Azure Blob Storage と .NET の作業を始める

[アーティクル]
10/26/2023

この記事では、.NET 用 Azure Blob Storage クライアントライブラリを使用して、Azure Blob Storage に接続する方法について説明します。接続されると、コードは、Blob Storage サービスのコンテナー、BLOB、機能を使って動作できます。

API リファレンス | ライブラリソースコード | PAKケージ (NuGet) | サンプル | フィードバックを送る

前提条件

Azure サブスクリプション - 無料アカウントを作成する
Azure Storage アカウント - ストレージアカウントの作成
使用するオペレーティングシステム用の最新の .NET SDK。ランタイムではなく、必ず SDK を入手してください。

プロジェクトの設定

このセクションでは、.NET 用 Azure Blob Storage クライアントライブラリを操作するためのプロジェクトの準備について説明します。

プロジェクトディレクトリから、dotnet add package コマンドを使用して、Azure Blob Storage と Azure ID のクライアントライブラリのパッケージをインストールします。 Azure サービスへのパスワードレス接続には、Azure.Identity パッケージが必要です。

dotnet add package Azure.Storage.Blobs
dotnet add package Azure.Identity

次の using ステートメントをコードファイルの先頭に追加します。

using Azure.Identity;
using Azure.Storage.Blobs;
using Azure.Storage.Blobs.Models;
using Azure.Storage.Blobs.Specialized;

BLOB クライアントライブラリ情報:

Azure.Storage.Blobs: サービス、コンテナー、BLOB を操作するために使用できるプライマリクラス ("クライアントオブジェクト") が含まれています。
Azure.Storage.Blobs.Specialized: BLOB の種類 (ブロック BLOB など) に固有の操作を実行するために使用できるクラスが含まれています。
Azure.Storage.Blobs.Models: 他のすべてのユーティリティクラス、構造体、列挙型。

Blob Storage へのアクセスを承認して接続する

アプリケーションを Blob Storage に接続するには、BlobServiceClient クラスのインスタンスを作成します。このオブジェクトは、ストレージアカウントレベルでデータリソースを操作するための開始点となります。それを使って、ストレージアカウントとそのコンテナーを操作できます。また、操作する必要があるリソースに応じて、サービスクライアントを使用してコンテナークライアントまたは BLOB クライアントを作成することもできます。

クライアントオブジェクトの作成と管理の詳細については、「データリソースを操作するクライアントオブジェクトを作成および管理する」を参照してください。

Microsoft Entra 認可トークン、アカウントアクセスキー、または Shared Access Signature (SAS) を使用して、BlobServiceClient オブジェクトを認可できます。

これらの各承認メカニズムについて詳しくは、「Azure Storage 内のデータへのアクセスを承認する」をご覧ください。

Microsoft Entra ID を使用して認可するには、セキュリティプリンシパルを使用する必要があります。必要なセキュリティプリンシパルの種類は、アプリケーションの実行場所によって異なります。次の表を参考にしてください。

アプリケーションの実行場所	セキュリティプリンシパル	ガイダンス
ローカルコンピューター (開発とテスト)	サービスプリンシパル	アプリの登録、Microsoft Entra グループの設定、ロールの割り当て、環境変数の構成の方法を確認するには、開発者サービスプリンシパルを使用してアクセスを認可する方法に関する記事を参照してください
ローカルコンピューター (開発とテスト)	ユーザー ID	Microsoft Entra グループを設定し、ロールを割り当て、Azure にサインインする方法については、開発者資格情報を使用してアクセスを認可する方法に関する記事を参照してください
Azure でホスト	マネージド ID	マネージド ID を有効にしてロールを割り当てる方法については、マネージド ID を使用して Azure でホストされるアプリからのアクセスを承認する方法に関する記事を参照してください
Azure の外部でホストされる (オンプレミスアプリなど)	サービスプリンシパル	アプリを登録し、ロールを割り当て、環境変数を構成する方法については、アプリケーションサービスプリンシパルを使用してオンプレミスアプリからのアクセスを承認する方法に関する記事を参照してください

DefaultAzureCredential を使用してアクセスを承認する

Blob Storage へのアクセスを承認して接続する最も簡単で安全な方法は、DefaultAzureCredential インスタンスを作成して OAuth トークンを取得することです。その後、その資格情報を使用して BlobServiceClient オブジェクトを作成できます。

この例では、DefaultAzureCredential を使用して認可された BlobServiceClient オブジェクトを作成します。

public BlobServiceClient GetBlobServiceClient(string accountName)
{
    BlobServiceClient client = new(
        new Uri($"https://{accountName}.blob.core.windows.net"),
        new DefaultAzureCredential());

    return client;
}

ユーザーの認証に使用する資格情報の種類が正確にわかっている場合は、.NET 用 Azure ID クライアントライブラリの他のクラスを使用して OAuth トークンを取得できます。これらのクラスは TokenCredential クラスから取得されます。

Blob service エンドポイントと SAS トークンを使って、URI を作成します。次に、その URI を使って BlobServiceClient を作成します。

public static void GetBlobServiceClientSAS(ref BlobServiceClient blobServiceClient,
    string accountName, string sasToken)
{
    string blobUri = "https://" + accountName + ".blob.core.windows.net";

    blobServiceClient = new BlobServiceClient
    (new Uri($"{blobUri}?{sasToken}"), null);
}

SAS トークンの生成と管理の詳細については、次の記事を参照してください。

ストレージアカウント名とアカウントキーを使って、StorageSharedKeyCredential を作成します。その後、そのオブジェクトを使って BlobServiceClient を初期化します。

public static void GetBlobServiceClient(ref BlobServiceClient blobServiceClient,
    string accountName, string accountKey)
{
    Azure.Storage.StorageSharedKeyCredential sharedKeyCredential =
        new StorageSharedKeyCredential(accountName, accountKey);

    string blobUri = "https://" + accountName + ".blob.core.windows.net";

    blobServiceClient = new BlobServiceClient
        (new Uri(blobUri), sharedKeyCredential);
}

接続文字列を使って BlobServiceClient を作成することもできます。

BlobServiceClient blobServiceClient = new BlobServiceClient(connectionString);

アカウントキーの取得方法と、キーを適切に管理して保護するためのベストプラクティスガイドラインについては、「ストレージアカウントアクセスキーを管理する」をご覧ください。

重要

アカウントアクセスキーは慎重に使用する必要があります。アカウントアクセスキーを紛失した場合、または誤ってセキュリティで保護されていない場所に置いた場合には、サービスが脆弱になる可能性があります。アクセスキーを持つすべてのユーザーは、ストレージアカウントに対する要求を承認でき、実質的にすべてのデータにアクセスできます。 DefaultAzureCredential はセキュリティ機能と利点が強化されており、Azure サービスに対する認可を管理するために推奨されるアプローチです。

これらの各承認メカニズムについて詳しくは、「Azure Storage 内のデータへのアクセスを承認する」をご覧ください。

アプリケーションをビルドする

Azure Blob Storage のデータリソースを操作するアプリケーションを構築する際に、コードでは主に、ストレージアカウント、コンテナー、BLOB という 3 つのリソースの種類と対話します。これらのリソースの種類、リソースの相互関係、およびアプリがリソースと対話する方法について詳しくは、「アプリが Blob Storage データリソースと対話する方法を理解する」を参照してください。

次のガイドでは、.NET 用 Azure Storage クライアントライブラリを使用してデータリソースを操作し、特定のアクションを実行する方法について説明します。

ガイド	説明
コンテナーの作成	コンテナーを作成します。
コンテナーを削除して復元する	コンテナーを削除し、論理的な削除が有効になっている場合は、削除されたコンテナーを復元します。
コンテナーをリストする	アカウントのコンテナーの一覧を表示し、さまざまなオプションを使って一覧をカスタマイズします。
プロパティとメタデータを管理する	コンテナーのプロパティとメタデータを取得および設定します。
コンテナーのリースを作成および管理する	コンテナーに対するロックを確立して管理します。
BLOB のリースを作成および管理する	BLOB に対するロックを確立して管理します。
BLOB にデータを追加する	追加 BLOB を作成し、その BLOB にデータを追加する方法について説明します。
BLOB をアップロードする	文字列、ストリーム、ファイルパス、その他の方法を使って BLOB をアップロードする方法について説明します。
BLOB をダウンロードする	文字列、ストリーム、ファイルパスを使って BLOB をダウンロードします。
BLOB をコピーする	ある場所から別の場所に BLOB をコピーします。
BLOB をリストする	さまざまな方法で BLOB の一覧を表示します。
削除と復元	BLOB を削除し、論理的な削除が有効になっている場合は、削除された BLOB を復元します。
タグを使って BLOB を検索する	タグの設定と取得を行い、タグを使って BLOB を検索します。
プロパティとメタデータを管理する	BLOB のプロパティとメタデータを取得および設定します。
BLOB のアクセス層を設定または変更する	ブロック BLOB のアクセス層を設定または変更します。