チュートリアル: マネージド ID を使用してシークレットなしで .NET App Service から SQL Database に接続する

1. Visual Studio for Windows は Microsoft Entra 認証と統合されています。 Visual Studio で開発とデバッグを有効にするには、メニューから [ファイル]>[アカウント設定] を選択し、[サインイン] または [追加] を選択して、Visual Studio で Microsoft Entra ユーザーを追加してください。

2. Azure サービス認証用に Microsoft Entra ユーザーを設定するには、メニューから [ツール]>[オプション] の順に選択した後、[Azure サービス認証]>[アカウントの選択] の順に選択してください。 追加した Microsoft Entra ユーザーを選択し、[OK] を選択してください。

1. Visual Studio for Mac は Microsoft Entra 認証と統合されて "いません"。 ただし、後で使用する Azure ID クライアント ライブラリでは、Azure CLI のトークンを使用できます。 Visual Studio での開発とデバッグを可能にするには、ご使用のローカル コンピューター上に Azure CLI をインストールします。

2. ご自分の Microsoft Entra ユーザーを使用して、次のコマンドで Azure CLI にサインインしてください。

   az login --allow-no-subscriptions
   

1. Visual Studio Code は、Azure 拡張機能を介して Microsoft Entra 認証と統合されています。 Visual Studio Code で Azure Tools 拡張機能をインストールします。

2. Visual Studio Code の アクティビティ バーで、Azure のロゴを選択します。

3. App Service エクスプローラーで、 [Azure にサインイン] を選択し、指示に従います。

1. 後で使用する Azure ID クライアント ライブラリでは、Azure CLI のトークンを使用できます。 コマンド ライン ベースの開発を有効にするには、ローカル コンピューターに Azure CLI をインストールします。

2. ご自分の Microsoft Entra ユーザーを使用して、次のコマンドで Azure にサインインしてください。

   az login --allow-no-subscriptions
   

1. 後で使用する Azure ID クライアント ライブラリは、Azure PowerShell のトークンが使用できます。 コマンド ライン ベースの開発を有効にするには、ローカル コンピューターに Azure PowerShellをインストールします。

2. ご自分の Microsoft Entra ユーザーを使用して、次のコマンドレットで Azure CLI にサインインしてください。

   Connect-AzAccount
   

1. Visual Studio で、パッケージ マネージャー コンソールを開き、次のように NuGet パッケージ Microsoft.Data.SqlClient を追加します。

   Install-Package Microsoft.Data.SqlClient -Version 5.1.0
   

2. ASP.NET Coreおよび SQL Databaseのチュートリアルでは、appsettings.jsonのMyDbConnection接続文字列はまだ使用されていません。 ローカル環境と Azure 環境は、接続シークレットをソース ファイルから除外するために、それぞれの環境変数から接続文字列を取得します。 しかし、現在は Active Directory 認証を使用して、これ以上のシークレットはありません。 appsettings.json で、MyDbConnection 接続文字列の値を次のように置き換えます。

   "Server=tcp:<server-name>.database.windows.net;Authentication=Active Directory Default; Database=<database-name>;"
   

   Note

   Active Directory の既定値認証の種類は、ローカル コンピューターと Azure アプリ サービスの両方で使用できます。 ドライバーは、さまざまな手段を使用して Microsoft Entra ID からトークンを取得しようとします。 アプリが展開されている場合、アプリのシステム割り当てマネージド ID からトークンを取得します。 接続文字列に User Id=<client-id-of-user-assigned-managed-identity>; を含める場合、ユーザー割り当てマネージド ID で認証することもできます。 アプリがローカルで実行されている場合は、Visual Studio、Visual Studio コード、および Azure CLI からトークンを取得しようとします。

   これが、SQL Database に接続するために必要な作業のすべてです。 Visual Studio でデバッグする場合、コードでは 「2. 開発環境のセットアップ」で構成した Microsoft Entra ユーザーが使用されます。 後で、App Service アプリのマネージド ID からの接続を許可するように SQL Database を設定します。 DefaultAzureCredential クラスは、トークンをメモリ内にキャッシュし、有効期限の直前に Microsoft Entra ID から取得します。 トークンを更新するためのカスタム コードは必要ありません。

3. Ctrl+F5 キーを押してアプリをもう一度実行します。 これで、お使いのブラウザー内で同じ CRUD アプリが Microsoft Entra 認証を使用して Azure SQL Database に直接接続します。 この設定により、Visual Studio からのデータベースの移行を実行できます。

1. Visual Studio で、パッケージ マネージャー コンソールを開き、次のように NuGet パッケージ Azure.Identity を追加し、Entity Framework を更新します。

   Install-Package Azure.Identity
   Update-Package EntityFramework
   

   Note

   マネージド ID のトークン キャッシュ機能は、Azure.Identity バージョン 1.8.0 以降で使用できます。 ネットワーク ポートの使用量を減らすには、Azure.Identity をこのバージョン以降に更新することを検討してください。

2. (Models/MyDbContext.cs 内の) DbContext オブジェクトで、次のコードを既定のコンストラクターに追加します。

   Azure.Identity.DefaultAzureCredential credential;
   var managedIdentityClientId = ConfigurationManager.AppSettings["ManagedIdentityClientId"];
   if(managedIdentityClientId != null ) {
       //User-assigned managed identity Client ID is passed in via ManagedIdentityClientId
       var defaultCredentialOptions = new DefaultAzureCredentialOptions { ManagedIdentityClientId = managedIdentityClientId };
       credential = new Azure.Identity.DefaultAzureCredential(defaultCredentialOptions);
   }
   else {
       //System-assigned managed identity or logged-in identity of Visual Studio, Visual Studio Code, Azure CLI or Azure PowerShell
       credential = new Azure.Identity.DefaultAzureCredential();
   }
   var conn = (System.Data.SqlClient.SqlConnection)Database.Connection;
   var token = credential.GetToken(new Azure.Core.TokenRequestContext(new[] { "https://database.windows.net/.default" }));
   conn.AccessToken = token.Token;
   

   このコードでは、Azure.Identity.DefaultAzureCredential を使用して SQL Database で使用できるトークンを Microsoft Entra ID から取得し、データベース接続に追加します。 DefaultAzureCredential はカスタマイズ可能ですが、既に既定で汎用性が高くなっています。 App Service で実行すると、アプリのシステム割り当てマネージド ID が既定で使用されます。 ユーザー割り当てマネージド ID を使用する場合、ManagedIdentityClientId という名前の新しいアプリ設定を追加し、ユーザー割り当てマネージド ID からの Client Id GUID を value フィールドに入力します。 ローカルで実行すると、Visual Studio、Visual Studio Code、Azure CLI、および Azure PowerShell のログイン ID を使用してトークンを取得できます。

3. Web.configで、MyDbConnectionと呼ばれる接続文字列を検索し、そのconnectionString値を"server=tcp:<server-name>.database.windows.net;database=<db-name>;"に置き換えます。 <server-name> と <db-name> を実際のサーバー名とデータベース名に置き換えます。 この接続文字列は、 Models/MyDbContext.cs の既定のコンストラクターによって使用されます。

   これが、SQL Database に接続するために必要な作業のすべてです。 Visual Studio でデバッグする場合、コードでは 「2. 開発環境のセットアップ」で構成した Microsoft Entra ユーザーが使用されます。 後で、App Service アプリのマネージド ID からの接続を許可するように SQL Database を設定します。

4. Ctrl+F5 キーを押してアプリをもう一度実行します。 これで、お使いのブラウザー内で同じ CRUD アプリが Microsoft Entra 認証を使用して Azure SQL Database に直接接続します。 この設定により、Visual Studio からのデータベースの移行を実行できます。

1. 「チュートリアル: SQL Database を使用して Azure に ASP.NET アプリを作成する」からこのチュートリアルに進んできた場合は、Visual Studio での変更を発行します。 ソリューション エクスプローラーで DotNetAppSqlDb プロジェクトを右クリックし、 [発行] を選択します。

   

2. 発行ページで [発行] をクリックします。

   重要

   App Service 名が既存のアプリの登録と一致していないことを確認してください。 これにより、プリンシパル ID の競合が発生します。

「チュートリアル: Azure App Service での ASP.NET Core および SQL Database アプリの作成」からこのチュートリアルに進んできた場合は、以下のコマンドで、Git を使用して変更を発行します。

git commit -am "configure managed identity"
git push azure main