ローカル開発中に開発者アカウントを使用して、Java アプリを Azure サービスに認証する

ローカル開発時に、アプリケーションは、さまざまなAzure サービスにアクセスするためにAzureに対して認証を行う必要があります。ローカルで認証するには、次のいずれかの方法を使用します。

Azure ID ライブラリでサポートされているいずれかの開発者ツールで開発者アカウントを使用します。
サービスプリンシパルを使用します。詳細については、「サービスプリンシパルを使用して、ローカル開発中にサービスをAzureするJava アプリを認証する方法に関する説明を参照してください。

この記事では、Azure ID ライブラリでサポートされているツールを使用して開発者アカウントを使用して認証する方法について説明します。この記事では、次のことについて説明します。

Microsoft Entra グループを使用して、複数の開発者アカウントのアクセス許可を効率的に管理する方法。
開発者アカウントにロールを割り当てて、アクセス権限の範囲を設定する方法。
サポートされているローカル開発ツールにサインインする方法。
アプリコードから開発者アカウントを使用して認証する方法。

認証でサポートされている開発者ツール

ローカル開発時に、アプリはAzure資格情報を使用してAzureに対して認証を行うことができます。この認証を機能させるには、次のいずれかの開発者ツールからAzureにサインインする必要があります。

Azure CLI
Azure Developer CLI 開発者用コマンドラインインターフェイス
Azure PowerShell
Visual Studio Code
IntelliJ アイデア

Azure ID ライブラリは、開発者がこれらのツールのいずれかからサインインしていることを検出できます。その後、ライブラリはツールを使用してMicrosoft Entra アクセストークンを取得し、サインインしているユーザーとしてAzureするようにアプリを認証できます。

このアプローチでは、開発者の既存のAzure アカウントを利用して、認証プロセスを効率化します。ただし、開発者のアカウントには、アプリが必要とするよりも多くのアクセス許可があるため、運用環境でアプリが実行するアクセス許可を超える可能性があります。別の方法として、ローカル開発時に使用するアプリケーションサービスプリンシパルを作成できます。このスコープは、アプリで必要なアクセス権のみを持つことができます。

ローカル開発用のMicrosoft Entra グループを作成する

個々のサービスプリンシパルオブジェクトにロールを割り当てるのではなく、アプリがローカル開発で必要とするロール (アクセス許可) をカプセル化するMicrosoft Entra グループを作成します。この方法には、次の利点があります。

すべての開発者には、グループレベルで同じロールが割り当てられます。
アプリに新しいロールが必要な場合は、アプリのグループにのみ追加する必要があります。
新しい開発者がチームに参加すると、開発者用に新しいアプリケーションサービスプリンシパルが作成され、グループに追加され、開発者がアプリで作業するための適切なアクセス許可を持っている必要があります。

Azure portal
Azure CLI

Azure ポータルの Microsoft Entra ID 概要ページに移動します。
左側のメニューから [すべてのグループ ] を選択します。
[ グループ ] ページで、[ 新しいグループ] を選択します。
[ 新しいグループ ] ページで、次のフォームフィールドに入力します。
- グループの種類: [セキュリティ] を選択します。
- グループ名: アプリ名または環境名への参照を含むグループの名前を入力します。
- グループの説明: グループの目的を説明する説明を入力します。
[メンバー] の下の [メンバーが選択されていません] リンクを選択して、グループにメンバーを追加します。
開いたポップアップパネルで、先ほど作成したサービスプリンシパルを検索し、フィルター処理された結果から選択します。パネルの下部にある [選択 ] ボタンを選択して、選択内容を確認します。
[新しいグループ] ページの下部にある [作成] を選択してグループを作成し、[すべてのグループ] ページに戻ります。新しいグループが表示されない場合は、しばらく待ってからページを更新してください。

Microsoft Entra IDでグループを作成するには、az ad group create コマンドを使用します。
```
az ad group create \
    --display-name <group-name> \
    --mail-nickname <group-mail-nickname> \
    --description <group-description>
```
--display-name パラメーターと --mail-nickname パラメーターは必須です。グループに指定する名前は、グループの目的を示すアプリの名前と環境に基づいている必要があります。
グループにメンバーを追加するには、アプリケーションサービスプリンシパルのオブジェクト ID が必要です。これは、アプリケーション ID とは異なります。 az ad sp list コマンドを使用して、使用可能なサービスプリンシパルを一覧表示します。
```
az ad sp list \
    --filter "startswith(displayName, '<group-name>')" \
    --query "[].{objectId:id, displayName:displayName}"
```
--filter パラメーターは OData スタイルのフィルターを受け入れ、次のようにリストをフィルター処理するために使用できます。 --query パラメーターは、出力を目的の列のみに制限します。
az ad group member add コマンドを使用して、グループにメンバーを追加します。
```
az ad group member add \
    --group <group-name> \
    --member-id <object-id>
```

グループにロールを割り当てる

次に、アプリで必要なリソースのロール (アクセス許可) を決定し、作成したMicrosoft Entra グループにそれらのロールを割り当てます。グループには、リソース、リソースグループ、またはサブスクリプションスコープでロールを割り当てることができます。この例では、ほとんどのアプリですべてのAzureリソースが 1 つのリソースグループにグループ化されるため、リソースグループスコープでロールを割り当てる方法を示します。

Azure portal
Azure CLI

Azure ポータルで、アプリを含むリソースグループの Overview ページに移動します。
左側のナビゲーションから アクセス制御 (IAM) を選択します。
[ アクセス制御 (IAM)] ページで、[ + 追加 ] を選択し、ドロップダウンメニューから [ ロールの割り当ての追加 ] を選択します。 [ ロールの割り当ての追加] ページには、ロールを構成して割り当てるためのタブがいくつか用意されています。
[ ロール ] タブで、検索ボックスを使用して、割り当てるロールを見つけます。ロールを選択し、[ 次へ] を選択します。
[メンバー] タブで、次の手順を実行します。
- [ 値へのアクセスの割り当て] で、[ ユーザー、グループ、またはサービスプリンシパル ] を選択します。
- [メンバー] の値で、[+ メンバーの選択] を選択して、[メンバーの選択] ポップアップパネルを開きます。
- 先ほど作成したMicrosoft Entra グループを検索し、フィルター処理された結果から選択します。 [ 選択 ] を選択してグループを選択し、ポップアップパネルを閉じます。
- [メンバー] タブの下部にある [確認と割り当て] を選択します。
Microsoft Entra グループにロールを割り当てる方法を示すスクリーンショット
[ 校閲と割り当て ] タブで、ページの下部にある [校閲と割り当て ] を選択します。

az ロール定義リストコマンドを使用して、Microsoft Entra グループまたはサービスプリンシパルを割り当てることができるロールの名前を取得します。
```
az role definition list \
    --query "sort_by([].{roleName:roleName, description:description}, &roleName)" \
    --output table
```
az ロールの割り当て create コマンドを使用して、作成したMicrosoft Entra グループにロールを割り当てます。
```
az role assignment create \
    --assignee "<group-object-Id>" \
    --role "<role-name>" \
    --resource-group "<resource-group-name>"
```
Azure CLIを使用してリソースまたはサブスクリプションレベルでアクセス許可を割り当てる方法については、「Azure CLIを参照してください。

次に、開発環境で認証を実行するために使用できる開発者ツールのいずれかを使用して、Azureにサインインします。認証するアカウントは、前に作成して構成したMicrosoft Entra グループにも存在する必要があります。

Visual Studio Codeを使用する開発者は、ブローカーを介してエディターを介して開発者アカウントで直接認証できます。 DefaultAzureCredentialまたはVisualStudioCodeCredentialを使用するアプリでは、このアカウントを使用して、シームレスなシングルサインオンエクスペリエンスを通じてアプリ要求を認証できます。

Visual Studio Codeで、Extensions パネルに移動し、Azure Resources 拡張機能をインストールします。この拡張機能を使用すると、Visual Studio Codeから直接Azureリソースを表示および管理できます。また、組み込みのVisual Studio Code Microsoft 認証プロバイダーを使用して、Azureで認証します。

Azure Resources エクステンションを示すスクリーンショットです。
Visual Studio Codeでコマンドパレットを開き、 Azure: サインインを検索して選択します。

Visual Studio CodeでAzureにサインインする方法を示すスクリーンショット

ヒント

Windows/Linux では Ctrl+Shift+P、macOS では Cmd+Shift+P を使用してコマンドパレットを開きます。

IntelliJ を使用する開発者は、Azure Toolkit for IntelliJ プラグインを使用して認証できます。次の手順を実行して、サインインします。

IntelliJ ウィンドウで、[ File > Settings > Plugins] を開きます。
マーケットプレースで "Azure Toolkit for IntelliJ" を検索します。 IDE をインストールして再起動します。
新しいメニュー項目 Tools > Azure > Azure サインインを検索します。
デバイスログイン は、ユーザーアカウントとしてサインインするのに役立ちます。手順に従って、デバイスコードを使用して login.microsoftonline.com Web サイトにサインインします。 IntelliJ によって、サブスクリプションを選択するように求められます。アクセスするリソースを含むサブスクリプションを選択します。

開発者は、Azure CLI を使用して認証できます。 DefaultAzureCredentialまたはAzureCLICredentialを使用するアプリは、このアカウントを使用してアプリ要求を認証できます。

Azure CLIで認証するには、az login コマンドを実行します。既定の Web ブラウザーを使用するシステムでは、Azure CLIがブラウザーを起動してユーザーを認証します。

az login

既定の Web ブラウザーがないシステムの場合、az login コマンドはデバイスコード認証フローを使用します。 --use-device-code 引数を指定して、ブラウザーを起動するのではなく、Azure CLIにデバイスコードフローを強制的に使用することもできます。

az login --use-device-code

開発者は、Azure Developer CLI を使用して、Microsoft Entra IDに対する認証を行うことができます。 DefaultAzureCredentialまたはAzureDeveloperCliCredentialを使用するアプリでは、ローカルで実行するときにこのアカウントを使用してアプリ要求を認証できます。

Azure Developer CLI で認証するには、azd auth login コマンドを実行します。既定の Web ブラウザーを使用するシステムでは、Azure Developer CLI によってブラウザーが起動され、ユーザーが認証されます。

azd auth login

既定の Web ブラウザーがないシステムの場合、 azd auth login --use-device-code はデバイスコード認証フローを使用します。 --use-device-code 引数を指定してブラウザーを起動するのではなく、Azure Developer CLI でデバイスコードフローを使用するように強制することもできます。

azd auth login --use-device-code

開発者は、Azure PowerShell を使用してMicrosoft Entra IDに対する認証を行うことができます。 DefaultAzureCredentialまたはAzurePowerShellCredentialを使用するアプリでは、ローカルで実行するときにこのアカウントを使用してアプリ要求を認証できます。

Azure PowerShellで認証するには、コマンド Connect-AzAccount を実行します。既定の Web ブラウザーとバージョン 5.0.0 以降のAzure PowerShellを使用するシステムでは、ブラウザーを起動してユーザーを認証します。

Connect-AzAccount

既定の Web ブラウザーがないシステムの場合、Connect-AzAccount コマンドはデバイスコード認証フローを使用します。ユーザーは、UseDeviceAuthentication 引数を指定してブラウザーを起動するのではなく、Azure PowerShellにデバイスコードフローを使用するように強制することもできます。

Connect-AzAccount -UseDeviceAuthentication

アプリからAzure サービスに対する認証

Azure ID ライブラリは、さまざまなシナリオとMicrosoft Entra認証フローをサポートする TokenCredential の実装を提供します。次の手順では、ユーザーアカウントをローカルで操作するときに DefaultAzureCredential または特定の開発ツールの資格情報を使用する方法を示します。

コードを実装する

azure-identity ファイルにpom.xmlの依存関係を追加します。

<dependency>
    <groupId>com.azure</groupId>
    <artifactId>azure-identity</artifactId>
</dependency>

シナリオに基づいて、資格情報の実装のいずれかを選択します。
- 開発ツールに固有の資格情報を使用します。このオプションは、1 人または 1 つのツールのシナリオに最適です。
- 任意の開発ツールで使用できる資格情報を使用します。このオプションは、オープンソースプロジェクトや多様なツールチームに最適です。

開発ツールに固有の資格情報を使用する

特定の開発ツールに対応する TokenCredential インスタンスを Azure サービスクライアントコンストラクター (AzureCliCredential など) に渡します。

import com.azure.identity.AzureCliCredential;
import com.azure.identity.AzureCliCredentialBuilder;
import com.azure.security.keyvault.secrets.SecretClient;
import com.azure.security.keyvault.secrets.SecretClientBuilder;

AzureCliCredential credential = new AzureCliCredentialBuilder().build();

SecretClient client = new SecretClientBuilder()
    .vaultUrl("https://<your-key-vault-name>.vault.azure.net")
    .credential(credential)
    .buildClient();

各ツール資格情報は同じパターンに従います。必要に応じて、資格情報の種類とそれに対応するビルダーを置き換えます。

AzureCliCredential / AzureCliCredentialBuilder
AzureDeveloperCliCredential / AzureDeveloperCliCredentialBuilder
AzurePowerShellCredential / AzurePowerShellCredentialBuilder
IntelliJCredential / IntelliJCredentialBuilder
VisualStudioCodeCredential / VisualStudioCodeCredentialBuilder

任意の開発ツールで使用できる資格情報を使用する

すべてのローカル開発ツール用に最適化された DefaultAzureCredential インスタンスを使用します。この例では、環境変数AZURE_TOKEN_CREDENTIALSdevに設定する必要があります。詳細については、「資格情報の種類のカテゴリを除外する」を参照してください。

import com.azure.identity.DefaultAzureCredential;
import com.azure.identity.DefaultAzureCredentialBuilder;
import com.azure.security.keyvault.secrets.SecretClient;
import com.azure.security.keyvault.secrets.SecretClientBuilder;

DefaultAzureCredential credential = new DefaultAzureCredentialBuilder()
    .requireEnvVars(AzureIdentityEnvVars.AZURE_TOKEN_CREDENTIALS)
    .build();

SecretClient client = new SecretClientBuilder()
    .vaultUrl("https://<your-key-vault-name>.vault.azure.net")
    .credential(credential)
    .buildClient();

次のステップ

この記事では、コンピューターで使用できる資格情報を使用した開発中の認証について説明しました。この形式の認証は、JavaのAzure SDKで認証できる複数の方法の 1 つです。次の記事では、その他の方法について説明します。

開発環境の認証に関連する問題が発生した場合は、「開発環境認証のトラブルシューティング」を参照してください。

認証を習得した後、SDK によって提供されるログ機能の詳細については、 Azure SDK for Java のログ記録の構成を参照してください。

フィードバック

このページはお役に立ちましたか?

Last updated on 2026-03-06