Azure Communication Services に対する認証

[アーティクル]
11/15/2023

クライアントと Azure Communication Services とのやり取りはすべて認証される必要があります。一般的なアーキテクチャでは、「クライアントとサーバーのアーキテクチャ」を参照して、アクセスキー または Microsoft Entra 認証 がサーバー側の認証に使用されます。

別の種類の認証では、ユーザーアクセストークン を使用して、ユーザーが参加する必要があるサービスに対して認証を行います。たとえば、チャットまたは呼び出しサービスは、 ユーザーアクセストークン を利用して、ユーザーをスレッドに追加し、相互に会話できるようにします。

認証オプション

次の表は、Azure Communication Services の SDK とその認証オプションを示しています。

SDK	認証オプション
ID	アクセスキーまたは Microsoft Entra 認証
SMS	アクセスキーまたは Microsoft Entra 認証
電話番号	アクセスキーまたは Microsoft Entra 認証
電子メール	アクセスキーまたは Microsoft Entra 認証
通話	ユーザーアクセストークン
チャット	ユーザーアクセストークン

ここでは、各認証オプションについて簡単に説明します。

アクセスキー

アクセスキー認証は、信頼できるサービス環境で実行されているサービスアプリケーションに適しています。アクセスキーは、Azure Communication Services ポータルで確認できます。サービスアプリケーションでは、これを資格情報として使用して、対応する SDK を初期化します。 ID SDKでの使用方法については、例を参照してください。

アクセスキーはリソースの接続文字列の一部なので、接続文字列を使用した認証は、アクセスキーを使用した認証に相当します。

アクセスキーを使用して Azure Communication Services の API を手動で呼び出す場合は、要求に署名する必要があります。要求に署名する方法は、チュートリアルの中で詳しく説明します。

Microsoft Entra 認証

Azure プラットフォームは、リソースへのアクセスを制御するためにロールベースアクセス (Azure RBAC) を提供します。 "セキュリティプリンシパル" は、Azure RBAC リソースへのアクセスを要求するユーザー、グループ、サービスプリンシパル、またはマネージド ID を表します。 Microsoft Entra 認証は、他の承認オプションよりも優れたセキュリティと使いやすさを提供します。たとえば、マネージド ID を使用すると、アクセスキーの認証と同様に、アカウントアクセスキーをコードに保存する必要がなくなります。通信サービスアプリケーションでは引き続きアクセスキー認証を使用できますが、Microsoft では、可能な限り Microsoft Entra ID に移行することをお勧めします。

サービスプリンシパルを設定するには、Azure CLI から登録済みアプリケーションを作成します。次に、エンドポイントと資格情報を使用して、SDK を認証できます。サービスプリンシパルの使用例をご覧ください。

通信サービスは、通信サービスリソースに対する Microsoft Entra 認証をサポートします。マネージド id のサポートの詳細については、「Microsoft Entra のドキュメント」を参照してください。

Azure Communication Services のアクセストークンを Microsoft Entra ID とマップするには、信頼された認証サービスのヒーローサンプルを使用してください。

ユーザーアクセストークン

ユーザーアクセストークンは、ID SDK を使用して生成され、ID SDK で作成されたユーザーに関連付けられます。ユーザーを作成し、トークンを生成する方法の例を参照してください。次に、ユーザーアクセストークンを使用して、チャットまたは呼び出し SDK で会話に追加された参加者を認証します。詳細については、「チャットをアプリに追加する」を参照してください。ユーザーアクセストークン認証は、セキュリティで保護された Azure リソースではなくユーザーの認証に使用するという点で、アクセスキーや Microsoft Entra 認証と異なります。

監視とメトリックに ID を使用する

ユーザー ID は、Azure Monitor によって収集されるログとメトリックの主キーとして機能することを目的としています。たとえば、特定のユーザーのすべての呼び出しを表示する場合は、特定の Azure Communication Services ID (または複数の ID) を単一のユーザーにマップするように認証を設定する必要があります。ログ分析および使用可能なメトリックの詳細については、以下を参照してください。