Microsoft Entra SDK for AgentID: 概要

Microsoft Entra SDK for AgentID は、トークンの取得、検証、および安全なダウンストリーム API 呼び出しを処理するコンテナー化された Web サービスです。 アプリケーションと共にコンパニオン コンテナーとして実行されるため、ID ロジックを専用サービスにオフロードできます。 Microsoft Entra SDK for AgentID で ID 操作を一元化することで、各サービスに複雑なトークン管理ロジックを埋め込む必要がなくなり、コードの重複や潜在的なセキュリティの脆弱性が軽減されます。

Kubernetes、Docker を使用したコンテナー化されたサービス、または Azure 上の最新のマイクロサービスを使用して構築する場合、Microsoft Entra SDK for AgentID は、クラウドネイティブ アプリケーションでの認証と承認を処理するための標準化された方法を提供します。

Microsoft Entra SDK for AgentID とは

Microsoft Entra SDK for AgentID は、認証と承認のために HTTP API を介してアプリケーションと通信し、テクノロジ スタックに関係なく一貫した統合パターンを提供します。 Microsoft Entra SDK for AgentID は、アプリケーション コードに ID ロジックを直接埋め込む代わりに、標準の HTTP 要求を介してトークンの管理、検証、および API 呼び出しを処理します。

このアプローチにより、一貫した認証パターンを維持しながら、Python、Node.js、Go、Java など、さまざまなサービスを記述できるポリグロット マイクロサービス アーキテクチャが可能になります。

一般的なアーキテクチャは次のとおりです。

クライアント アプリケーション → Web API → Microsoft Entra SDK for AgentID → Microsoft Entra ID

最新のコンテナー イメージとバージョン タグについては、使用を開始する コンテナー イメージ を参照してください。

セキュリティ

Microsoft Entra SDK for AgentID のデプロイが、セキュリティで保護された操作のベスト プラクティスに従っていることを確認します。 SDK は、許可されていないアクセスを防ぐために、ネットワーク アクセスが制限されたコンテナー化された環境で実行する必要があります。 SDK API をパブリックに公開すると、未承認のトークン取得などのセキュリティの脆弱性につながる可能性があります。

セキュリティ のベスト プラクティス を参照して、ネットワーク、資格情報、および実行時のセキュリティに関する推奨事項のベスト プラクティスを確認します。

クイック スタート

Microsoft Entra SDK for AgentID の使用を開始するには、次の手順を実行することをお勧めします。

1. デプロイを選択する - Kubernetes、Docker、または AKS を選択する
2. 設定の構成 - 環境変数を設定する
3. シナリオを選択する - ガイド付き例に従う
4. 運用環境へのデプロイ - セキュリティのベスト プラクティスを確認する

主な利点

このアーキテクチャでは、ID に関する懸念事項をビジネス ロジックから分離し、次の利点を提供します。

Microsoft Entra SDK for AgentID または Microsoft.Identity.Web を使用する場合

2 つの方法の選択に関する詳細なガイダンスについては、 Microsoft.Identity.Web との比較 を参照してください。

トークンの検証

Microsoft Entra SDK for AgentID は、Microsoft Entra ID によって発行されたアクセス トークンと ID トークンの両方を検証し、その署名を Microsoft Entra ID の公開キーに対して検証し、有効期限を確認し、トークンがアプリケーション向けであることを確認します。 検証が完了したら、ユーザーの要求、ロール、スコープを抽出して、アプリケーション ロジック内で十分な情報に基づいた承認の決定を行うことができます。

トークン取得/承認ヘッダーの作成

• オン・ビハーフ・オブ OAuth 2.0 フロー - ダウンストリーム API にユーザーコンテキストを委任する
• クライアント資格情報 - アプリケーション間認証
• マネージド ID - ネイティブ Azure サービス認証
• エージェント ID - 自律または委任されたエージェント パターン

ダウンストリーム API 呼び出し

• トークンを自動的に取得してアタッチする
• 省略可能な要求のオーバーライド (スコープ、メソッド、ヘッダー)
• 署名された HTTP 要求 (PoP/SHR) のサポート

シナリオとチュートリアル

次のガイドは、Microsoft Entra SDK for AgentID をアプリケーションに統合する方法を示す実用的なコード例を含む包括的なステップ バイ ステップ チュートリアルです。 各シナリオでは、さまざまなプログラミング言語とフレームワークに合わせて調整された完全な要求/応答の例、コード スニペット、実装パターンが提供されます。

アーキテクチャのパターン

クライアントが Web API を呼び出す一般的なフローである API は、HTTP エンドポイントを介して Microsoft Entra SDK for AgentID に ID 操作を委任します。 SDK は、 /Validate エンドポイントを使用して受信トークンを検証し、 /AuthorizationHeader と /AuthorizationHeaderUnauthenticatedを使用してトークンを取得し、 /DownstreamApi と /DownstreamApiUnauthenticatedを使用してダウンストリーム API を直接呼び出すことができます。

トークンの発行と Open ID Connect メタデータの取得のために Microsoft Entra ID とやり取りします。アーキテクチャは次のスニペットに示されています。

%%{init: {
  "theme": "base",
  "themeVariables": {
    "background": "#121212",
    "primaryColor": "#1E1E1E",
    "primaryBorderColor": "#FFFFFF",
    "primaryTextColor": "#FFFFFF",
    "textColor": "#FFFFFF",
    "lineColor": "#FFFFFF",
    "labelBackground": "#000000"
  }
}}%%
flowchart LR
    classDef dnode fill:#1E1E1E,stroke:#FFFFFF,stroke-width:2px,color:#FFFFFF
    linkStyle default stroke:#FFFFFF,stroke-width:2px,color:#FFFFFF

    client[Client Application]:::dnode -->| Bearer over HTTP | webapi[Web API]:::dnode
    subgraph Pod / Host
        webapi -->|"/Validate<br/>/AuthorizationHeader/{name}<br/>/DownstreamApi/{name}"| sidecar[Microsoft Entra SDK for AgentID]:::dnode
    end
    sidecar -->|Token validation & acquisition| entra[Microsoft Entra ID]:::dnode

サポートとリソース

次のリソースは、包括的なガイダンスを提供し、一般的な質問に対する問題と回答のトラブルシューティングに役立ちます。

その他のヘルプ:

• Microsoft-identity-Web リポジトリに関する問題を報告する
• Microsoft Entra ID のトラブルシューティング ガイドを確認する

その他のリソース

• Microsoft Entra ID のドキュメント
• Microsoft Identity Platform のドキュメント
• Microsoft Identity Web リポジトリ
• Kubernetes のドキュメント
• Docker のドキュメント