オンプレミスの JavaScript アプリから Azure リソースへの認証

Azure の外部 (オンプレミスやサードパーティのデータセンターなど) でホストされているアプリは、Azure リソースにアクセスするときに、アプリケーションサービスプリンシパルを使用して Azure に対する認証を行う必要があります。アプリケーションサービスプリンシパルオブジェクトは、Azure のアプリ登録プロセスを使用して作成されます。アプリケーションサービスプリンシパルが作成されると、アプリのクライアント ID とクライアントシークレットが生成されます。クライアント ID、クライアントシークレット、テナント ID を環境変数に保存して、Azure SDK for JavaScript が環境変数を使用して実行時に Azure に対してアプリを認証できるようにします。

アプリが実行されている環境 (テスト、ステージ、運用環境など) ごとに異なるアプリ登録を作成する必要があります。これにより、各サービスプリンシパルに対して環境固有のリソースのアクセス許可を構成し、ある環境にデプロイされたアプリが別の環境の一部である Azure リソースと通信しないようにすることができます。

1 - Azure にアプリケーションを登録する

アプリは、Azure portal または Azure CLI を使用して Azure に登録できます。

Azure Portal
Azure CLI

Azure portal にサインインして、次の手順を実行します。

手順	Screenshot
Azure portal で、次の操作を行います。 Azure portal の上部にある検索バーに「アプリの登録」と入力します。検索バーの下に表示されるメニューの [サービス] 見出しの下にある [アプリの登録] と書かれた項目を選択します。
[アプリの登録] ページで、[+ 新規登録] を選択します。
[アプリケーションの登録] ページで、次のようにフォームに入力します。名前 → Azure でのアプリ登録の名前を入力します。この名前には、アプリの登録の対象となるアプリ名と環境 (テスト、運用) を含めることをお勧めします。サポートされているアカウントの種類 → この組織のディレクトリ内のアカウントのみ。 [登録] を選択してアプリを登録し、アプリケーションサービスプリンシパルを作成します。
お使いのアプリの [アプリの登録] ページで、次の操作を行います。アプリケーション (クライアント) ID → これは、ローカル開発中にアプリが Azure にアクセスするために使用するアプリ ID です。この値は、後の手順で必要になるので、テキストエディターで一時的な場所にコピーします。ディレクトリ (テナント) ID → この値は、Azure に対して認証するときにもアプリで必要になります。この値も後の手順で必要になるので、テキストエディターで一時的な場所にコピーします。クライアント資格情報 → アプリが Azure に対して認証して Azure サービスを使用する前に、アプリのクライアント資格情報を設定する必要があります。 [証明書またはシークレットの追加] を選択して、アプリの資格情報を追加します。
[証明書とシークレット] ページで、[+ 新しいクライアントシークレット] を選びます。
[クライアントシークレットの追加] ダイアログがページの右側から表示されます。このダイアログで、次の操作を行います。説明 → 現在の値を入力します。有効期限 → "24 か月"の値を選択します。 [追加] を選択してシークレットを追加します。重要: シークレットの有効期限の前に予定表にアラームを設定します。これにより、事前に新しいシークレットを追加し、このシークレットの有効期限が切れる前にアプリを更新して、アプリのサービスが中断しないようにできます。
証明書&シークレットページには、クライアントシークレットの値が表示されます。この値をテキストエディタの一時的な場所にコピーします。これは、将来の手順で必要になるためです。重要: この値が表示されるのはこのタイミングだけです。このページを終了または更新すると、この値を再度表示できなくなります。このクライアントシークレットを無効にせずに別のクライアントシークレットを追加できますが、この値は再び表示されません。

az ad sp create-for-rbac --name <app-name>

このコマンドの出力は次のように表示されます。これらの値をメモするか、次の手順でこれらの値が必要になり、パスワード (クライアントシークレット) 値を再び表示できなくなるため、このウィンドウを開いたままにします。

{
  "appId": "00001111-aaaa-2222-bbbb-3333cccc4444",
  "displayName": "msdocs-sdk-auth-prod",
  "password": "Aa1Bb~2Cc3.-Dd4Ee5Ff6Gg7Hh8Ii9_Jj0Kk1Ll2",
  "tenant": "ffffaaaa-5555-bbbb-6666-cccc7777dddd"
}

2 - アプリケーションサービスプリンシパルにロールを割り当てる

次に、アプリがどのリソースでどのロール (アクセス許可) を必要としているかを決定し、それらのロールをアプリに割り当てる必要があります。ロールは、リソース、リソースグループ、またはサブスクリプションスコープで割り当てることができます。ほとんどのアプリケーションではすべての Azure リソースを 1 つのリソースグループにグループ化するため、この例では、リソースグループのスコープでサービスプリンシパルのロールを割り当てる方法を示します。

Azure Portal
Azure CLI

手順	Screenshot
Azure portal の上部にある検索ボックスを使用してリソースグループ名を検索し、アプリケーションのリソースグループを見つけます。ダイアログボックスの [リソースグループ] 見出しの下にあるリソースグループ名を選択して、リソースグループに移動します。
リソースグループのページで、左側のメニューから [アクセス制御 (IAM)] を選択します。
[アクセス制御 (IAM)] ページで、次の操作を行います。 [ロールの割り当て] タブを選択します。上部のメニューから [+ 追加] を選択し、次に結果のドロップダウンメニューから [ロールの割り当ての追加] を選択します。
[ロールの割り当ての追加] ページには、リソースグループで割り当てることができるすべてのロールが一覧表示されます。検索ボックスを使用して、より管理しやすいサイズにリストをフィルター処理します。この例では、Storage BLOB ロールをフィルター処理する方法を示します。割り当てるロールを選択します。 [次へ] を選択して、次の画面に進みます。
次の [ロールの割り当ての追加] ページでは、ロールを割り当てるユーザーを指定できます。 [アクセスの割り当て先] で、[ユーザー、グループ、またはサービスプリンシパル] を選択します。 [メンバー] で [+ メンバーの選択] を選択する Azure portal の右側でダイアログボックスが開きます。
[メンバーの選択] ダイアログで、次の操作を行います。 [選択] テキストボックスを使用して、サブスクリプション内のユーザーとグループの一覧をフィルター処理できます。必要に応じて、アプリ用に作成したサービスプリンシパルの最初の数文字を入力して、一覧をフィルター処理します。アプリケーションに関連付けられているサービスプリンシパルを選択します。ダイアログの下部にある [選択] を選択して続行します。
サービスプリンシパルが、[ロールの割り当ての追加] 画面に選択済みとして表示されます。 [レビューと割り当て] を選択して最終ページに移動し、もう一度レビューと割り当てを行ってプロセスを完了します。

サービスプリンシパルには、az role assignment create コマンドを使用して、Azure でロールが割り当てられます。

az role assignment create --assignee "{appId}" \
    --role "{roleName}" \
    --scope /subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}

サービスプリンシパルを割り当てることができるロール名を取得するには、az role definition list コマンドを使用します。

az role definition list \
    --query "sort_by([].{roleName:roleName, description:description}, &roleName)" \
    --output table

たとえば、サービスプリンシパルが msdocs-sdk-auth-example リソースグループ内のすべてのストレージアカウントに対する Azure Storage BLOB コンテナーとデータの読み取り、書き込み、および削除アクセスを許可するには、次のコマンドを使用して、アプリケーションサービスプリンシパルをストレージ BLOB データ共同作成者ロールに割り当てます。

az role assignment create --assignee "aaaaaaaa-bbbb-cccc-7777-888888888888" \
    --role "Storage Blob Data Contributor" \
    --scope /subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/msdocs-javascript-sdk-auth-example \

Azure CLI を使用してリソースまたはサブスクリプションレベルでアクセス許可を割り当てる方法については、「Azure CLI を使用して Azure ロールを割り当てる」を参照してください。

3 - アプリケーションの環境変数を構成する

JavaScript アプリを実行するプロセスのAZURE_CLIENT_ID、AZURE_TENANT_ID、AZURE_CLIENT_SECRET 環境変数を設定して、実行時にアプリでアプリケーションサービスプリンシパルの資格情報を使用できるようにする必要があります。 DefaultAzureCredential オブジェクトでは、これらの環境変数でサービスプリンシパル情報を検索します。

AZURE_CLIENT_ID=<value>
AZURE_TENANT_ID=<value>
AZURE_CLIENT_SECRET=<value>

4 - アプリケーションに DefaultAzureCredential を実装する

Azure SDK クライアントオブジェクトを Azure に対して認証するには、アプリケーションで @azure/identity パッケージの DefaultAzureCredential クラスを使用する必要があります。

まず、 @azure/identity パッケージをアプリケーションに追加します。

npm install @azure/identity

次に、アプリで Azure SDK クライアントオブジェクトを作成する JavaScript コードの場合、次のことが必要になります。

DefaultAzureCredential モジュールから @azure/identity クラスをインポートします。
DefaultAzureCredential オブジェクトを作成します。
Azure SDK クライアントオブジェクトコンストラクターに DefaultAzureCredential オブジェクトを渡します。

この例を次のコードセグメントに示します。

// connect-with-default-azure-credential.js
import { BlobServiceClient } from '@azure/storage-blob';
import { DefaultAzureCredential } from '@azure/identity';
import 'dotenv/config'

const accountName = process.env.AZURE_STORAGE_ACCOUNT_NAME;
if (!accountName) throw Error('Azure Storage accountName not found');

const blobServiceClient = new BlobServiceClient(
  `https://${accountName}.blob.core.windows.net`,
  new DefaultAzureCredential()
);

上記のコードで DefaultAzureCredential オブジェクトがインスタンス化されると、DefaultAzureCredential では、Azure に接続するためのアプリケーションサービスプリンシパル情報の環境変数 AZURE_SUBSCRIPTION_ID、AZURE_TENANT_ID、AZURE_CLIENT_ID、AZURE_CLIENT_SECRET を読み取ります。

フィードバック

このページはお役に立ちましたか?

Last updated on 2024-10-22