システム割り当てマネージド ID を使用して Azure リソースに対して Azure ホスト型 .NET アプリを認証する

他の Azure リソースに対して Azure でホストされるアプリを認証するには、マネージド IDを使用することをお勧めします。 このアプローチ 、Azure App Service、Azure Container Apps、Azure Virtual Machines でホストされているアプリなど、ほとんどの Azure サービスでサポートされています。 さまざまな認証手法と方法の詳細については、認証の概要 ページを参照してください。 前のセクションでは、次の内容について説明します。

• マネージド ID の基本的な概念
• アプリのシステム割り当てマネージド ID を作成する方法
• システム割り当てマネージド ID にロールを割り当てる方法
• アプリ コードからシステム割り当てマネージド ID を使用して認証する方法

マネージド ID の基本的な概念

マネージド ID を使用すると、シークレット キーやその他のアプリケーション シークレットを使用せずに、アプリを他の Azure リソースに安全に接続できます。 内部的には、Azure は ID と、接続先として許可されているリソースを追跡します。 Azure では、この情報を使用して、アプリの Microsoft Entra トークンを自動的に取得して、他の Azure リソースへの接続を許可します。

ホストされているアプリを構成する際に考慮すべきマネージド ID には、次の 2 種類があります。

• システム割り当て マネージド ID は、Azure リソースで直接有効になり、そのライフ サイクルに関連付けられます。 リソースが削除されると、Azure によって自動的に ID が削除されます。 システム割り当て ID は、マネージド ID を使用するための最小限のアプローチを提供します。
• ユーザー割り当て マネージド ID はスタンドアロンの Azure リソースとして作成され、柔軟性と機能が向上します。 同じ ID とアクセス許可を共有する必要がある複数の Azure リソースを含むソリューションに最適です。 たとえば、複数の仮想マシンが同じ Azure リソースのセットにアクセスする必要がある場合、ユーザー割り当てマネージド ID は再利用性と最適化された管理を提供します。

アドバイス

システム割り当てマネージド ID とユーザー割り当てマネージド ID の選択と管理の詳細については、マネージド ID のベスト プラクティスに関する推奨事項 記事を参照してください。

前のセクションでは、Azure でホストされるアプリに対してシステム割り当てマネージド ID を有効にして使用する手順について説明します。 ユーザー割り当てマネージド ID を使用する必要がある場合は、ユーザー割り当てマネージド ID に関する記事を参照してください。

Azure ホスティング リソースでシステム割り当てマネージド ID を有効にする

アプリでシステム割り当てマネージド ID の使用を開始するには、アプリをホストする Azure リソース (Azure App Service、Azure Container App、Azure Virtual Machine など) で ID を有効にします。

Azure portal または Azure CLI を使用して、Azure リソースのシステム割り当てマネージド ID を有効にすることができます。

を

1. Azure portal で、アプリケーション コードをホストするリソース (Azure App Service や Azure Container App インスタンスなど) に移動します。

2. リソースの [概要 ] ページで、[設定 ] を展開し、ナビゲーションから [ID ] を選択します。

3. [ID] ページで、[状態] スライダーを [上で] に切り替えます。

4. [保存] を選択して変更を適用します。

   

Azure CLI

Azure CLI コマンドは、Azure Cloud Shell で実行することも、Azure CLI がインストールされているワークステーションで実行することもできます。

Azure リソースのマネージド ID を有効にするために使用される Azure CLI コマンドは、az <command-group> identity --resource-group <resource-group-name> --name <resource-name>形式です。 一般的な Azure サービスの特定のコマンドを次に示します。

Azure App Service:

az webapp identity assign \
    --resource-group <resource-group-name> \
    --name <web-app-name>

Azure 仮想マシン:

az vm identity assign \
    --resource-group <resource-group-name> \
    --name <virtual-machine-name>

出力は次のようになります。

{
  "principalId": "99999999-9999-9999-9999-999999999999",
  "tenantId": "33333333-3333-3333-3333-333333333333",
  "type": "SystemAssigned",
  "userAssignedIdentities": null
}

principalId 値は、マネージド ID の一意の ID です。 次の手順でこれらの値が必要になるので、この出力のコピーを保持します。

マネージド ID にロールを割り当てる

次に、アプリで必要なロールを決定し、それらのロールをマネージド ID に割り当てます。 次のスコープで、マネージド ID にロールを割り当てることができます。

• リソース: 割り当てられたロールは、その特定のリソースにのみ適用されます。
• リソース グループ: 割り当てられたロールは、リソース グループに含まれるすべてのリソースに適用されます。
• サブスクリプション: 割り当てられたロールは、サブスクリプションに含まれるすべてのリソースに適用されます。

次の例は、多くのアプリが 1 つのリソース グループを使用して関連するすべての Azure リソースを管理するため、リソース グループ スコープでロールを割り当てる方法を示しています。

を

1. システム割り当てマネージド ID を持つアプリを含むリソース グループの 概要 ページに移動します。

2. 左側のナビゲーションでアクセス制御 (IAM) を選択します。

3. [アクセス制御 (IAM)] ページで、上部メニューの [+ の追加] を選択し、[ロールの割り当ての追加] 選択して、[ロールの割り当ての追加] ページに移動します。

   

4. ロールの割り当ての追加 ページには、ID にロールを割り当てるタブ付きのマルチステップ ワークフローが表示されます。 最初の [ロール] タブで、上部にある検索ボックスを使用して、ID に割り当てるロールを見つけます。

5. 検索結果からロールを選択し、[次へ] を選んで、メンバー タブに移動します。

6. [ へのアクセスの割り当て] オプションで、マネージド ID を選択します。

7. メンバー オプションで、[+ メンバーの選択] を選択して、[マネージド ID の選択] パネル 開きます。

8. 選択したマネージド ID パネルで、サブスクリプション と マネージド ID の「ドロップダウン」を使用して、ID の検索結果をフィルターします。 [選択 検索ボックスを使用して、アプリをホストしている Azure リソースに対して有効にしたシステム ID を見つけます。

   

9. 所有権を選択し、パネルの下部で [Select] を選択して続行します。

10. ページの下部にある [確認] と [割り当て] を選択します。

11. 最終の レビュー+割り当て タブで、レビュー+割り当て を選択して、ワークフローを完了します。

Azure CLI

マネージド ID には、az role assignment create コマンドを使用して、Azure でロールが割り当てられます。

az role assignment create \
    --assignee "{managedIdentityId}" \
    --role "{roleName}" \
    --scope "{scope}"

サービス プリンシパルを割り当てることができるロール名を取得するには、az role definition list コマンドを使用します。

az role definition list \
    --query "sort_by([].{roleName:roleName, description:description}, &roleName)" \
    --output table

たとえば、msdocs-dotnet-sdk-auth-example 99999999-9999-9999-9999-999999999999 リソース グループ内のすべてのストレージ アカウントへの Azure Storage BLOB コンテナーとデータへの読み取り、書き込み、および削除の ID を持つマネージド ID を許可するには、次のコマンドを使用して、アプリケーション サービス プリンシパルを Storage Blob Data Contributor ロールに割り当てます。

az role assignment create \
    --assignee 99999999-9999-9999-9999-999999999999 \
    --role "Storage Blob Data Contributor" \
    --scope "/subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/msdocs-dotnet-sdk-auth-example"

Azure CLI を使用してリソースまたはサブスクリプション レベルでアクセス許可を割り当てる方法については、Azure CLI を使用して Azure ロールを割り当てる記事を参照してください。

アプリから Azure サービスに対して認証する

Azure Identity ライブラリには、さまざまな資格情報が用意されています。さまざまなシナリオと Microsoft Entra 認証フローのサポートに適応したTokenCredentialの実装です。 マネージド ID はローカルで実行するときに使用できないため、次の手順では、どのシナリオで使用する資格情報を示します。

• ローカル開発環境: ローカル開発時にのみ、 DefaultAzureCredential という名前のクラスを、構成済みの資格情報チェーンに使用します。 DefaultAzureCredential は、Azure CLI や Visual Studio などのローカル ツールまたは IDE からユーザー資格情報を検出します。 また、再試行の柔軟性と利便性、応答の待機時間、複数の認証オプションのサポートも提供します。 詳細については、 ローカル開発時の Azure サービスに対する認証 に関する記事を参照してください。
• Azure でホストされるアプリ: アプリが Azure で実行されている場合は、 ManagedIdentityCredential を使用して、アプリ用に構成されたマネージド ID を安全に検出します。 この正確な種類の資格情報を指定すると、他の使用可能な資格情報が予期せず取得されなくなります。

コードを実装する

Azure.Identity パッケージを追加します。 ASP.NET Core プロジェクトで、Microsoft.Extensions.Azure パッケージもインストールします。

コマンドライン

選択したターミナルで、アプリケーション プロジェクト ディレクトリに移動し、次のコマンドを実行します。

dotnet add package Azure.Identity
dotnet add package Microsoft.Extensions.Azure

Visual Studio ソリューション エクスプローラーの ウィンドウでプロジェクトを右クリックし、[NuGet パッケージの管理] 選択します。 Azure.Identity を検索し、一致するパッケージをインストールします。 Microsoft.Extensions.Azure パッケージに対してこのプロセスを繰り返します。

Azure サービスには、さまざまな Azure SDK クライアント ライブラリの特殊なクライアント クラスを使用してアクセスします。 これらのクラスと独自のカスタム サービスは、アプリ全体で使用できるように、依存関係の挿入に登録する必要があります。 Program.csで、次の手順を実行して、依存関係の挿入とトークンベースの認証用にクライアント クラスを構成します。

1. Azure.Identity ディレクティブを使用して、Microsoft.Extensions.Azure と using 名前空間を含めます。
2. 対応する Addプレフィックス付き拡張メソッドを使用して、Azure サービス クライアントを登録します。
3. アプリが実行されている環境に適した TokenCredential インスタンスを使用します。 アプリが実行されている場合:
   • Azure で、 ManagedIdentityCredential のインスタンスを UseCredential メソッドに渡します。 ManagedIdentityCredential は、他のサービスに対して自動的に認証するマネージド ID 構成を検出します。
   • ローカル開発マシンでは、 DefaultAzureCredential のインスタンスがユーザーに代わって作成されます。 UseCredentialは、DefaultAzureCredentialをカスタマイズする場合や別の資格情報を使用する場合にのみ呼び出してください。 DefaultAzureCredential では、アプリケーション サービス プリンシパルの環境変数、またはローカルにインストールされている開発者ツール (Visual Studio など) で、開発者資格情報のセットが検索されます。

builder.Services.AddAzureClients(clientBuilder =>
{
    clientBuilder.AddBlobServiceClient(
        new Uri("https://<account-name>.blob.core.windows.net"));

    if (builder.Environment.IsProduction() || builder.Environment.IsStaging())
    {
        // Managed identity token credential discovered when running in Azure environments
        ManagedIdentityCredential credential = new(ManagedIdentityId.SystemAssigned);
        clientBuilder.UseCredential(credential);
    }
});

---