CDEF-0123-456789ABCDEF"
      }
    }
  },
  "location": "centralus",
  "systemData": {
    "createdBy": "someone@contoso.com",
    "createdByType": "User",
    "createdAt": "2023-05-11T02:59:04.7501955Z",
    "lastModifiedBy": "someone@contoso.com",
    "lastModifiedByType": "User",
    "lastModifiedAt": "2023-05-11T02:59:04.7501955Z"
  },
  "properties": {
    "provisioningState": "Succeeded",
    "forceUpdateTag": "20220625T025902Z",
    "azPowerShellVersion": "9.7",
    "scriptContent": "\r\n          param([string] $name)\r\n          $output = \"Hello {0}\" -f $name\r\n          Write-Output $output\r\n          $DeploymentScriptOutputs = @{}\r\n          $DeploymentScriptOutputs['text'] = $output\r\n        ",
    "arguments": "-name \\\"John Dole\\\"",
    "retentionInterval": "P1D",
    "timeout": "PT1H",
    "containerSettings": {},
    "status": {
      "containerInstanceId": "/subscriptions/01234567-89AB-CDEF-0123-456789ABCDEF/resourceGroups/myds0624rg/providers/Microsoft.ContainerInstance/containerGroups/64lxews2qfa5uazscripts",
      "storageAccountId": "/subscriptions/01234567-89AB-CDEF-0123-456789ABCDEF/resourceGroups/myds0624rg/providers/Microsoft.Storage/storageAccounts/64lxews2qfa5uazscripts",
      "startTime": "2023-05-11T02:59:07.5951401Z",
      "endTime": "2023-05-11T03:00:16.7969234Z",
      "expirationTime": "2023-05-12T03:00:16.7969234Z"
    },
    "outputs": {
      "text": "Hello John Dole"
    },
    "cleanupPreference": "OnSuccess"
  },
  "id": "/subscriptions/01234567-89AB-CDEF-0123-456789ABCDEF/resourceGroups/myds0624rg/providers/Microsoft.Resources/deploymentScripts/runPowerShellInlineWithOutput",
  "type": "Microsoft.Resources/deploymentScripts",
  "name": "runPowerShellInlineWithOutput"
}

次の REST API では、ログが返されます。

/subscriptions/<SubscriptionID>/resourcegroups/<ResourceGroupName>/providers/microsoft.resources/deploymentScripts/<DeploymentScriptResourceName>/logs?api-version=2020-10-01

デプロイスクリプトリソースが削除される前にのみ機能します。

ポータルで deploymentScripts リソースを表示するには、 [非表示の型の表示] を選択します。

Resource Manager テンプレートデプロイスクリプトのポータルでの [非表示の型の表示] オプションのスクリーンショット。

デプロイスクリプトリソースのクリーンアップ

削除が失敗した場合を除き、2 つの自動で作成されるサポートリソースが deploymentScript リソースよりも長く保持されることはありません。サポートリソースのライフサイクルは cleanupPreference プロパティによって管理され、deploymentScript リソースのライフサイクルは retentionInterval プロパティによって管理されます。

cleanupPreference: スクリプトの実行が終了状態になった時に 2 つのサポートリソースをクリーンアップする方法を指定します。サポートされる値は
- Always: スクリプト実行が終了状態になったら、2 つのサポートリソースを削除します。既存のストレージアカウントが使用されている場合、スクリプトサービスは、サービスによって作成されたファイル共有を削除します。そのサポートリソースがクリーンアップされた後も deploymentScripts リソースがまだ存在する場合があるため、リソースが削除されるまで、スクリプトサービスはそのスクリプトの実行結果 (たとえば stdout、出力、戻り値など) を保持します。
- OnSuccess: スクリプトの実行が成功した場合にのみ、2 つのサポートリソースを削除します。既存のストレージアカウントが使用されている場合は、スクリプトの実行が成功した場合にのみ、スクリプトサービスによってファイル共有が削除されます。
  
  スクリプトの実行が正常に完了しない場合、スクリプトサービスは retentionInterval が経過するまで待ってから、サポートリソース、デプロイスクリプトリソースの順にクリーンアップします。
- OnExpiration: retentionInterval の設定の期限が切れている場合にのみ、2 つのサポートリソースを削除します。既存のストレージアカウントが使用されている場合は、スクリプトサービスによってファイル共有が削除されますが、ストレージアカウントは保持されます。
コンテナーインスタンスとストレージアカウントは、cleanupPreference に従って削除されます。ただし、スクリプトが失敗し、cleanupPreference が Always に設定されていない場合、コンテナーはデプロイプロセスによって自動的に 1 時間、またはコンテナーがクリーンアップされるまで実行されたままになります。この時間を使用して、スクリプトのトラブルシューティングを行うことができます。デプロイが成功した後もコンテナーを実行したままにする場合は、スクリプトにスリープステップを追加します。たとえば、スクリプトの最後に Start-Sleep を追加します。スリープステップを追加しないと、コンテナーはターミナル状態に設定され、まだ削除されていない場合でもアクセスできなくなります。
retentionInterval: deploymentScript リソースを保持する期間を指定します。この時間が経過すると、期限が切れて削除されます。

Note

スクリプトサービスによって生成されたストレージアカウントやコンテナーインスタンスは、他の目的に使用しないことをお勧めします。この 2 つのリソースは、スクリプトライフサイクルに応じて削除される場合があります。

CanNotDelete ロックを使用してデプロイスクリプトがリソースグループにデプロイされている場合、自動的に作成されたストレージアカウントとコンテナーインスタンスを削除することはできません。この問題を解決するには、ロックなしでデプロイスクリプトを別のリソースグループにデプロイします。「サンプルテンプレート」のサンプル 4 とサンプル 5 を参照してください。

スクリプトを複数回実行する

デプロイスクリプトの実行はべき等操作です。 deploymentScripts リソースのどのプロパティ (インラインスクリプトを含む) も変更されていない場合は、テンプレートを再デプロイしてもスクリプトは実行されません。デプロイスクリプトサービスは、テンプレート内のリソース名と同じリソースグループ内の既存のリソースを比較します。同じデプロイスクリプトを複数回実行する場合は、次の 2 つのオプションがあります。

deploymentScripts リソースの名前を変更します。たとえば、utcNow テンプレート関数をリソース名として使用するか、リソース名の一部として使用します。リソース名を変更すると、新しい deploymentScripts リソースが作成されます。これは、スクリプトの実行履歴を保持するのに適しています。

Note

utcNow 関数は、パラメーターの既定値でのみ使用できます。
forceUpdateTag テンプレートプロパティに別の値を指定してください。たとえば、値として utcNow を使用します。

Note

べき等であるデプロイスクリプトを記述します。それにより、誤って再び実行されることがあっても、システム変更が引き起こされません。たとえば、デプロイスクリプトを使用して Azure リソースを作成する場合は、スクリプトが成功するか、リソースが再度作成されないよう、作成する前にリソースが存在しないことを確認してください。

開発環境の設定

デプロイスクリプトの開発環境として、事前構成済みのコンテナーイメージを使用できます。詳細については、「Configure development environment for deployment scripts in templates」(テンプレートでデプロイスクリプトの開発環境を構成する) を参照してください。

テストが正常に完了したスクリプトは、テンプレート内のデプロイスクリプトとして使用できます。

デプロイスクリプトのエラーコード

エラーコード	説明
DeploymentScriptInvalidOperation	テンプレートのデプロイスクリプトリソース定義に、無効なプロパティ名が含まれています。
DeploymentScriptResourceConflict	終了していない状態で、かつ実行が 1 時間を超えていないデプロイスクリプトリソースは削除できません。または、リソース識別子は同じ (サブスクリプション、リソースグループ名、リソース名は同じ) だが、スクリプト本文のコンテンツが異なる同じデプロイスクリプトを同時に再実行することはできません。
DeploymentScriptOperationFailed	内部でデプロイスクリプトの操作が失敗しました。 Microsoft サポートにお問い合わせください
DeploymentScriptStorageAccountAccessKeyNotSpecified	既存のストレージアカウントにアクセスキーが指定されていません。
DeploymentScriptContainerGroupContainsInvalidContainers	デプロイスクリプトサービスによって作成されたコンテナーグループが外部で変更され、無効なコンテナーが追加されました。
DeploymentScriptContainerGroupInNonterminalState	2 つ以上のデプロイスクリプトリソースによって、同じリソースグループ内で同じ Azure コンテナーインスタンス名が使用されており、そのうちの 1 つでまだ実行が完了していません。
DeploymentScriptStorageAccountInvalidKind	BlobBlobStorage または BlobStorage 型の既存のストレージアカウントはファイル共有をサポートしていないため、使用できません。
DeploymentScriptStorageAccountInvalidKindAndSku	既存のストレージアカウントではファイル共有はサポートされていません。サポートされているストレージアカウントの種類の一覧については、「既存のストレージアカウントを使用する」を参照してください。
DeploymentScriptStorageAccountNotFound	ストレージアカウントが存在しないか、外部のプロセスまたはツールによって削除されています。
DeploymentScriptStorageAccountWithServiceEndpointEnabled	指定されたストレージアカウントには、サービスエンドポイントがあります。サービスエンドポイントを持つストレージアカウントはサポートされていません。
DeploymentScriptStorageAccountInvalidAccessKey	既存のストレージアカウントに無効なアクセスキーが指定されています。
DeploymentScriptStorageAccountInvalidAccessKeyFormat	ストレージアカウントキーの形式が無効です。「ストレージアカウントアクセスキーを管理する」をご覧ください。
DeploymentScriptExceededMaxAllowedTime	デプロイスクリプトの実行時間が、デプロイスクリプトのリソース定義で指定されているタイムアウト値を超えました。
DeploymentScriptInvalidOutputs	デプロイスクリプトの出力が有効な JSON オブジェクトではありません。
DeploymentScriptContainerInstancesServiceLoginFailure	ユーザー割り当てマネージド ID によって、1 分間隔で 10 回ログインが試行されましたが、サインインできませんでした。
DeploymentScriptContainerGroupNotFound	デプロイスクリプトサービスによって作成されたコンテナーグループは、外部ツールまたはプロセスによって削除されました。
DeploymentScriptDownloadFailure	サポートスクリプトをダウンロードできませんでした。「サポートスクリプトを使用する」を参照してください。
DeploymentScriptError	ユーザースクリプトがエラーをスローしました。
DeploymentScriptBootstrapScriptExecutionFailed	ブートストラップスクリプトがエラーをスローしました。ブートストラップスクリプトは、デプロイスクリプトの実行を調整するシステムスクリプトです。
DeploymentScriptExecutionFailed	デプロイスクリプトの実行中に不明なエラーが発生しました。
DeploymentScriptContainerInstancesServiceUnavailable	Azure Container Instances (ACI) を作成するときに、ACI がサービス利用不可エラーをスローしました。
DeploymentScriptContainerGroupInNonterminalState	Azure Container Instances (ACI) を作成するときに、別のデプロイスクリプトが同じスコープ (同じサブスクリプション、リソースグループ名、リソース名) で同じ ACI 名を使用しています。
DeploymentScriptContainerGroupNameInvalid	指定された Azure Container Instances (ACI) 名は、ACI の要件を満たしていません。「Azure Container Instances における、トラブルシューティングに関する一般的問題」を参照してください。

デプロイスクリプト内で Microsoft Graph を使用する

配置スクリプトで Microsoft Graph を使用して、Microsoft Entra ID 内のオブジェクトを作成および操作できます。

コマンド

Azure CLI デプロイスクリプトを使用すると、az ad コマンドグループ内のコマンドを使用して、アプリケーション、サービスプリンシパル、グループ、ユーザーを操作できます。 az rest コマンドを使用して Microsoft Graph API を直接呼び出すこともできます。

Azure PowerShell デプロイスクリプトを使用する場合、Invoke-RestMethod コマンドレットを使用して、Microsoft Graph API を直接呼び出すことができます。

アクセス許可

デプロイスクリプトで使用される ID は、Microsoft Graph API を操作するために承認され、実行する操作に適切なアクセス許可を持っている必要があります。ユーザー割り当てマネージド ID を事前に作成し、それに Microsoft Graph のアプリロールを割り当てるなどして、テンプレートのデプロイの外部で ID を承認する必要があります。詳細については、こちらのクイックスタートの例を参照してください。

プライベート仮想ネットワークへのアクセス

Microsoft.Resources/deploymentScripts バージョン 2023-08-01 では、いくつかの追加の構成を使って、プライベートネットワーク内で配置スクリプトを実行できます。

ユーザー割り当てマネージド ID を作成して、それを identity プロパティに指定します。 ID を割り当てるには、Identity を参照してください。
true に設定されている allowSharedKeyAccess を使用してストレージアカウントを作成し、既存のストレージアカウントを使用するようにデプロイスクリプトを指定します。既存のストレージアカウントを指定するには、「既存のストレージアカウントを使用する」を参照してください。ストレージアカウントでは、追加の構成が必要です。
1. Azure portal でストレージアカウントを開きます。
2. 左側のメニューの [アクセス制御 (IAM)] を選択し、[ロールの割り当て] タブを選択します。
3. ユーザー割り当てマネージド ID に Storage File Data Privileged Contributor ロールを追加します。
4. 左側のメニューの [セキュリティとネットワーク] で、[ネットワーク] を選択し、[ファイアウォールと仮想ネットワーク] を選択します。
5. [選択した仮想ネットワークと IP アドレスから有効] を選択します。
6. [仮想ネットワーク] で、サブネットを追加します。スクリーンショットでは、サブネットは dspvnVnet という名前です。
7. [例外] で [Allow Azure services on the trusted services list to access this storage account]$信頼されたサービスの一覧の Azure サービスにこのストレージアカウントへのアクセスを許可する$ を選択します。

次の ARM テンプレートは、配置スクリプトを実行するための環境を構成する方法を示しています。

{
  "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#",
  "contentVersion": "1.0.0.0",
  "parameters": {
    "prefix": {
      "type": "string",
      "maxLength": 10
    },
    "location": {
      "type": "string",
      "defaultValue": "[resourceGroup().location]"
    },
    "userAssignedIdentityName": {
      "type": "string",
      "defaultValue": "[format('{0}Identity', parameters('prefix'))]"
    },
    "storageAccountName": {
      "type": "string",
      "defaultValue": "[format('{0}stg{1}', parameters('prefix'), uniqueString(resourceGroup().id))]"
    },
    "vnetName": {
      "type": "string",
      "defaultValue": "[format('{0}Vnet', parameters('prefix'))]"
    },
    "subnetName": {
      "type": "string",
      "defaultValue": "[format('{0}Subnet', parameters('prefix'))]"
    }
  },
  "resources": [
    {
      "type": "Microsoft.Network/virtualNetworks",
      "apiVersion": "2023-09-01",
      "name": "[parameters('vnetName')]",
      "location": "[parameters('location')]",
      "properties": {
        "addressSpace": {
          "addressPrefixes": [
            "10.0.0.0/16"
          ]
        },
        "enableDdosProtection": false,
        "subnets": [
          {
            "name": "[parameters('subnetName')]",
            "properties": {
              "addressPrefix": "10.0.0.0/24",
              "serviceEndpoints": [
                {
                  "service": "Microsoft.Storage"
                }
              ],
              "delegations": [
                {
                  "name": "Microsoft.ContainerInstance.containerGroups",
                  "properties": {
                    "serviceName": "Microsoft.ContainerInstance/containerGroups"
                  }
                }
              ]
            }
          }
        ]
      }
    },
    {
      "type": "Microsoft.Storage/storageAccounts",
      "apiVersion": "2023-01-01",
      "name": "[parameters('storageAccountName')]",
      "location": "[parameters('location')]",
      "sku": {
        "name": "Standard_LRS"
      },
      "kind": "StorageV2",
      "properties": {
        "networkAcls": {
          "bypass": "AzureServices",
          "virtualNetworkRules": [
            {
              "id": "[resourceId('Microsoft.Network/virtualNetworks/subnets', parameters('vnetName'), parameters('subnetName'))]",
              "action": "Allow",
              "state": "Succeeded"
            }
          ],
          "defaultAction": "Deny"
        },
        "allowSharedKeyAccess": true
      },
      "dependsOn": [
        "[resourceId('Microsoft.Network/virtualNetworks', parameters('vnetName'))]"
      ]
    },
    {
      "type": "Microsoft.ManagedIdentity/userAssignedIdentities",
      "apiVersion": "2023-07-31-preview",
      "name": "[parameters('userAssignedIdentityName')]",
      "location": "[parameters('location')]"
    },
    {
      "type": "Microsoft.Authorization/roleAssignments",
      "apiVersion": "2022-04-01",
      "scope": "[format('Microsoft.Storage/storageAccounts/{0}', parameters('storageAccountName'))]",
      "name": "[guid(tenantResourceId('Microsoft.Authorization/roleDefinitions', '69566ab7-960f-475b-8e7c-b3118f30c6bd'), resourceId('Microsoft.ManagedIdentity/userAssignedIdentities', parameters('userAssignedIdentityName')), resourceId('Microsoft.Storage/storageAccounts', parameters('storageAccountName')))]",
      "properties": {
        "principalId": "[reference(resourceId('Microsoft.ManagedIdentity/userAssignedIdentities', parameters('userAssignedIdentityName')), '2023-07-31-preview').principalId]",
        "roleDefinitionId": "[tenantResourceId('Microsoft.Authorization/roleDefinitions', '69566ab7-960f-475b-8e7c-b3118f30c6bd')]",
        "principalType": "ServicePrincipal"
      },
      "dependsOn": [
        "[resourceId('Microsoft.Storage/storageAccounts', parameters('storageAccountName'))]",
        "[resourceId('Microsoft.ManagedIdentity/userAssignedIdentities', parameters('userAssignedIdentityName'))]"
      ]
    }
  ]
}

次の ARM テンプレートを使って、配置をテストできます。

{
  "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#",
  "contentVersion": "1.0.0.0",
  "parameters": {
    "prefix": {
      "type": "string"
    },
    "location": {
      "type": "string",
      "defaultValue": "[resourceGroup().location]"
    },
    "utcValue": {
      "type": "string",
      "defaultValue": "[utcNow()]"
    },
    "storageAccountName": {
      "type": "string"
    },
    "vnetName": {
      "type": "string"
    },
    "subnetName": {
      "type": "string"
    },
    "userAssignedIdentityName": {
      "type": "string"
    }
  },
  "resources": [
    {
      "type": "Microsoft.Resources/deploymentScripts",
      "apiVersion": "2023-08-01",
      "name": "[format('{0}DS', parameters('prefix'))]",
      "location": "[parameters('location')]",
      "identity": {
        "type": "userAssigned",
        "userAssignedIdentities": {
          "[format('{0}', resourceId('Microsoft.ManagedIdentity/userAssignedIdentities', parameters('userAssignedIdentityName')))]": {}
        }
      },
      "kind": "AzureCLI",
      "properties": {
        "forceUpdateTag": "[parameters('utcValue')]",
        "azCliVersion": "2.47.0",
        "storageAccountSettings": {
          "storageAccountName": "[parameters('storageAccountName')]"
        },
        "containerSettings": {
          "subnetIds": [
            {
              "id": "[resourceId('Microsoft.Network/virtualNetworks/subnets', parameters('vnetName'), parameters('subnetName'))]"
            }
          ]
        },
        "scriptContent": "echo \"Hello world!\"",
        "retentionInterval": "P1D",
        "cleanupPreference": "OnExpiration"
      }
    }
  ]
}

次のステップ

この記事では、デプロイスクリプトの使用方法について学習しました。デプロイスクリプトのチュートリアルを詳しく見るには、次を確認してください。

チュートリアル:Azure Resource Manager テンプレートでデプロイスクリプトを使用する

Learn モジュール: デプロイスクリプトを使用して ARM テンプレートを拡張する

ARM テンプレートでデプロイ スクリプトを使用する

トレーニング リソース

最低限のアクセス許可を構成する

サンプル テンプレート

その他のサンプル

インライン スクリプトを使用する

外部スクリプトを使用する

サポート スクリプトを使用する

PowerShell スクリプトからの出力を操作する

CLI スクリプトからの出力を操作する

既存のストレージ アカウントを使用する

デプロイ スクリプトを開発する

終了しないエラーを処理する

環境変数を使用する

セキュリティで保護された文字列をデプロイ スクリプトに渡す

デプロイ スクリプトの監視とトラブルシューティング

Azure ポータルの使用

PowerShell の使用

Azure CLI の使用

REST API を使用する

デプロイ スクリプト リソースのクリーンアップ

スクリプトを複数回実行する

開発環境の設定

デプロイ スクリプトのエラー コード

デプロイ スクリプト内で Microsoft Graph を使用する

コマンド

アクセス許可

プライベート仮想ネットワークへのアクセス

次のステップ

その他のリソース

ARM テンプレートでデプロイスクリプトを使用する

トレーニングリソース

サンプルテンプレート

インラインスクリプトを使用する

サポートスクリプトを使用する

既存のストレージアカウントを使用する

デプロイスクリプトを開発する

セキュリティで保護された文字列をデプロイスクリプトに渡す

デプロイスクリプトの監視とトラブルシューティング

デプロイスクリプトリソースのクリーンアップ

デプロイスクリプトのエラーコード

デプロイスクリプト内で Microsoft Graph を使用する