Java アプリケーションを移行して、Azure SQL Database とのパスワードなしの接続を使用する

この記事では、従来の認証方法から、Azure SQL Database とのより安全なパスワードレス接続に移行する方法について説明します。

Azure SQL Database に対するアプリケーション要求は、認証される必要があります。 Azure SQL Database には、アプリを安全に接続するためのさまざまな方法が用意されています。 パスワードを使用する方法の 1 つ。 ただしアプリケーションには、可能であればパスワードレス接続を優先的に使用することをお勧めします。

認証オプションを比較する

アプリケーションが Azure SQL Database で認証されると、データベースに接続するためのユーザー名とパスワードのペアが提供されます。 ID の格納場所に応じて、認証には、Microsoft Entra認証とデータベース認証の 2 種類Azure SQLがあります。

Microsoft Entra 認証

Microsoft Entra認証は、Microsoft Entra ID で定義された ID を使用してAzure SQL Database に接続するためのメカニズムです。 Microsoft Entra認証を使用すると、データベース ユーザー ID やその他の Microsoft サービスを中央の場所で管理できるため、アクセス許可の管理が簡略化されます。

認証にMicrosoft Entra ID を使用すると、次の利点があります。

• 均一な方法で Azure Services 全体のユーザーを認証します。
• 1 か所でのパスワード ポリシーとパスワードローテーションの管理。
• Microsoft Entra ID でサポートされる複数の形式の認証により、パスワードを格納する必要がなくなります。
• お客様は、外部 (Microsoft Entra ID) グループを使用してデータベースのアクセス許可を管理できます。
• Microsoft Entra認証では、データベース ユーザー Azure SQL使用して、データベース レベルで ID を認証します。
• Azure SQL Database に接続するアプリケーションに対するトークンベースの認証のサポート。

Azure SQL Database 認証

Azure SQL Database でアカウントを作成できます。 アカウントの資格情報としてパスワードを使用することを選択した場合、これらの資格情報は sys.database_principals テーブルに格納されます。 これらのパスワードは Azure SQL Database に格納されるため、パスワードのローテーションを自分で管理する必要があります。

パスワードを使用して Azure SQL Database に接続することはできますが、慎重に使用する必要があります。 セキュリティで保護されていない場所でパスワードを公開することは絶対にしないでください。 パスワードにアクセスできるユーザーは誰でも認証できます。 たとえば、接続文字列が誤ってソース管理にチェックインされたり、セキュリティで保護されていないメールを通じて送信されたり、間違ったチャットに貼り付けたり、アクセス許可を持っていないユーザーによって表示されたりした場合、悪意のあるユーザーがアプリケーションにアクセスするリスクがあります。 アプリケーションを更新してパスワードレス接続に置き換えることを検討してください。

パスワードレス接続の概要

パスワードなしの接続を使用すると、アプリケーション コード、その構成ファイル、または環境変数に資格情報を格納せずに Azure サービスに接続できます。

多くの Azure サービスでは、たとえば Azure マネージド ID を使用したパスワードレス接続がサポートされています。 これらの手法は、Azure Identity クライアント ライブラリから DefaultAzureCredential を 使用して実装できる堅牢なセキュリティ機能を提供します。 このチュートリアルでは、接続文字列などの代替手段の代わりに使用 DefaultAzureCredential するように既存のアプリケーションを更新する方法について説明します。

DefaultAzureCredential は複数の認証方法をサポートしており、どの方法が使用されるかは実行時に決定されます。 このアプローチを採用すると、環境固有のコードを実装することなく、異なる環境 (ローカル開発環境と運用環境) で異なる認証方法をアプリに使用できます。

資格情報を検索する DefaultAzureCredential 順序と場所については、 Azure ID ライブラリの概要に関するページを参照してください。 たとえば、ローカルで作業する場合は、通常、 DefaultAzureCredential 開発者が Visual Studio へのサインインに使用したアカウントを使用して認証を行います。 アプリを Azure にデプロイすると、DefaultAzureCredential が自動的に切り替わってマネージド ID が使用されるようになります。 この移行のためにコードを変更する必要はありません。

接続がパスワードレスになるようにするには、ローカル開発と運用環境の両方を考慮する必要があります。 いずれかの場所で接続文字列が必要な場合、アプリケーションはパスワードレスではありません。

ローカル開発環境では、Visual Studio Code または IntelliJ 用の Azure CLI、Azure PowerShell、Visual Studio、または Azure プラグインを使用して認証できます。 この場合は、プロパティを構成する代わりに、アプリケーションでその資格情報を使用できます。

仮想マシンなどの Azure ホスティング環境にアプリケーションをデプロイする場合は、その環境でマネージド ID を割り当てることができます。 その後、Azure サービスに接続するために資格情報を指定する必要はありません。

注意

マネージド ID は、アプリまたはサービスを表すセキュリティ ID を提供します。 ID は Azure プラットフォームによって管理され、ユーザーがシークレットをプロビジョニングまたはローテーションする必要はありません。 マネージド ID の詳細については、概要ドキュメントを参照してください。

注意

Azure SQL Database 用の JDBC ドライバーでは、ローカル環境からのパスワードレス接続はまだサポートされていないため、この記事では、Azure ホスティング環境にデプロイされたアプリケーションと、パスワードレス接続を使用するように移行する方法にのみ焦点を当てます。

パスワードレス接続を使用するように既存のアプリケーションを移行する

次の手順では、パスワードベースのソリューションではなく、パスワードレス接続を使用するように既存のアプリケーションを移行する方法について説明します。

0) 作業環境の整備

まず、次のコマンドを使用して、いくつかの環境変数を設定します。

export AZ_RESOURCE_GROUP=<YOUR_RESOURCE_GROUP>
export AZ_DATABASE_SERVER_NAME=<YOUR_DATABASE_SERVER_NAME>
export AZ_DATABASE_NAME=demo
export CURRENT_USERNAME=$(az ad signed-in-user show --query userPrincipalName --output tsv)
export CURRENT_USER_OBJECTID=$(az ad signed-in-user show --query id --output tsv)

プレースホルダーは、この記事全体で使用される次の値に置き換えてください。

• <YOUR_RESOURCE_GROUP>: リソースが含まれているリソース グループの名前。
• <YOUR_DATABASE_SERVER_NAME>:Azure SQL Database サーバーの名前。 Azure 全体で一意である必要があります。

1) Azure SQL データベースを構成する

1.1) Microsoft Entra ID ベースの認証を有効にする

Azure SQL Database でMicrosoft Entra ID アクセスを使用するには、最初に管理者ユーザー Microsoft Entra設定する必要があります。 Microsoft Entra ID ベースの認証に対してユーザーを作成/有効にできるのは、Microsoft Entra 管理 ユーザーだけです。

Azure CLI を使用する場合は、次のコマンドを実行して、十分なアクセス許可があることを確認します。

az login --scope https://graph.microsoft.com/.default

次に、次のコマンドを実行して、Microsoft Entra管理者を設定します。

az sql server ad-admin create \
    --resource-group $AZ_RESOURCE_GROUP \
    --server $AZ_DATABASE_SERVER_NAME \
    --display-name $CURRENT_USERNAME \
    --object-id $CURRENT_USER_OBJECTID

このコマンドにより、Microsoft Entra管理者が現在サインインしているユーザーに設定されます。

注意

Azure SQL データベース サーバーごとに作成できるMicrosoft Entra管理者は 1 つだけです。 別の管理者を選択すると、サーバー用に構成されている既存のMicrosoft Entra管理者が上書きされます。

2) パスワードレス接続を使用するようにアプリ コードを移行する

次に、次の手順を使用して、パスワードレス接続を使用するようにコードを更新します。 概念的には似ていますが、各言語では異なる実装の詳細が使用されます。

Java

1. プロジェクト内で、パッケージに次の参照を azure-identity 追加します。 このライブラリには、パスワードレス接続を実装するために必要なすべてのエンティティが含まれています。

   <dependency>
        <groupId>com.azure</groupId>
        <artifactId>azure-identity</artifactId>
        <version>1.5.4</version>
   </dependency>
   

2. JDBC URL でMicrosoft Entraマネージド ID 認証を有効にします。v Azure SQL Database に接続するための を現在作成java.sql.Connectionしているコード内の場所を識別します。 次の例に合わせてコードを更新します。

   String url = "jdbc:sqlserver://$AZ_DATABASE_SERVER_NAME.database.windows.net:1433;databaseName=$AZ_DATABASE_NAME;authentication=ActiveDirectoryMSI;"   
   Connection con = DriverManager.getConnection(url);
   

3. 2 つの $AZ_DATABASE_SERVER_NAME 変数と 1 つの $AZ_DATABASE_NAME 変数を、この記事の冒頭で構成した値に置き換えます。

4. user JDBC URL から と password を削除します。

Spring

1. プロジェクト内に、パッケージへの参照を spring-cloud-azure-starter 追加します。 このライブラリには、パスワードレス接続を実装するために必要なすべてのエンティティが含まれています。

   <dependency>
       <groupId>com.azure.spring</groupId>
       <artifactId>spring-cloud-azure-starter</artifactId>
   </dependency>
   

   注意

   部品表 (BOM) を使用して Spring Cloud Azure ライブラリのバージョンを管理する方法の詳細については、Spring Cloud Azure 開発者ガイドの「はじめに」セクションを参照してください。

2. 次の例に示すように、 application.yaml または application.properties ファイルを更新します。 プロパティと プロパティをspring.datasource.password削除しますspring.datasource.username。

   spring:
     datasource:
       url: jdbc:sqlserver://${AZ_DATABASE_SERVER_NAME}.database.windows.net:1433;databaseName=${AZ_DATABASE_NAME};authentication=ActiveDirectoryMSI;
   

3) Azure ホスティング環境を構成する

パスワードレス接続を使用するようにアプリケーションを構成すると、Azure にデプロイされた後、同じコードで Azure サービスに対して認証を行うことができます。 たとえば、マネージド ID が割り当てられているAzure App Service インスタンスにデプロイされたアプリケーションは、Azure Storage に接続できます。

このセクションでは、2 つの手順を実行して、アプリケーションをパスワードなしの方法で Azure ホスティング環境で実行できるようにします。

• Azure ホスティング環境のマネージド ID を割り当てます。
• マネージド ID にロールを割り当てます。

注意

Azure には Service Connector も用意されています。これは、ホスティング サービスを SQL Server に接続するのに役立ちます。 Service Connector を使用してホスティング環境を構成すると、Service Connector によって自動的に行われるため、マネージド ID にロールを割り当てる手順を省略できます。 次のセクションでは、2 つの方法で Azure ホスティング環境を構成する方法について説明します。1 つは Service Connector 経由で、もう 1 つは各ホスティング環境を直接構成します。

重要

Service Connector のコマンドには 、Azure CLI 2.41.0 以降が必要です。

Azure portalを使用してマネージド ID を割り当てる

次の手順では、さまざまな Web ホスティング サービスにシステム割り当てマネージド ID を割り当てる方法を示します。 マネージド ID は、前に設定したアプリ構成を使用して、他の Azure サービスに安全に接続できます。

App Service

1. Azure App Service インスタンスの [メインの概要] ページで、ナビゲーション ウィンドウから [ID] を選択します。

2. [ システム割り当て済み ] タブで、 必ず [状態] フィールドを オンに設定します。 システム割り当て ID は Azure によって内部的に管理され、この ID によって管理タスクが自動的に処理されます。 ID の詳細と ID がコードで公開されることはありません。

   

Service Connector

Service Connector を使用する場合は、Azure ホスティング環境にシステム割り当てマネージド ID を割り当てるのに役立ちます。 ただし、Azure portalではこのように Azure Database の構成がサポートされていないため、Azure CLI を使用して ID を割り当てる必要があります。

コンテナー アプリ

1. Azure Container App インスタンスのメイン概要ページで、ナビゲーション ウィンドウから [ID] を選択します。

2. [ システム割り当て済み ] タブで、 必ず [状態] フィールドを オンに設定します。 システム割り当て ID は Azure によって内部的に管理され、この ID によって管理タスクが自動的に処理されます。 ID の詳細と ID がコードで公開されることはありません。

   

Azure Spring Apps

1. Azure Spring Apps インスタンスのメイン概要ページで、ナビゲーション ウィンドウから [ID] を選択します。

2. [ システム割り当て済み ] タブで、 必ず [状態] フィールドを オンに設定します。 システム割り当て ID は Azure によって内部的に管理され、この ID によって管理タスクが自動的に処理されます。 ID の詳細と ID がコードで公開されることはありません。

   

Virtual Machines

1. 仮想マシンの [メインの概要] ページで、ナビゲーション ウィンドウから [ID] を選択します。

2. [ システム割り当て済み ] タブで、 必ず [状態] フィールドを オンに設定します。 システム割り当て ID は Azure によって内部的に管理され、この ID によって管理タスクが自動的に処理されます。 ID の詳細と ID がコードで公開されることはありません。

   

AKS

Azure Kubernetes Service (AKS) クラスターでは、ロード バランサーやマネージド ディスクなどの Azure リソースにアクセスするための ID が必要です。 この ID には、マネージド ID またはサービス プリンシパルを指定できます。 既定では、AKS クラスターを作成すると、システム割り当てマネージド ID が自動的に作成されます。

Azure CLI を使用して、Azure ホスティング環境でマネージド ID を割り当てることもできます。

App Service

次の例に示すように、az webapp identity assign コマンドを使用して、マネージド ID を Azure App Service インスタンスに割り当てることができます。

export AZ_MI_OBJECT_ID=$(az webapp identity assign \
    --resource-group $AZ_RESOURCE_GROUP \
    --name <service-instance-name> \
    --query principalId \
    --output tsv)

Service Connector

Service Connector を使用すると、Azure CLI を使用して、Azure コンピューティング ホスティング環境とターゲット サービスの間に接続を作成できます。 Service Connector では現在、次のコンピューティング サービスがサポートされています。

• Azure App Service
• Azure Spring Apps
• Azure Container Apps

まず、Azure CLI 用の Service Connector パスワードレス拡張機能をインストールします。

az extension add --name serviceconnector-passwordless --upgrade

Azure App Serviceを使用している場合は、次のaz webapp connection例に示すように、 コマンドを使用します。

az webapp connection create sql \
    --resource-group $AZ_RESOURCE_GROUP \
    --name <app-service-name>
    --target-resource-group $AZ_RESOURCE_GROUP \
    --server $AZ_DATABASE_SERVER_NAME \
    --database $AZ_DATABASE_NAME \
    --system-identity

Azure Spring Apps を使用している場合は、次の例に示すように コマンドを使用 the az spring connection します。

az spring connection create sql \
    --resource-group $AZ_RESOURCE_GROUP \
    --service <service-name> \
    --app <service-instance-name> \
    --target-resource-group $AZ_RESOURCE_GROUP \
    --server $AZ_DATABASE_SERVER_NAME \
    --database $AZ_DATABASE_NAME \
    --system-identity

Azure Container Apps を使用している場合は、次の az containerapp connection 例に示すように、 コマンドを使用します。

az containerapp connection create sql \
    --resource-group $AZ_RESOURCE_GROUP \
    --name <app-service-name>
    --target-resource-group $AZ_RESOURCE_GROUP \
    --server $AZ_DATABASE_SERVER_NAME \
    --database $AZ_DATABASE_NAME \
    --system-identity

コンテナー アプリ

次の例に示すように、 az containerapp identity assign コマンドを使用して、マネージド ID を Azure Container Apps インスタンスに割り当てることができます。

export AZ_MI_OBJECT_ID=$(az containerapp identity assign \
    --resource-group $AZ_RESOURCE_GROUP \
    --name <service-instance-name> \
    --query principalId \
    --output tsv)

Azure Spring Apps

次の例に示すように、az spring app identity assign コマンドを使用して、Azure Spring Apps インスタンスにマネージド ID を割り当てることができます 。

export AZ_MI_OBJECT_ID=$(az spring app identity assign \
    --resource-group $AZ_RESOURCE_GROUP \
    --name <service-instance-name> \
    --service <service-name> \
    --query identity.principalId \
    --output tsv)

Virtual Machines

次の例に示すように、 az vm identity assign コマンドを使用して、マネージド ID を仮想マシンに割り当てることができます。

export AZ_MI_OBJECT_ID=$(az vm identity assign \
    --resource-group $AZ_RESOURCE_GROUP \
    --name <service-instance-name> \
    --query principalId \
    --output tsv)

AKS

次の例に示すように、az aks update コマンドを使用して、マネージド ID を Azure Kubernetes Service (AKS) インスタンスに割り当てることができます。

export AZ_MI_OBJECT_ID=$(az aks update \
    --resource-group $AZ_RESOURCE_GROUP \
    --name <AKS-cluster-name> \
    --enable-managed-identity \
    --query identityProfile.kubeletidentity.objectId \
    --output tsv)

マネージド ID にロールを割り当てる

次に、SQL データベースにアクセスするために作成したマネージド ID にアクセス許可を付与します。

Service Connector

Service Connector を使用してサービスを接続した場合は、前の手順のコマンドによってロールが既に割り当てられているため、この手順は省略できます。

Azure CLI

この手順では、マネージド ID のデータベース ユーザーを作成し、それに対する読み取りおよび書き込みアクセス許可を付与します。

次のコマンドは、マネージド ID の表示名を取得し、マネージド ID のユーザーを作成してアクセス許可を付与するコマンドを構築します。

export AZ_DATABASE_AD_MI_USERNAME=$(az ad sp show \
    --id $AZ_MI_OBJECT_ID \
    --query displayName \
    --output tsv)
cat << EOF
CREATE USER "$AZ_DATABASE_AD_MI_USERNAME" FROM EXTERNAL PROVIDER;
ALTER ROLE db_datareader ADD MEMBER "$AZ_DATABASE_AD_MI_USERNAME";
ALTER ROLE db_datawriter ADD MEMBER "$AZ_DATABASE_AD_MI_USERNAME";
GO
EOF

このコマンドの出力をコピーし、Azure portalに移動して SQL データベースを見つけます。 次のスクリーンショットに示すように、Microsoft Entra管理者ユーザーとしてクエリ エディターにサインインします。

次のスクリーンショットに示すように、最後のコマンドの出力をクエリ エディターに貼り付け、SQL コマンドを実行します。

アプリをテストする

これらのコードを変更したら、アプリケーションをビルドして再デプロイできます。 次に、ブラウザーでホストされているアプリケーションを参照します。 アプリは、Azure SQL データベースに正常に接続できる必要があります。 Azure 環境にロールの割り当てが反映されるまでに数分かかる場合があることに留意してください。 これでローカル環境と運用環境のどちらでも動作するようにアプリケーションが構成されました。開発者がアプリケーション自体でシークレットを管理する必要はありません。

次の手順

このチュートリアルでは、アプリケーションをパスワードレス接続に移行する方法について説明しました。

この記事で説明されている概念の詳細については、次のリソースを参照してください。

• Azure リソースのマネージド ID を使用して BLOB データへのアクセスを承認します。
• Microsoft Entra ID を使用して BLOB へのアクセスを認可する