サービスプリンシパルを使用したローカル開発時に Azure サービスに対して Python アプリを認証する

開発者は、多くの場合、クラウドアプリケーションを構築するときに、アプリをローカルで実行してテストする必要があります。ローカル開発中でも、アプリケーションは対話するすべての Azure サービスに対して認証を行う必要があります。この記事では、ローカル開発時に専用のサービスプリンシパル ID を構成する方法について説明します。

ローカルで実行されているアプリで開発者が .envファイルからアプリケーションサービスプリンシパルを取得し、その ID を使用して Azure リソースに接続する方法を示す図。

ローカル開発用の専用アプリケーションサービスプリンシパルは、最小特権の原則に従います。アプリが開発中に必要とする Azure リソースにのみアクセス権を付与します。この制限付きアクセスにより、誤って他のリソースに到達するリスクが軽減されます。また、より広範なアクセス許可によって問題が発生する可能性がある運用環境に移行するときに、アクセス許可関連のバグを防ぐのにも役立ちます。

Azure でローカル開発用にアプリケーションを登録する場合:

開発者ごとに個別のアプリ登録を作成する: この方法では、各開発者に独自のサービスプリンシパルが提供されるため、資格情報を共有する必要が回避され、より詳細なアクセス制御が可能になります。
アプリケーションごとに個別のアプリ登録を作成する: この方法により、各アプリに必要なアクセス許可のみが付与され、潜在的な攻撃対象領域が減少します。

ローカル開発中に認証を有効にするには、アプリケーションサービスプリンシパルの資格情報を使用して環境変数を設定します。 Azure SDK for Python は、これらの変数を検出し、それらを使用して Azure サービスへの要求を認証します。

Azure にアプリケーションを登録する

アプリケーションサービスプリンシパルオブジェクトは、Azure にアプリを登録するときに作成されます。この登録は、Azure portal または Azure CLI を使用して実行できます。登録プロセスでは、Microsoft Entra ID でアプリの登録が作成され、アプリのサービスプリンシパルオブジェクトが生成されます。サービスプリンシパルオブジェクトは、Azure サービスに対してアプリを認証するために使用されます。アプリ登録プロセスでは、アプリのクライアントシークレット (パスワード) も生成されます。このシークレットは、Azure サービスに対してアプリを認証するために使用されます。クライアントシークレットはソース管理ではなく、アプリケーションディレクトリの .env ファイルに格納されます。実行時に、アプリケーションは .env ファイルを読み取り、Azure SDK for Python がアプリの認証に使用する環境変数を設定します。

次の手順では、Azure にアプリを登録し、アプリのサービスプリンシパルを作成する方法を示します。手順は、Azure CLI と Azure portal の両方で示されています。

Azure CLI
Azure Portal

Azure CLI コマンドは、Azure Cloud Shell で、または Azure CLI がインストールされているワークステーション上で実行できます。

まず、az ad sp create-for-rbac コマンドを使用して、アプリの新しいサービスプリンシパルを作成します。このコマンドは、アプリのアプリ登録も同時に作成します。

SERVICE_PRINCIPAL_NAME=<service-principal-name>
az ad sp create-for-rbac --name $SERVICE_PRINCIPAL_NAME

このコマンドの出力は次のようになります。これらの値をメモするか、次の手順でこれらの値が必要になり、パスワード (クライアントシークレット) 値を再び表示できなくなるため、このウィンドウを開いたままにします。ただし、必要に応じて、サービスプリンシパルや既存のパスワードを無効にせずに、後で新しいパスワードを追加できます。

{
  "appId": "00001111-aaaa-2222-bbbb-3333cccc4444",
  "displayName": "<service-principal-name>",
  "password": "Ee5Ff~6Gg7.-Hh8Ii9Jj0Kk1Ll2Mm3_Nn4Oo5Pp6",
  "tenant": "aaaabbbb-0000-cccc-1111-dddd2222eeee"
}

次に、 appID 値を取得し、変数に格納する必要があります。この値は、Azure SDK for Python がサービスプリンシパルを使用して Azure に対して認証できるように、ローカル開発環境で環境変数を設定するために使用されます。

APP_ID=$(az ad sp list \
  --all \
  --query "[?displayName=='$SERVICE_PRINCIPAL_NAME'].appId | [0]" \
  --output tsv)

Azure portal にサインインして、次の手順を実行します。

手順	スクリーンショット
Azure portal で、次の操作を行います。 Azure portal の上部にある検索バーに「アプリの登録」と入力します。検索バーの下に表示されるメニューの [サービス] の下にある [アプリの登録] と書かれた項目を選択します。
[アプリの登録] ページで、[+ 新規登録] を選択します。
[アプリケーションの登録] ページで、次のようにフォームに入力します。名前 → Azure でのアプリ登録の名前を入力します。この名前には、アプリ名、アプリ登録の対象となるユーザー、このアプリの登録がローカル開発で使用されることを示す識別子 ("dev" など) を含めるようにすることをお勧めします。サポートされているアカウントの種類 → この組織のディレクトリ内のアカウントのみ。 [登録] を選択してアプリを登録し、アプリケーションサービスプリンシパルを作成します。
お使いのアプリの [アプリの登録] ページで、次の操作を行います。アプリケーション (クライアント) ID → ローカル開発時にアプリが Azure にアクセスするために使用するアプリ ID です。この値は、後の手順で必要になるので、テキストエディターで一時的な場所にコピーします。ディレクトリ (テナント) ID → この値は、Azure に対して認証するときにもアプリで必要になります。この値も後の手順で必要になるので、テキストエディターで一時的な場所にコピーします。クライアント資格情報 → アプリが Azure に対して認証して Azure サービスを使用する前に、アプリのクライアント資格情報を設定する必要があります。 [証明書またはシークレットの追加] を選択して、アプリの資格情報を追加します。
[証明書とシークレット] ページで、[+ 新しいクライアントシークレット] を選びます。
[クライアントシークレットの追加] ダイアログがページの右側から表示されます。このダイアログで、次の操作を行います。説明 → 現在の値を入力します。有効期限 → "24 か月"の値を選択します。 [追加] を選択してシークレットを追加します。
[証明書とシークレット] ページに、クライアントシークレットの値が表示されます。この値は、後の手順で必要になるので、テキストエディターで一時的な場所にコピーします。重要: この値が表示されるのはこのタイミングだけです。このページを終了または更新すると、この値を再度表示できなくなります。このクライアントシークレットを無効にすることなく、さらにクライアントシークレットを追加できますが、この値は再度表示されません。

ローカル開発用の Microsoft Entra セキュリティグループを作成する

通常、複数の開発者が同じアプリケーションで作業するため、Microsoft Entra セキュリティグループを使用してアクセス許可を管理することをお勧めします。各開発者のサービスプリンシパルにロールを個別に割り当てるのではなく、アプリがローカル開発に必要なロールを含むセキュリティグループを作成します。セキュリティグループを使用すると、次の利点があります。

ロールはグループレベルで割り当てられるため、すべての開発者に同じロールが割り当てられることが保証されます。
アプリに新しいロールが必要な場合は、アプリの Microsoft Entra グループに追加するだけで済みます。
新しい開発者がチームに参加する場合は、アプリで作業するための適切なアクセス許可が開発者に与えられるように、その開発者用に新しいアプリケーションサービスプリンシパルを作成してグループに追加します。

Azure CLI
Azure Portal

Microsoft Entra ID でセキュリティグループを作成するには、az ad group create コマンドを使用します。 --display-name パラメーターと --main-nickname パラメーターは必須です。グループに指定する名前は、アプリケーションの名前に基づく必要があります。また、グループの名前に "local-dev" のような語句を含め、グループの目的も示すと便利です。

GROUP_DISPLAY_NAME="<group-name>"
GROUP_MAIL_NICKNAME="<group-mail-nickname>"
GROUP_DESCRIPTION="<group-description>"
az ad group create \
  --display-name $GROUP_DISPLAY_NAME \
  --mail-nickname $GROUP_MAIL_NICKNAME \
  --description $GROUP_DESCRIPTION

グループにメンバーを追加するには、アプリケーションサービスプリンシパルのオブジェクト ID が必要です。これは、アプリケーション ID とは異なります。 az ad sp list を使って、使用可能なサービスプリンシパルを一覧表示します。 --filter パラメーターコマンドは OData スタイルフィルターを受け取り、表示されているリストをフィルター処理するために使用できます。 --query パラメーターは、目的の列のみに列を制限します。

SP_OBJECT_ID=$(az ad sp list \
  --filter "startswith(displayName,'$GROUP_DISPLAY_NAME')" \
  --query "[0].id" \
  --output tsv)

その後、az ad group member add コマンドを使用して、グループにメンバーを追加できます。

az ad group member add \
    --group $GROUP_DISPLAY_NAME \
    --member-id $SP_OBJECT_ID

手順	スクリーンショット
ページの上部にある検索ボックスに「Microsoft Entra ID」と入力し、サービスの下から Microsoft Entra ID を選択して、Azure Portal の [Microsoft Entra ID] ページに移動します。
[Microsoft Entra ID] ページで、左側のメニューから [グループ] を選択します。
[すべてグループ] ページで、[新しいグループ] を選択します。
[新しいグループ] ページで、次の操作を行います。グループの種類 → セキュリティグループ名 →通常はアプリケーション名から作成される、セキュリティグループの名前です。また、グループの名前に "local-dev" のような文字列を含め、グループの目的も示すと便利です。グループの説明 → グループの目的の説明。 [メンバー] の下の [メンバーが選択されていません] リンクを選択して、グループにメンバーを追加します。
[メンバーの追加] ダイアログボックスで、次の操作を行います。検索ボックスを使用して、一覧で、プリンシパル名の一覧をフィルター処理します。このアプリのローカル開発用のアプリケーションサービスプリンシパルを選択します。オブジェクトを選択すると、灰色表示され、ダイアログの下部にある [選択された項目] リストに移動します。終わったら、[選択] ボタンを選択します。
[新規グループ] ページに戻り、[作成] を選択して、グループを作成します。グループが作成され、[すべてのグループ] ページに戻ります。グループが表示されるまでに最大 30 秒かかる場合があり、Azure portal でのキャッシュのためにページの更新が必要になる場合があります。

注

デフォルトでは、Microsoft Entraセキュリティグループの作成は、ディレクトリ内の特定の特権ロールに制限されます。グループを作成できない場合は、ディレクトリの管理者に問い合わせてください。既存のグループにメンバーを追加できない場合は、グループオーナーまたはディレクトリ管理者に問い合わせてください。詳細については、「Microsoft Entraグループとグループメンバシップの管理」を参照してください。

アプリケーションにロールを割り当てる

次に、アプリで必要なリソースに対して必要なロール (アクセス許可) を決定し、それらのロールをアプリに割り当てる必要があります。この例では、手順 2 で作成した Microsoft Entra グループにロールが割り当てられます。役割は、リソース、リソースグループ、またはサブスクリプションの範囲で割り当てることができます。次に、ほとんどのアプリケーションがすべてのAzureリソースを1つのリソースグループにグループ化するため、リソースグループスコープでロールを割り当てる例を示します。

Azure CLI
Azure Portal

az role assignment create コマンドを使用して、ユーザー、グループ、またはアプリケーションサービスプリンシパルにロールを割り当てます。オブジェクトIDでグループを指定できます。アプリケーションサービスプリンシパルを、appId で指定できます。

RESOURCE_GROUP_NAME=<resource-group-name>
SUBSCRIPTION_ID=$(az account show --query id --output tsv)
ROLE_NAME=<role-name>
az role assignment create \
  --assignee "$APP_ID" \
  --scope "./subscriptions/$SUBSCRIPTION_ID/resourceGroups/$RESOURCE_GROUP_NAME" \
  --role "$ROLE_NAME"

![!注] Git Bash が /subscriptions/.. を扱わないようにするにはファイルパスとして、 scope パラメーターの文字列の先頭に ./ を付加し、文字列全体を二重引用符で囲みます。

割り当て可能なロール名を取得するには、azロール定義リストコマンドを使用します。

az role definition list \
    --query "sort_by([].{roleName:roleName, description:description}, &roleName)" \
    --output table

たとえば、appId が 00001111-aaaa-2222-bbbb-3333cccc4444 であるアプリケーションサービスプリンシパルに、ID がであるサブスクリプションに含まれる aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e リソースグループのすべてのストレージアカウントの Azure Storage blob コンテナとデータへの読み取り、書き込み、および削除のアクセスを許可するには、次のコマンドを使用して、アプリケーションサービスプリンシパルをストレージ BLOB データ共同作成者ロールに割り当てます。

az role assignment create --assignee 00001111-aaaa-2222-bbbb-3333cccc4444 \
    --scope "./subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/msdocs-python-sdk-auth-example" \
    --role "Storage Blob Data Contributor"

Azure CLI を使用してリソースまたはサブスクリプションレベルでアクセス許可を割り当てる方法については、「Azure CLI を使用して Azure ロールを割り当てる」を参照してください。

手順	スクリーンショット
Azure portal の上部にある検索ボックスを使用してリソースグループ名を検索し、アプリケーションのリソースグループを見つけます。ダイアログボックスの [リソースグループ] 見出しの下にあるリソースグループ名を選択して、リソースグループに移動します。
リソースグループのページで、左側のメニューから [アクセス制御 (IAM)] を選択します。
[アクセス制御 (IAM)] ページで、次の操作を行います。 [ロールの割り当て] タブを選択します。上部のメニューから [+ 追加] を選択し、次に結果のドロップダウンメニューから [ロールの割り当ての追加] を選択します。
[ロールの割り当ての追加] ページには、リソースグループで割り当てることができるすべてのロールが一覧表示されます。検索ボックスを使用して、より管理しやすいサイズにリストをフィルター処理します。この例では、Storage BLOB ロールをフィルター処理する方法を示します。割り当てるロールを選択します。 [次へ] を選択して、次の画面に進みます。
次の [ロールの割り当ての追加] ページでは、ロールを割り当てるユーザーを指定できます。 [アクセスの割り当て先] で、[ユーザー、グループ、またはサービスプリンシパル] を選択します。 [メンバー] で [+ メンバーの選択] を選択する Azure portal の右側でダイアログボックスが開きます。
[メンバーの選択] ダイアログで、次の操作を行います。 [選択] テキストボックスを使用して、サブスクリプション内のユーザーとグループの一覧をフィルター処理できます。必要に応じて、アプリ用に作成したローカル開発 Microsoft Entra グループの最初の数文字を入力します。アプリケーションに関連付けられているローカル開発 Microsoft Entra グループを選択します。ダイアログの下部にある [選択] を選択して続行します。
Microsoft Entra グループが、[ロールの割り当ての追加] 画面に選択済みとして表示されます。 [レビューと割り当て] を選択して最終ページに移動し、もう一度レビューと割り当てを行ってプロセスを完了します。

ローカル開発環境変数を設定する

DefaultAzureCredential オブジェクトは、実行時に一連の環境変数内のサービスプリンシパル情報を検索します。ほとんどの開発者は複数のアプリケーションで作業するため、 python-dotenv などのパッケージを使用して、開発中にアプリケーションのディレクトリに格納されている .env ファイルから環境にアクセスします。このセットアップでは、このアプリケーションのみがそれらを使用して Azure に対する認証を行うことができるように、環境変数のスコープが設定されます。

.env ファイルには Azure のアプリケーションシークレットキーが含まれているので、ソース管理にチェックインされることはありません。 Python 用の標準の .gitignore ファイルでは、チェックインから .env ファイルが自動的に除外されます。

python-dotenv パッケージを使用するには、まずアプリケーションにパッケージをインストールします。

pip install python-dotenv

次に、アプリケーションのルートディレクトリに .env ファイルを作成します。次のように、アプリ登録プロセスから取得した値を使用して環境変数の値を設定します。

AZURE_CLIENT_ID → アプリ ID の値です。
AZURE_TENANT_ID → テナント ID の値です。
AZURE_CLIENT_SECRET →アプリ用に生成されたパスワード/資格情報。

AZURE_CLIENT_ID=00001111-aaaa-2222-bbbb-3333cccc4444
AZURE_TENANT_ID=aaaabbbb-0000-cccc-1111-dddd2222eeee
AZURE_CLIENT_SECRET=Ee5Ff~6Gg7.-Hh8Ii9Jj0Kk1Ll2Mm3_Nn4Oo5Pp6

最後に、アプリケーションのスタートアップコードで、python-dotenv ライブラリを使用して、起動時に .env ファイルから環境変数を読み取ります。

from dotenv import load_dotenv

if ( os.environ['ENVIRONMENT'] == 'development'):
    print("Loading environment variables from .env file")
    load_dotenv(".env")

アプリケーションに DefaultAzureCredential を実装する

Azure SDK クライアントオブジェクトを Azure に対して認証するには、アプリケーションで DefaultAzureCredential パッケージから azure.identity クラスを使用する必要があります。このシナリオでは、 DefaultAzureCredential は、 AZURE_CLIENT_ID、 AZURE_TENANT_ID、および AZURE_CLIENT_SECRET が設定されている環境変数を検出し、それらの変数を読み取って、Azure に接続するアプリケーションサービスプリンシパル情報を取得します。

まず、azure.identity パッケージをアプリケーションに追加します。

pip install azure-identity

次に、アプリで Azure SDK クライアントオブジェクトを作成する Python コードの場合:

DefaultAzureCredential モジュールから azure.identity クラスをインポートします。
DefaultAzureCredential オブジェクトを作成します。
Azure SDK クライアントオブジェクトコンストラクターに DefaultAzureCredential オブジェクトを渡します。

この例を次のコードセグメントに示します。

from azure.identity import DefaultAzureCredential
from azure.storage.blob import BlobServiceClient

# Acquire a credential object
token_credential = DefaultAzureCredential()

blob_service_client = BlobServiceClient(
        account_url="https://<my_account_name>.blob.core.windows.net",
        credential=token_credential)

フィードバック

このページはお役に立ちましたか?

Last updated on 2025-11-11

次の方法で共有

サービス プリンシパルを使用したローカル開発時に Azure サービスに対して Python アプリを認証する