Event Grid 名前空間の MQTT と HTTP のホスト名にカスタムドメイン名を割り当てる

[アーティクル]
05/21/2024

Event Grid 名前空間には、作成時に HTTP ホスト名が自動的に割り当てられます。名前空間で MQTT が有効になっている場合、MQTT ホスト名も名前空間に割り当てられます。クライアントは、これらのホスト名を使って Event Grid 名前空間と通信します。

Event Grid 名前空間の MQTT と HTTP のホスト名に、既定のホスト名と共にカスタムドメイン名を割り当てることができます。カスタムドメインを構成すると、セキュリティとコンプライアンスの要件を満たすのに役立つだけでなく、ドメインに既にリンクされているクライアントを変更する必要がありません。

前提条件

名前空間でカスタムドメインを使うには、次の前提条件が必要です。

自分が所有していて、そのドメインネームシステム (DNS) レコードを変更できるカスタムドメイン。 DNS レコードを変更するには、ドメインプロバイダー (GoDaddy など) の DNS レジストリにアクセスできる必要があります。
パブリックまたはプライベート CA からの、カスタムドメイン用の Secure Sockets Layer (SSL) 証明書。
カスタムドメイン用の SSL 証明書をホストするための Azure Key Vault アカウント。

手順の概要

名前空間にカスタムドメインを使うには、次の手順のようにします。

カスタムドメインを Event Grid 名前空間エンドポイントに向けさせる DNS エントリを追加します。
Event Grid 名前空間でマネージド ID を有効にします。
カスタムドメイン用のサーバー証明書をホストする Azure Key Vault アカウントを作成します。
名前空間のマネージド ID に Azure Key Vault でのロールの割り当てを追加します。
カスタムドメイン名、証明書名、キーコンテナーインスタンスの参照を指定して、Event Grid 名前空間とカスタムドメインを関連付けます。
ユーザーがカスタムドメインの所有権を証明するために使う TXT レコードが、Event Grid 名前空間によって生成されます。
前のステップで Event Grid によって生成された値に基づいて TXT レコードを作成し、ドメインの所有権を証明します。
Event Grid は、クライアントが使うカスタムドメインをアクティブにする前に、カスタムドメインの TXT レコードを検証します。
クライアントは、カスタムドメインを介して Event Grid 名前空間に接続できます。

制限事項

カスタムドメインの構成は、MQTT と HTTP のホスト名全体について、リージョンごとに一意です。
同じ名前空間に含まれる MQTT と HTTP のホスト名で、カスタムドメインの構成を同じにすることはできません。
カスタムドメインの構成は、同じリージョン内の名前空間に対するどの MQTT または HTTP ホスト名とも、競合することはできません。

DNS エントリを追加する

ドメインに関連付ける Event Grid 名前空間のホスト名を指す DNS レコードをドメインに作成します。詳しくは、「Azure クラウドサービスのカスタムドメイン名の構成」をご覧ください。

名前空間の HTTP ホスト名の形式は次のとおりです: <namespace name>.centraluseuap-1.eventgrid.azure.net

名前空間の MQTT ホスト名の形式は次のとおりです: <namespace name>.centraluseuap-1.ts.eventgrid.azure.net

Event Grid 名前空間でマネージド ID を有効にする

名前空間は、マネージド ID を使用して Azure Key Vault インスタンスにアクセスし、カスタムドメインのサーバー証明書を取得します。次のコマンドを使って、Event Grid 名前空間でシステム割り当てマネージド ID を有効にします。

az eventgrid namespace update --resource-group <resource group name> --name <namespace name> --identity "{type:systemassigned}"

Azure portal を使用したシステムとユーザー割り当て ID の構成の詳細については、「Event Grid 名前空間でマネージド ID を有効にする」を参照してください。

Azure Key Vault アカウントを作成し、サーバー証明書をアップロードします

次のコマンドを使って Azure Key Vault アカウントを作成します。

az keyvault create --name "<your-unique-keyvault-name>" --resource-group "<resource group name>" --location "centraluseaup"

次のコマンドを使って、証明書を Azure Key Vault にインポートします
```
az keyvault certificate import --vault-name "<your-key-vault-name>" -n "<cert name>" -f "<path to your certificate pem file> " 
```
Note

証明書では、DNS のサブジェクトの別名にドメイン名が含まれている必要があります。詳細については、「チュートリアル: Azure Key Vault に証明書をインポートする」を参照してください。

名前空間のマネージド ID に Azure Key Vault でのロールの割り当てを追加する

次の手順を使って、Azure Key Vault アカウントにアクセスするためのアクセス権を、名前空間に提供する必要があります。

次のコマンドを使って、Event Grid 名前空間のシステムマネージド ID のプリンシパル ID を取得します

$principalId=(az eventgrid namespace show --resource-group <resource group name> --name <namespace name> --query identity.principalId -o tsv)

Azure Key Vault リソース ID を取得します。

$keyVaultResourceId=(az keyvault show --resource-group <resource group name> --name <your key vault name> --query id -o tsv)

名前空間のマネージド ID に対し、Key Vault でのロールの割り当てを追加します。
```
az role assignment create --role "Key Vault Certificate User" --assignee $principalId --scope $keyVaultResourceId 
```
Key Vault アクセスとポータルでの操作の詳細については、「Azure のロールベースのアクセス制御を使用して Key Vault のキー、証明書、シークレットへのアクセス権を付与する」を参照してください。

Event Grid 名前空間とカスタムドメインを関連付ける

このステップでは、検証されていないカスタムドメインと名前空間を関連付けますが、次のステップでユーザーがカスタムドメインの所有権を証明するまで、それを使うことはできません。

Azure Portal の使用

次の手順のようにして、カスタムドメインを追加します。

Azure portal で、Event Hubs 名前空間に移動します
[Event Grid 名前空間] ページの左側のナビゲーションメニューで [カスタムドメイン] を選びます。
[カスタムドメイン] ページで、[+ カスタムドメイン] を選びます。
[カスタムドメインの追加] ページで、次のプロパティの値を指定します。
1. [ドメイン名]: Event Grid 名前空間のホスト名の 1 つに割り当てる完全修飾ドメイン名。
2. [関連付けられているホスト名の種類]: カスタムドメイン名に関連付ける既定のホスト名の種類。
3. [証明書 URL]: Azure Key Vault 内のサーバー証明書の証明書識別子。証明書識別子の最後のセグメントを除外して、証明書の基本識別子のみを含めます。 [キーコンテナーを使用して証明書を選択する] を選ぶと、サブスクリプションから証明書とキーコンテナーを選択できます。
4. [マネージド ID]: 作成されたサーバー証明書にアクセスするための、Key Vault での認証に使われる ID。
5. [追加] を選択します。
カスタムドメインの所有権を証明するためにその値を使う必要があるので、TXT レコードを保存しておきます。

Azure CLI の例

次のコマンドを使って、カスタムドメインの構成で名前空間を更新します。次のオブジェクトには、2 つの異なる customDomains 構成が含まれます。topicSpacesConfiguration の構成は MQTT エンドポイントに割り当てられ、topicsConfiguration の構成は HTTP エンドポイントに割り当てられます。

Note

各カスタムドメインの構成は、同じリージョン内で一意である必要があります。

az resource create --resource-type Microsoft.EventGrid/namespaces --id /subscriptions/<Subscription ID>/resourceGroups/<Resource Group>/providers/Microsoft.EventGrid/namespaces/<Namespace Name> --is-full-object --properties @./resources/NS.json

NS.json

{
    "properties": {
        "topicsConfiguration": {
            "hostname": "HOSTNAME",
            "customDomains": [
                {
                    "fullyQualifiedDomainName": "www.HTTPDOMAINNAME.com",
                    "identity": {
                        "type": "SystemAssigned"
                    },
                    "certificateInfo": {
                        "keyVaultArmId": " /subscriptions/SUBSCRIPTIONID/resourceGroups/RESOURCEGROUPNAME/providers/Microsoft.KeyVault/vaults/KEYVAULTNAME",
                        "certificateName": "CERTIFICATENAME"
                    }
                }
            ]
        },
        "topicSpacesConfiguration": {
            "state": " Enabled",
            "routeTopicResourceId": " /subscriptions/SUBSCRIPTIONID/resourceGroups/RESOURCEGROUPNAME/providers/Microsoft.EventGrid/namespaces/NAMESPACENAME/topics/TOPICNAME",
            "hostname": "NAMESPACENAME.westus2-1.ts.eventgrid.azure.net",
            "routingIdentityInfo": {
                "type": "None"
            },
            "customDomains": [
                {
                    "fullyQualifiedDomainName": " www.MQTTDOMAINNAME.com ",
                    "identity": {
                        "type": "SystemAssigned"
                    },
                    "certificateInfo": {
                        "keyVaultArmId": "/subscriptions/SUBSCRIPTIONNAME/resourceGroups/RESOURCEGROUPNAME/providers/Microsoft.KeyVault/vaults/KEYVAULTNAME",
                        "certificateName": "CERTIFICATENAME"
                    }
                }
            ]
        }
    }
}

次のプレースホルダーを適切な値に置き換え、NS.json という名前のファイルに保存して、CLI コマンドを実行します。

プレースホルダー	説明
`HOSTNAME`	ホスト名は、Azure portal の Event Grid 名前空間の [概要] ページでわかります。
`NAMESPACENAME`	Event Grid 名前空間の名前。
`TOPICNAME`	名前空間内のトピックの名前。
`HTTPDOMAINNAME`	HTTP ドメインの名前。
`MQTTDOMAINNAME`	MQTT ドメインの名前。
`SUBSCRIPTIONID`	Azure サブスクリプション ID。
`RESOURCEGROUPNAME`	Azure リソースグループの名前。
`KEYVAULTNAME`	キーコンテナーの名前。
`CERTIFICATENAME`	証明書の名前。

ID の種類 (type) は、SystemAssigned または UserAssigned にできます。 UserAssigned を選んだ場合は、userAssignedIdentity プロパティを使ってユーザー割り当て ID を指定します。

この操作に対する応答には、expectedTxtRecordName と expectedTxtRecordValue プロパティの形式で DNS の情報が含まれます。カスタムドメインの所有権を証明するためにその値を使う必要があるので、この情報を保存しておきます。応答のサンプルを次に示します。

{
    "properties": {
        "topicsConfiguration": {
            "hostname": "HOSTNAME",
            "customDomains": [
                {
                    "fullyQualifiedDomainName": "www.HTTPDOMAINNAME.com",
                    "validationState": "Pending",
                    "identity": {
                        "type": "SystemAssigned"
                    },
                    "certificateInfo": {
                        "keyVaultArmId": " /subscriptions/SUBSCRIPTIONID/resourceGroups/RESOURCEGROUPNAME/providers/Microsoft.KeyVault/vaults/KEYVAULTNAME",
                        "certificateName": "CERTIFICATENAME"
                    },
                    "expectedTxtRecordName": "_eg. www.contoso-http.com",
                    "expectedTxtRecordValue": "<random string>"
                }
            ]
        },
        "topicSpacesConfiguration": {
            "state": " Enabled",
            "routeTopicResourceId": " /subscriptions/SUBSCRIPTIONID/resourceGroups/RESOURCEGROUPNAME/providers/Microsoft.EventGrid/namespaces/MSNS/topics/TOPICNAME",
            "hostname": "HOSTNAME",
            "routingIdentityInfo": {
                "type": "None"
            },
            "customDomains": [
                {
                    "fullyQualifiedDomainName": " www.MQTTDOMAINNAME.com ",
                    "validationState": "Pending",
                    "identity": {
                        "type": "SystemAssigned"
                    },
                    "certificateInfo": {
                        "keyVaultArmId": "/subscriptions/SUBSCRIPTIONID/resourceGroups/RESOURCEGROUPNAME/providers/Microsoft.KeyVault/vaults/KEYVAULTNAME",
                        "certificateName": "CERTIFICATENAME"
                    },
                    "expectedTxtRecordName": "_eg. www.contoso-mqtt.com",
                    "expectedTxtRecordValue": "<random string>"
                }
            ]
        }
    }
}

カスタムドメインの所有権を証明する

ドメインの所有権を証明するには、次の手順のようにします。

DNS 情報を追加します。

ドメインレジストラーに戻り、前のステップでコピーした DNS 情報に基づいて、ドメインの新しい TXT レコードを作成します。ドメインのこの TXT を作成すると、ドメイン名の所有権が立証されます。 Time to Live (TTL) を 3,600 秒 (60 分) に設定してから、レコードを保存します。

カスタムドメイン名を検証します。

Azure portal を使うには、次の手順のようにしてカスタムドメインを検証します。
1. [カスタムドメイン] ページで、[ドメインの検証] を選びます。
2. [ドメインの検証] ページで、[検証] を選びます。

次のコマンドを使って、同じカスタムドメインの構成で名前空間を更新します。このコマンドは、カスタムドメインの所有権の検証をトリガーします。ドメインを検証するには、その前に DNS レコードが伝達される必要があり、DNS 設定の伝達時間はドメインレジストラーによって異なります。

コマンドへの応答で、validationState が Approved であることを確認します。

az resource create --resource-type Microsoft.EventGrid/namespaces --id /subscriptions/<Subscription ID>/resourceGroups/<Resource Group>/providers/Microsoft.EventGrid/namespaces/<Namespace Name> --is-full-object --properties @./resources/NS.json

NS.json:

{
    "properties": {
        "topicsConfiguration": {
            "hostname": "HOSTNAME",
            "customDomains": [
                {
                    "fullyQualifiedDomainName": "www.HTTPDOMAINNAME.com",
                    "identity": {
                        "type": "SystemAssigned"
                    },
                    "certificateInfo": {
                        "keyVaultArmId": " /subscriptions/AZURESUBCRIPTIONID/resourceGroups/RESOURCEGROUPNAME/providers/Microsoft.KeyVault/vaults/KEYVAULTNAME",
                        "certificateName": "CERTIFICATENAME"
                    }
                }
            ]
        },
        "topicSpacesConfiguration": {
            "state": " Enabled",
            "routeTopicResourceId": " /subscriptions/AZURESUBSCRIPTIONID/resourceGroups/RESOURCEGROUPNAME/providers/Microsoft.EventGrid/namespaces/NAMESPACENAME/topics/TOPICNAME",
            "hostname": "HOSTNAME",
            "routingIdentityInfo": {
                "type": "None"
            },
            "customDomains": [
                {
                    "fullyQualifiedDomainName": "www.MQTTDOMAINNAME.com ",
                    "identity": {
                        "type": "SystemAssigned"
                    },
                    "certificateInfo": {
                        "keyVaultArmId": "/subscriptions/AZURESUBSCRIPTIONID/resourceGroups/RESOURCEGROUPNAME/providers/Microsoft.KeyVault/vaults/KEYVAULTNAME",
                        "certificateName": "CERTIFICATENAME"
                    }
                }
            ]
        }
    }
}

次の方法で共有

Event Grid 名前空間の MQTT と HTTP のホスト名にカスタムドメイン名を割り当てる

前提条件

手順の概要

制限事項

DNS エントリを追加する

Event Grid 名前空間でマネージド ID を有効にする

Azure Key Vault アカウントを作成し、サーバー証明書をアップロードします

名前空間のマネージド ID に Azure Key Vault でのロールの割り当てを追加する

Event Grid 名前空間とカスタムドメインを関連付ける

Azure Portal の使用

Azure CLI の例

カスタムドメインの所有権を証明する

フィードバック

その他のリソース

次の方法で共有

Event Grid 名前空間の MQTT と HTTP のホスト名にカスタム ドメイン名を割り当てる

前提条件

手順の概要

制限事項

DNS エントリを追加する

Event Grid 名前空間でマネージド ID を有効にする

Azure Key Vault アカウントを作成し、サーバー証明書をアップロードします

名前空間のマネージド ID に Azure Key Vault でのロールの割り当てを追加する

Event Grid 名前空間とカスタム ドメインを関連付ける

Azure Portal の使用

Azure CLI の例

カスタム ドメインの所有権を証明する

フィードバック

その他のリソース

Event Grid 名前空間の MQTT と HTTP のホスト名にカスタムドメイン名を割り当てる

Event Grid 名前空間とカスタムドメインを関連付ける

カスタムドメインの所有権を証明する