ユーザー割り当てマネージドIDを使って、AzureでホストされているPythonアプリをAzureリソースに対して認証する

1. Azure ポータルで、メインの検索バーに「Managed ids」と入力し、Services セクションで一致する結果を選択します。

2. [マネージド ID] ページで、 [+ 作成] を選択します。

   ユーザー割り当てマネージド ID を管理するページを示すスクリーンショット。

3. [ ユーザー割り当てマネージド ID の作成] ページで、ユーザー割り当てマネージド ID のサブスクリプション、リソース グループ、リージョンを選択し、名前を指定します。

4. [ 確認と作成 ] を選択して、入力を確認して検証します。

   ユーザー割り当てマネージド ID を作成するフォームを示すスクリーンショット。

5. [ 作成] を選択して、ユーザー割り当てマネージド ID を作成します。

6. ID が作成されたら、[ リソースに移動] を選択します。

7. 新しい ID の [概要 ] ページで、後でアプリケーション コードを構成するときに使用する クライアント ID の値をコピーします。

マネージド ID を作成するには、Azure CLI コマンド az identity create を使用します。

az identity create \
    --resource-group <resource-group-name> \
    --name <identity-name> \
    --query 'clientId' \
    --output json

コマンド出力は、作成されたユーザー割り当てマネージド ID のクライアント ID を出力します。 クライアント ID は、ID に依存するアプリケーション コードを構成するために使用されます。

コマンドを使用すると、いつでもマネージド ID プロパティを再度表示できます。

az identity show \
    --resource-group <your-resource-group> \
    --name <your-managed-identity-name> \
    --output json

1. Azure ポータルで、Azure App ServiceやAzure Container Apps インスタンスなど、アプリ コードをホストするリソースに移動します。

2. リソースの [概要] ページで、[設定] を展開し、ナビゲーションから [アイデンティティ] を選択します。

3. [ID] ページで、[ユーザー割り当て済み] タブに切り替えます。

4. [ + 追加] を選択して、[ ユーザー割り当てマネージド ID の追加] パネルを 開きます。

5. [ ユーザー割り当てマネージド ID の追加 ] パネルで、[ サブスクリプション ] ドロップダウンを使用して、ID の検索結果をフィルター処理します。 ユーザー割り当てマネージド ID 検索ボックスを使用して、アプリをホストするAzure リソースに対して有効にしたユーザー割り当てマネージド ID を見つけます。

6. ID を選択し、パネルの下部にある [追加 ] を選択して続行します。

   ユーザー割り当てマネージド ID をアプリに関連付ける方法を示すスクリーンショット。

Azure CLIには、ユーザー割り当てマネージド ID をさまざまな種類のホスティング サービスに割り当てるさまざまなコマンドが用意されています。

1. Azure CLIを使用してユーザー割り当てマネージド ID を Azure App Service Web アプリなどのリソースに割り当てるには、ID のリソース ID が必要です。 コマンドを使用して、リソース ID を取得します。

   az identity show \
       --resource-group <your-resource-group> \
       --name <your-managed-identity-name> \
       --output json \
       --query id
   

2. リソース ID を取得したら、Azure CLI コマンド az <resourceType> identity assign コマンドを使用して、ユーザー割り当てマネージド ID を次のようなさまざまなリソースに関連付けます。

   Azure App Serviceの場合は、Azure CLI コマンド az webapp identity assign を使用します。

   az webapp identity assign \
       --resource-group <resource-group-name> \
       --name <webapp-name> \
       --identities <user-assigned-identity-resource-id>
   

   Azure Container Appsの場合は、Azure CLI コマンド az containerapp identity assign を使用します。

   az containerapp identity assign \
       --resource-group <resource-group-name> \
       --name <containerapp-name> \
       --user-assigned <user-assigned-identity-resource-id>
   

   Azure 仮想マシンの場合は、Azure CLI コマンド az vm identity assign を使用します。

   az vm identity assign \
       --resource-group <resource-group-name> \
       --name <vm-name> \
       --identities <user-assigned-identity-resource-id>
   

1. ユーザー割り当てマネージド ID を持つアプリを含むリソース グループの [概要 ] ページに移動します。

2. 左側のナビゲーションでアクセス制御 (IAM) を選択します。

3. [アクセス制御 (IAM)] ページで、上部メニューの [+ の追加] を選択し、[ロールの割り当ての追加] 選択して、[ロールの割り当ての追加] ページに移動します。

   ID ロールの割り当てページにアクセスする方法を示すスクリーンショット。

4. ロールの割り当ての追加 ページには、ID にロールを割り当てるタブ付きのマルチステップ ワークフローが表示されます。 最初の [ロール] タブで、上部にある検索ボックスを使用して、ID に割り当てるロールを見つけます。

5. 検索結果からロールを選択し、[次へ] を選んで、メンバー タブに移動します。

6. [ へのアクセスの割り当て] オプションで、マネージド ID を選択します。

7. メンバー オプションで、+ メンバー選択 を選んで、マネージド ID の選択 パネルを開きます。

8. Select managed identities パネルで、サブスクリプション と マネージド ID ドロップダウンを利用して、ID の検索結果をフィルタリングします。 Select 検索ボックスを使用して、アプリをホストしているAzure リソースに対して有効にしたユーザー割り当てマネージド ID を見つけます。

   マネージド ID の割り当てプロセスを示すスクリーンショット。

9. ID を選択し、を選択した後、パネルの下部にある を選択して続行します。

10. ページの下部にある [確認] と [割り当て] を選択します。

11. 最終の レビュー+割り当て タブで、レビュー+割り当て を選択して、ワークフローを完了します。

1. Azure CLIを使用してユーザー割り当てマネージド ID にロールを割り当てるには、ID のプリンシパル ID が必要です。 コマンドを使用してプリンシパル ID を取得します。

   az identity show \
       --resource-group <your-resource-group> \
       --name <your-managed-identity-name> \
       --output json \
       --query principalId
   

2. az role definition list コマンドを使用して、マネージド ID に割り当てることができるロールを調べることができます。

   az role definition list \
       --query "sort_by([].{roleName:roleName, description:description}, &roleName)" \
       --output table
   

3. az role assignment create コマンドを使用して、マネージド ID にロールを割り当 てます。

   az role assignment create \
       --assignee <your-principal-id> \
       --role <role-name> \
       --scope <scope>
   

   たとえば、ID が 99999999-9999-9999-9999-999999999999 のマネージド ID に、msdocs-sdk-auth-example リソース グループ内のすべてのストレージ アカウントの Azure Storage blob コンテナーおよびデータへの読み取り、書き込み、削除アクセスを許可するには、次のコマンドを使用して、アプリケーション サービス プリンシパルを Storage Blob Data Contributor ロールに割り当てます。

   az role assignment create \
       --assignee 99999999-9999-9999-9999-999999999999 \
       --role "Storage Blob Data Contributor" \
       --scope "/subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/msdocs-sdk-auth-example"
   

Azure CLI を使用してリソースまたはサブスクリプション レベルでアクセス許可を付与する方法については、Azure ロールを割り当てる方法に関する記事を参照してください。

クライアント ID は、その ID を使用して認証する必要があるアプリケーションまたはサービスを構成するときに、マネージド ID を識別するために使用されます。

1. 次のコマンドを使用して、ユーザー割り当てマネージド ID に割り当てられたクライアント ID を取得します。

   az identity show \
       --resource-group <resource-group-name> \
       --name <identity-name> \
       --query 'clientId'
   

2. クライアント ID を使用して を構成します。

   from azure.identity import ManagedIdentityCredential
   from azure.storage.blob import BlobServiceClient
   
   credential = ManagedIdentityCredential(
       client_id="<client-id>"
   )
   
   blob_service_client = BlobServiceClient(
       account_url="https://<account-name>.blob.core.windows.net",
       credential=credential
   )
   

リソース ID は、次の構造を使用して、Azure サブスクリプション内のマネージド ID リソースを一意に識別します。

/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.ManagedIdentity/userAssignedIdentities/{identityName}

リソース ID は規則によって構築できます。これにより、環境内で多数のユーザー割り当てマネージド ID を操作する際に便利になります。

1. 次のコマンドを使用して、ユーザー割り当てマネージド ID のリソース ID を取得します。

   az identity show \
       --resource-group <resource-group-name> \
       --name <identity-name> \
       --query 'id'
   

2. リソース ID を使用して を構成します。

   from azure.identity import ManagedIdentityCredential
   from azure.storage.blob import BlobServiceClient
   
   credential = ManagedIdentityCredential(
       identity_config={"resource_id": "<resource-id>"}
   )
   
   blob_service_client = BlobServiceClient(
       account_url="https://<account-name>.blob.core.windows.net",
       credential=credential
   )
   

プリンシパル ID は、オブジェクト ID の別の名前です。

1. 次のコマンドを使用して、ユーザー割り当てマネージド ID のオブジェクト ID を取得します。

   az identity show \
       --resource-group <resource-group-name> \
       --name <identity-name> \
       --query 'principalId'
   

2. オブジェクト ID を使用して を構成します。

   from azure.identity import ManagedIdentityCredential
   from azure.storage.blob import BlobServiceClient
   
   credential = ManagedIdentityCredential(
       identity_config={"object_id": "<object-id>"}
   )
   
   blob_service_client = BlobServiceClient(
       account_url="https://<account-name>.blob.core.windows.net",
       credential=credential
   )