サービスプリンシパルを使用して、ローカル開発中にPythonアプリをAzureサービスに認証する

ローカル開発時に、アプリケーションは、さまざまなAzure サービスにアクセスするためにAzureに対して認証を行う必要があります。この記事では、アプリケーションサービスプリンシパルをローカル認証の 2 つの一般的な方法の 1 つとして使用する方法について説明します。

サービスプリンシパルを作成するためにアプリケーションをMicrosoft Entraに登録する方法
Microsoft Entra グループを使用してアクセス許可を効率的に管理する方法
スコープのアクセス許可にロールを割り当てる方法
アプリコードからサービスプリンシパルを使用して認証する方法

専用のアプリケーションサービスプリンシパルを使用すると、Azure リソースにアクセスするときに最小特権の原則に従うことができます。アクセス許可は開発中のアプリの特定の要件に限定されるため、他のアプリやサービスを対象としたAzure リソースに誤ってアクセスするのを防ぐことができます。この方法は、開発環境でアプリが過剰に特権を持たないようにすることで、アプリが運用環境に移行されたときの問題を回避するのにも役立ちます。

ローカル開発環境で実行されているアプリが .env ファイルからアプリケーションサービスプリンシパルを取得し、その ID を利用して Azure リソースに接続する方法を示す図

アプリがAzureに登録されると、アプリケーションサービスプリンシパルが作成されます。ローカル開発の場合:

アプリで作業する開発者ごとに個別のアプリ登録を作成して、各開発者が独自のアプリケーションサービスプリンシパルを持っていることを確認し、資格情報を共有する必要がなくなります。
アプリのアクセス許可を必要なもののみに制限するには、アプリごとに個別のアプリ登録を作成します。

ローカル開発時に、環境変数はアプリケーションサービスプリンシパルの ID で設定されます。 Azure ID ライブラリは、これらの環境変数を読み取って、必要なAzure リソースに対してアプリを認証します。

Azureにアプリを登録する

アプリケーションサービスプリンシパルオブジェクトは、Azure ポータルまたはAzure CLIを使用して、Azureのアプリ登録によって作成されます。

Azure portal
Azure CLI

Azure ポータルで、検索バーを使用して アプリの登録 ページに移動します。
アプリの登録 ページで、+ 新規登録を選択します。
「アプリケーションの登録ページ」で、次の手順を実行します。
- [名] フィールドに、アプリ名とターゲット環境を含むわかりやすい値を入力します。
- [サポートされているアカウントの種類] で、この組織のディレクトリ内のアカウントのみ (Microsoft Customer Led only - Single tenant (Microsoft カスタマー主導の場合のみ - シングルテナント)) を選択するか、要件に最も適したオプションを選択します。
[登録] を選択してアプリを登録し、サービスプリンシパルを作成します。
アプリの [アプリ登録] ページで、アプリケーション (クライアント) ID と Directory (テナント) ID コピーし、後でアプリコード構成で使用できるように一時的な場所に貼り付けます。
[証明書またはシークレットの追加] を選択して、アプリの資格情報を設定します。
[証明書 & シークレット] ページで、[+ 新しいクライアントシークレット] を選択します。
開いた [クライアントシークレットの追加] ポップアップパネルで次の操作を実行します。
- [説明] に、Current の値を入力します。
- の [有効期限] の値は、既定値の 180 日間のままにします。
- [追加] を選択してシークレットを追加します。
証明書 & シークレットページで、クライアントシークレットの Value プロパティをコピーして、今後の手順で使用してください。

注

クライアントシークレットの値は、アプリの登録が作成された後に 1 回だけ表示されます。このクライアントシークレットを無効にすることなく、クライアントシークレットをさらに追加できますが、この値を再度表示する方法はありません。

Azure CLIコマンドは、Azure Cloud Shell または Azure CLI がインストールされているワークステーションで実行できます。

az ad sp create-for-rbac コマンドを使用して、新しいアプリ登録とアプリに対応するサービスプリンシパルを作成します。

az ad sp create-for-rbac --name <service-principal-name>

このコマンドの出力は、次の JSON のようになります。

{
  "appId": "00000000-0000-0000-0000-000000000000",
  "displayName": "<service-principal-name>",
  "password": "abcdefghijklmnopqrstuvwxyz",
  "tenant": "11111111-1111-1111-1111-111111111111"
}

後の手順でこれらの値が必要になるので、この出力をテキストエディターの一時ファイルにコピーします。

注

クライアントシークレットの値は、アプリの登録が作成された後に 1 回だけ表示されます。このクライアントシークレットを無効にすることなく、クライアントシークレットをさらに追加できますが、この値を再度表示する方法はありません。

ローカル開発用のMicrosoft Entra グループを作成する

個々のサービスプリンシパルオブジェクトにロールを割り当てるのではなく、アプリがローカル開発で必要とするロール (アクセス許可) をカプセル化するMicrosoft Entra グループを作成します。この方法には、次の利点があります。

すべての開発者には、グループレベルで同じロールが割り当てられます。
アプリに新しいロールが必要な場合は、アプリのグループにのみ追加する必要があります。
新しい開発者がチームに参加すると、開発者用に新しいアプリケーションサービスプリンシパルが作成され、グループに追加され、開発者がアプリで作業するための適切なアクセス許可を持っている必要があります。

Azure portal
Azure CLI

Azure ポータルの Microsoft Entra ID 概要ページに移動します。
左側のメニューから [すべてのグループ ] を選択します。
[ グループ ] ページで、[ 新しいグループ] を選択します。
[ 新しいグループ ] ページで、次のフォームフィールドに入力します。
- グループの種類: [セキュリティ] を選択します。
- グループ名: アプリ名または環境名への参照を含むグループの名前を入力します。
- グループの説明: グループの目的を説明する説明を入力します。
[メンバー] の下の [メンバーが選択されていません] リンクを選択して、グループにメンバーを追加します。
開いたポップアップパネルで、先ほど作成したサービスプリンシパルを検索し、フィルター処理された結果から選択します。パネルの下部にある [選択 ] ボタンを選択して、選択内容を確認します。
[新しいグループ] ページの下部にある [作成] を選択してグループを作成し、[すべてのグループ] ページに戻ります。新しいグループが表示されない場合は、しばらく待ってからページを更新してください。

Microsoft Entra IDでグループを作成するには、az ad group create コマンドを使用します。
```
az ad group create \
    --display-name <group-name> \
    --mail-nickname <group-mail-nickname> \
    --description <group-description>
```
パラメーターとパラメーターは必須です。グループに指定する名前は、グループの目的を示すアプリの名前と環境に基づいている必要があります。
グループにメンバーを追加するには、アプリケーションサービスプリンシパルのオブジェクト ID が必要です。これは、アプリケーション ID とは異なります。 az ad sp list コマンドを使用して、使用可能なサービスプリンシパルを一覧表示します。
```
az ad sp list \
    --filter "startswith(displayName, '<group-name>')" \
    --query "[].{objectId:id, displayName:displayName}"
```
パラメーターは OData スタイルのフィルターを受け入れ、次のようにリストをフィルター処理するために使用できます。パラメーターは、出力を目的の列のみに制限します。
az ad group member add コマンドを使用して、グループにメンバーを追加します。
```
az ad group member add \
    --group <group-name> \
    --member-id <object-id>
```

グループにロールを割り当てる

次に、アプリで必要なリソースのロール (アクセス許可) を決定し、作成したMicrosoft Entra グループにそれらのロールを割り当てます。グループには、リソース、リソースグループ、またはサブスクリプションスコープでロールを割り当てることができます。この例では、ほとんどのアプリですべてのAzureリソースが 1 つのリソースグループにグループ化されるため、リソースグループスコープでロールを割り当てる方法を示します。

Azure portal
Azure CLI

Azure ポータルで、アプリを含むリソースグループの Overview ページに移動します。
左側のナビゲーションからアクセス制御 (IAM) を選択します。
[ アクセス制御 (IAM)] ページで、[ + 追加 ] を選択し、ドロップダウンメニューから [ ロールの割り当ての追加 ] を選択します。 [ ロールの割り当ての追加] ページには、ロールを構成して割り当てるためのタブがいくつか用意されています。
[ ロール ] タブで、検索ボックスを使用して、割り当てるロールを見つけます。ロールを選択し、[ 次へ] を選択します。
[メンバー] タブで、次の手順を実行します。
- [ 値へのアクセスの割り当て] で、[ ユーザー、グループ、またはサービスプリンシパル ] を選択します。
- [メンバー] の値で、[+ メンバーの選択] を選択して、[メンバーの選択] ポップアップパネルを開きます。
- 先ほど作成したMicrosoft Entra グループを検索し、フィルター処理された結果から選択します。 [ 選択 ] を選択してグループを選択し、ポップアップパネルを閉じます。
- [メンバー] タブの下部にある [確認と割り当て] を選択します。
Microsoft Entra グループにロールを割り当てる方法を示すスクリーンショット
[ 校閲と割り当て ] タブで、ページの下部にある [校閲と割り当て ] を選択します。

az ロール定義リストコマンドを使用して、Microsoft Entra グループまたはサービスプリンシパルを割り当てることができるロールの名前を取得します。
```
az role definition list \
    --query "sort_by([].{roleName:roleName, description:description}, &roleName)" \
    --output table
```
az ロールの割り当て create コマンドを使用して、作成したMicrosoft Entra グループにロールを割り当てます。
```
az role assignment create \
    --assignee "<group-object-Id>" \
    --role "<role-name>" \
    --resource-group "<resource-group-name>"
```
Azure CLIを使用してリソースまたはサブスクリプションレベルでアクセス許可を割り当てる方法については、「Azure CLIを参照してください。

アプリ環境変数を設定する

実行時に、、DefaultAzureCredential、EnvironmentCredential など、ClientSecretCredentialの特定の資格情報で、環境変数の規則によってサービスプリンシパル情報を検索します。ツールと環境に応じて、Pythonを使用するときに環境変数を構成する方法は複数あります。

選択した方法に関係なく、サービスプリンシパルに対して次の環境変数を構成します。

AZURE_CLIENT_ID: Azureに登録されているアプリのアプリケーション ID。
AZURE_TENANT_ID: Microsoft Entra テナントの ID。
: アプリのクライアントシークレット資格情報。

.env ファイル
Visual Studio Code
Windows
Linux/macOS

ほとんどの開発者は複数のアプリケーションで作業するため、開発中にアプリケーションのディレクトリに格納されているファイルから環境変数にアクセスするには、python-dotenv などのパッケージを使用することをお勧めします。このアプローチでは、このアプリケーションのみが使用できるように、環境変数のスコープを設定します。

.env ファイルには、Azureのアプリケーションシークレットキーが含まれるため、ソース管理にチェックインされることはありません。 Pythonの標準.gitignore ファイルは、チェックインから .env ファイルを自動的に除外します。

パッケージを使用するには、まずアプリケーションにパッケージをインストールします。

pip install python-dotenv

次に、アプリケーションのルートディレクトリにファイルを作成します。アプリ登録プロセスから取得した値を使用して環境変数の値を設定します。

AZURE_CLIENT_ID=<your-client-id>
AZURE_TENANT_ID=<your-tenant-id>
AZURE_CLIENT_SECRET=<your-client-secret>

最後に、アプリケーションのスタートアップコードで、ライブラリを使用して、起動時にファイルから環境変数を読み取ります。

from dotenv import load_dotenv

load_dotenv()

Visual Studio Codeでは、プロジェクトの launch.json ファイルで環境変数を設定できます。これらの値は、アプリの起動時に自動的にプルされます。ただし、これらの構成はデプロイ中にアプリと共に移動しないため、ターゲットホスティング環境に環境変数を設定する必要があります。

{
    "version": "0.2.0",
    "configurations": [
        {
            "name": "Python: Current File",
            "type": "debugpy",
            "request": "launch",
            "program": "${file}",
            "console": "integratedTerminal",
            "env": {
                "AZURE_CLIENT_ID": "<your-client-id>",
                "AZURE_TENANT_ID": "<your-tenant-id>",
                "AZURE_CLIENT_SECRET": "<your-client-secret>"
            }
        }
    ]
}

Windowsの環境変数は、コマンドラインから設定できます。ただし、この値は、そのオペレーティングシステムで実行されているすべてのアプリからアクセスでき、競合が発生する可能性があるため、この方法には注意してください。環境変数は、ユーザーレベルまたはシステムレベルで設定できます。

setx AZURE_CLIENT_ID "<your-client-id>"
setx AZURE_TENANT_ID "<your-tenant-id>"
setx AZURE_CLIENT_SECRET "<your-client-secret>"

PowerShell を使用して、ユーザーレベルまたはシステムレベルで環境変数を設定することもできます。

[Environment]::SetEnvironmentVariable("AZURE_CLIENT_ID", "<your-client-id>", "User")
[Environment]::SetEnvironmentVariable("AZURE_TENANT_ID", "<your-tenant-id>", "User")
[Environment]::SetEnvironmentVariable("AZURE_CLIENT_SECRET", "<your-client-secret>", "User")

これらのコマンドを実行した後、開いているターミナルまたはアプリケーションを再起動して、新しい環境変数を取得します。

export AZURE_CLIENT_ID="<your-client-id>"
export AZURE_TENANT_ID="<your-tenant-id>"
export AZURE_CLIENT_SECRET="<your-client-secret>"

これらの環境変数をターミナルセッション間で永続的にするには、これらの行をシェルプロファイルファイル ( 、、など) に追加します。

アプリからAzure サービスに対する認証

azure-identity ライブラリには、さまざまなシナリオとMicrosoft Entra認証フローのサポートに適合したさまざまなcredentialsTokenCredentialの実装が用意されています。この手順では、ローカルおよび運用環境でサービスプリンシパルを操作するときに ClientSecretCredential を使用する方法を示します。

コードを実装する

まず、アプリケーションにパッケージを追加します。

pip install azure-identity

次に、アプリでAzure SDKクライアントオブジェクトを作成するPython コードについては、次の手順を実行する必要があります。

モジュールからクラスをインポートします。
モジュールをインポートして環境変数を読み取ります。
環境変数を読み取って、クライアント ID、テナント ID、およびクライアントシークレットを取得します。
テナント ID、クライアント ID、クライアントシークレットを渡すオブジェクトを作成します。
ClientSecretCredential オブジェクトを Azure SDK クライアントオブジェクトコンストラクターに渡します。

この方法の例を次のコードセグメントに示します。

import os
from azure.identity import ClientSecretCredential
from azure.storage.blob import BlobServiceClient

tenant_id = os.environ.get("AZURE_TENANT_ID")
client_id = os.environ.get("AZURE_CLIENT_ID")
client_secret = os.environ.get("AZURE_CLIENT_SECRET")

credential = ClientSecretCredential(tenant_id, client_id, client_secret)

blob_service_client = BlobServiceClient(
    account_url="https://<my_account_name>.blob.core.windows.net",
    credential=credential)

フィードバック

このページはお役に立ちましたか?

Last updated on 2026-03-06