サービスプリンシパルを使用して、ローカル開発中にJavaアプリがAzureサービスに認証されるようにする

ローカル開発時に、アプリケーションは、さまざまなAzure サービスにアクセスするためにAzureに対して認証を行う必要があります。ローカルで認証するには、次のいずれかの方法を使用します。

Azure ID ライブラリでサポートされているいずれかの開発者ツールで開発者アカウントを使用します。詳細については、「ローカル開発中に開発者アカウントを使用してJavaアプリをAzureサービスに認証する」の参照をご覧ください。
サービスプリンシパルを使用します。

この記事では、アプリケーションサービスプリンシパルを使用する方法について説明します。サービスプリンシパルの詳細については、「Microsoft Entra ID のアプリケーションオブジェクトとサービスプリンシパルオブジェクト」を参照してください。この記事では、次のことについて説明します。

Microsoft Entraにアプリケーションを登録してサービスプリンシパルを作成する方法。
Microsoft Entra グループを使用してアクセス許可を効率的に管理する方法。
スコープのアクセス許可にロールを割り当てる方法。
アプリコードからサービスプリンシパルを使用して認証する方法。

専用のアプリケーションサービスプリンシパルを使用すると、Azure リソースにアクセスするときに最小特権の原則に従うことができます。開発中にアプリの特定の要件にアクセス許可を制限して、他のアプリやサービスを対象としたAzureリソースに誤ってアクセスするのを防ぐことができます。この方法は、開発環境でアプリが過剰に特権を持たないようにすることで、アプリを運用環境に移行するときの問題を回避するのにも役立ちます。

ローカル Java アプリがサービスプリンシパルを使用して Azure リソースに接続する方法を示す図

Azureでアプリを登録すると、アプリケーションサービスプリンシパルが作成されます。ローカル開発の場合は、次の手順を実行する必要があります。

各開発者が独自のアプリケーションサービスプリンシパルを持ち、資格情報を共有する必要がないように、アプリで作業する開発者ごとに個別のアプリ登録を作成します。
アプリのアクセス許可を必要なもののみに制限するには、アプリごとに個別のアプリ登録を作成します。

ローカル開発時に、アプリケーションサービスプリンシパルの ID を使用して環境変数を設定します。 Azure ID ライブラリは、これらの環境変数を読み取って、必要なAzure リソースに対してアプリを認証します。

Azureにアプリを登録する

アプリケーションサービスプリンシパルオブジェクトは、Azure ポータルまたはAzure CLIを使用して、Azureのアプリ登録によって作成されます。

Azure portal
Azure CLI

Azure ポータルで、検索バーを使用して App registrations ページに移動します。
App registrations ページで、+ 新規登録を選択します。
「アプリケーションの登録ページ」で、次の手順を実行します。
- [名] フィールドに、アプリ名とターゲット環境を含むわかりやすい値を入力します。
- [サポートされているアカウントの種類] で、この組織のディレクトリ内のアカウントのみ (Microsoft Customer Led only - Single tenant (Microsoft カスタマー主導の場合のみ - シングルテナント)) を選択するか、要件に最も適したオプションを選択します。
[登録] を選択してアプリを登録し、サービスプリンシパルを作成します。
アプリの [アプリ登録] ページで、アプリケーション (クライアント) ID と Directory (テナント) ID コピーし、後でアプリコード構成で使用できるように一時的な場所に貼り付けます。
[証明書またはシークレットの追加] を選択して、アプリの資格情報を設定します。
[証明書 & シークレット] ページで、[+ 新しいクライアントシークレット] を選択します。
開いた [クライアントシークレットの追加] ポップアップパネルで次の操作を実行します。
- [説明] に、Current の値を入力します。
- の [有効期限] の値は、既定値の 180 日間のままにします。
- [追加] を選択してシークレットを追加します。
証明書 & シークレット ページで、クライアントシークレットの Value プロパティをコピーして、今後の手順で使用してください。

注

クライアントシークレットの値は、アプリの登録が作成された後に 1 回だけ表示されます。このクライアントシークレットを無効にすることなく、クライアントシークレットをさらに追加できますが、この値を再度表示する方法はありません。

Azure CLIコマンドは、Azure Cloud Shell または Azure CLI がインストールされているワークステーションで実行できます。

az ad sp create-for-rbac コマンドを使用して、新しいアプリ登録とアプリに対応するサービスプリンシパルを作成します。

az ad sp create-for-rbac --name <service-principal-name>

このコマンドの出力は、次の JSON のようになります。

{
  "appId": "00000000-0000-0000-0000-000000000000",
  "displayName": "<service-principal-name>",
  "password": "abcdefghijklmnopqrstuvwxyz",
  "tenant": "11111111-1111-1111-1111-111111111111"
}

後の手順でこれらの値が必要になるので、この出力をテキストエディターの一時ファイルにコピーします。

注

クライアントシークレットの値は、アプリの登録が作成された後に 1 回だけ表示されます。このクライアントシークレットを無効にすることなく、クライアントシークレットをさらに追加できますが、この値を再度表示する方法はありません。

ローカル開発用のMicrosoft Entra グループを作成する

個々のサービスプリンシパルオブジェクトにロールを割り当てるのではなく、アプリがローカル開発で必要とするロール (アクセス許可) をカプセル化するMicrosoft Entra グループを作成します。この方法には、次の利点があります。

すべての開発者には、グループレベルで同じロールが割り当てられます。
アプリに新しいロールが必要な場合は、アプリのグループにのみ追加する必要があります。
新しい開発者がチームに参加すると、開発者用に新しいアプリケーションサービスプリンシパルが作成され、グループに追加され、開発者がアプリで作業するための適切なアクセス許可を持っている必要があります。

Azure portal
Azure CLI

Azure ポータルの Microsoft Entra ID 概要ページに移動します。
左側のメニューから [すべてのグループ ] を選択します。
[ グループ ] ページで、[ 新しいグループ] を選択します。
[ 新しいグループ ] ページで、次のフォームフィールドに入力します。
- グループの種類: [セキュリティ] を選択します。
- グループ名: アプリ名または環境名への参照を含むグループの名前を入力します。
- グループの説明: グループの目的を説明する説明を入力します。
[メンバー] の下の [メンバーが選択されていません] リンクを選択して、グループにメンバーを追加します。
開いたポップアップパネルで、先ほど作成したサービスプリンシパルを検索し、フィルター処理された結果から選択します。パネルの下部にある [選択 ] ボタンを選択して、選択内容を確認します。
[新しいグループ] ページの下部にある [作成] を選択してグループを作成し、[すべてのグループ] ページに戻ります。新しいグループが表示されない場合は、しばらく待ってからページを更新してください。

Microsoft Entra IDでグループを作成するには、az ad group create コマンドを使用します。
```
az ad group create \
    --display-name <group-name> \
    --mail-nickname <group-mail-nickname> \
    --description <group-description>
```
--display-name パラメーターと --mail-nickname パラメーターは必須です。グループに指定する名前は、グループの目的を示すアプリの名前と環境に基づいている必要があります。
グループにメンバーを追加するには、アプリケーションサービスプリンシパルのオブジェクト ID が必要です。これは、アプリケーション ID とは異なります。 az ad sp list コマンドを使用して、使用可能なサービスプリンシパルを一覧表示します。
```
az ad sp list \
    --filter "startswith(displayName, '<group-name>')" \
    --query "[].{objectId:id, displayName:displayName}"
```
--filter パラメーターは OData スタイルのフィルターを受け入れ、次のようにリストをフィルター処理するために使用できます。 --query パラメーターは、出力を目的の列のみに制限します。
az ad group member add コマンドを使用して、グループにメンバーを追加します。
```
az ad group member add \
    --group <group-name> \
    --member-id <object-id>
```

グループにロールを割り当てる

次に、アプリで必要なリソースのロール (アクセス許可) を決定し、作成したMicrosoft Entra グループにそれらのロールを割り当てます。グループには、リソース、リソースグループ、またはサブスクリプションスコープでロールを割り当てることができます。この例では、ほとんどのアプリですべてのAzureリソースが 1 つのリソースグループにグループ化されるため、リソースグループスコープでロールを割り当てる方法を示します。

Azure portal
Azure CLI

Azure ポータルで、アプリを含むリソースグループの Overview ページに移動します。
左側のナビゲーションから アクセス制御 (IAM) を選択します。
[ アクセス制御 (IAM)] ページで、[ + 追加 ] を選択し、ドロップダウンメニューから [ ロールの割り当ての追加 ] を選択します。 [ ロールの割り当ての追加] ページには、ロールを構成して割り当てるためのタブがいくつか用意されています。
[ ロール ] タブで、検索ボックスを使用して、割り当てるロールを見つけます。ロールを選択し、[ 次へ] を選択します。
[メンバー] タブで、次の手順を実行します。
- [ 値へのアクセスの割り当て] で、[ ユーザー、グループ、またはサービスプリンシパル ] を選択します。
- [メンバー] の値で、[+ メンバーの選択] を選択して、[メンバーの選択] ポップアップパネルを開きます。
- 先ほど作成したMicrosoft Entra グループを検索し、フィルター処理された結果から選択します。 [ 選択 ] を選択してグループを選択し、ポップアップパネルを閉じます。
- [メンバー] タブの下部にある [確認と割り当て] を選択します。
Microsoft Entra グループにロールを割り当てる方法を示すスクリーンショット
[ 校閲と割り当て ] タブで、ページの下部にある [校閲と割り当て ] を選択します。

az ロール定義リストコマンドを使用して、Microsoft Entra グループまたはサービスプリンシパルを割り当てることができるロールの名前を取得します。
```
az role definition list \
    --query "sort_by([].{roleName:roleName, description:description}, &roleName)" \
    --output table
```
az ロールの割り当て create コマンドを使用して、作成したMicrosoft Entra グループにロールを割り当てます。
```
az role assignment create \
    --assignee "<group-object-Id>" \
    --role "<role-name>" \
    --resource-group "<resource-group-name>"
```
Azure CLIを使用してリソースまたはサブスクリプションレベルでアクセス許可を割り当てる方法については、「Azure CLIを参照してください。

アプリ環境変数を設定する

実行時に、、DefaultAzureCredential、EnvironmentCredential など、ClientSecretCredentialの特定の資格情報で、環境変数の規則によってサービスプリンシパル情報を検索します。 Javaを使用する場合は、ツールと環境に応じてさまざまな方法で環境変数を構成できます。

選択した方法に関係なく、サービスプリンシパルに対して次の環境変数を構成します。

AZURE_CLIENT_ID: Azureで登録されているアプリを識別するために使用されます。
AZURE_TENANT_ID: Microsoft Entra テナントの ID。
AZURE_CLIENT_SECRET: アプリ用に生成されたシークレット資格情報。

~/.bashrcまたは~/.zshrc ファイルに次の行を追加します。プレースホルダーの値を、アプリ登録の実際の値に置き換えます。

export AZURE_CLIENT_ID="<your-client-id>"
export AZURE_TENANT_ID="<your-tenant-id>"
export AZURE_CLIENT_SECRET="<your-client-secret>"

ファイルを編集した後、 source ~/.bashrc または source ~/.zshrc を実行して、現在のセッションに変更を適用します。

.vscode/launch.jsonで環境変数を構成します。

{
    "version": "0.2.0",
    "configurations": [
        {
            "type": "java",
            "name": "Launch App",
            "request": "launch",
            "mainClass": "com.example.App",
            "env": {
                "AZURE_CLIENT_ID": "<your-client-id>",
                "AZURE_TENANT_ID": "<your-tenant-id>",
                "AZURE_CLIENT_SECRET": "<your-client-secret>"
            }
        }
    ]
}

実行構成で環境変数を構成します。

「実行」 > / 「構成の編集...」を選択します。
アプリケーション構成を選択します。

[ 環境変数 ] フィールドに変数を追加します。

AZURE_CLIENT_ID=<your-client-id>;AZURE_TENANT_ID=<your-tenant-id>;AZURE_CLIENT_SECRET=<your-client-secret>

[Apply](適用) 、 [OK] の順に選択します。

アプリからAzure サービスに対する認証

Azure Identity ライブラリは、さまざまなシナリオとMicrosoft Entraの認証フローをサポートする様々な資格情報の実装を提供します。次の手順では、ローカルおよび運用環境でサービスプリンシパルを操作するときに ClientSecretCredential を使用する方法を示します。

コードを実装する

azure-identity ファイルにpom.xmlの依存関係を追加します。

<dependency>
    <groupId>com.azure</groupId>
    <artifactId>azure-identity</artifactId>
</dependency>

さまざまなAzure SDK クライアントライブラリの特殊なクライアントクラスを使用して、Azure サービスにアクセスします。アプリで Azure SDK クライアントオブジェクトを作成するJava コードの場合は、次の手順に従います。

ClientSecretCredentialBuilder パッケージから com.azure.identity クラスをインポートします。
ClientSecretCredential、ClientSecretCredentialBuilder、およびtenantIdでclientIdを使用して、clientSecret オブジェクトを作成します。
ClientSecretCredential インスタンスを、Azure SDK クライアントオブジェクトビルダーの credential メソッドに渡します。

この方法の例を次のコードセグメントに示します。

import com.azure.identity.ClientSecretCredential;
import com.azure.identity.ClientSecretCredentialBuilder;
import com.azure.storage.blob.BlobServiceClient;
import com.azure.storage.blob.BlobServiceClientBuilder;

String tenantId = System.getenv("AZURE_TENANT_ID");
String clientId = System.getenv("AZURE_CLIENT_ID");
String clientSecret = System.getenv("AZURE_CLIENT_SECRET");

ClientSecretCredential credential = new ClientSecretCredentialBuilder()
    .tenantId(tenantId)
    .clientId(clientId)
    .clientSecret(clientSecret)
    .build();

BlobServiceClient blobServiceClient = new BlobServiceClientBuilder()
    .endpoint("https://<account-name>.blob.core.windows.net")
    .credential(credential)
    .buildClient();

次のステップ

この記事では、サービスプリンシパルによる認証について説明しました。この形式の認証は、JavaのAzure SDKで認証できるさまざまな方法の 1 つです。次の記事では、認証のその他の方法について説明します。

サービスプリンシパル認証に関連する問題が発生した場合は、「サービスプリンシパル認証のトラブルシューティング」を参照してください。

認証を習得した後、SDK によって提供されるログ機能の詳細については、 Azure SDK for Java のログ記録の構成を参照してください。

フィードバック

このページはお役に立ちましたか?

Last updated on 2026-03-06