Spring Cloud Azure MySQL のサポート

この記事の対象: ✔️ バージョン 4.14.0 ✔️ バージョン 5.8.0

Azure Database for MySQL は、MySQL コミュニティ エディションを利用したリレーショナル データベース サービスです。 単一サーバーまたはフレキシブル サーバーを使用して、Azure で MySQL データベースをホストすることができます。 これは、予測可能なパフォーマンスと動的なスケーラビリティを備えたミッション クリティカルなワークロードを処理できる、フル マネージドのサービスとしてのデータベース オファリングです。

バージョン4.5.0から、Spring Cloud Azure サポート Azure Database for MySQL フレキシブル サーバーへの認証のためのさまざまな種類の資格情報が含まれています。

サポートされている MySQL のバージョン

スターターの現在のバージョンでは、Azure Database for MySQL フレキシブル サーバーのバージョン 5.7 または 8.0.

コア機能

パスワードレス接続

パスワードレス接続では、アプリケーション、その構成ファイル、または環境変数に資格情報を格納せずに Azure サービスに接続するために Microsoft Entra 認証が使用されます。 Microsoft Entra 認証は、Microsoft Entra ID で定義された ID を使用して Azure Database for MySQL に接続するための仕組みです。 Microsoft Entra 認証を使用すると、データベース ユーザーの ID や他の Microsoft サービスを一元管理でき、アクセス許可の管理が容易になります。

しくみ

Spring Cloud Azure は、アプリケーション認証構成に基づき、最初に次のいずれかの種類の資格情報を構築します。

• ClientSecretCredential
• ClientCertificateCredential
• UsernamePasswordCredential
• ManagedIdentityCredential
• DefaultAzureCredential

これらの種類の資格情報が見つからない場合、 DefaultAzureCredential 資格情報はアプリケーションのプロパティ、環境変数、マネージド ID、または IDE から取得されます。 詳細については、「Spring Cloud Azure の認証」を参照してください。

次の大まかな図は、Azure Database for MySQL で OAuth 資格情報認証を使用した認証のしくみをまとめたものです。 矢印は通信経路を示します。

構成

Spring Cloud Azure for MySQL では、次の 2 つのレベルの構成オプションがサポートされています。

1. spring.cloud.azure というプレフィックスを持つ credential と profile のグローバル認証構成オプション。

2. Spring Cloud Azure for MySQL の一般的な構成オプション。

次の表に、Spring Cloud Azure for MySQL の一般的な構成オプションを示します。

依存関係のセットアップ

次の依存関係を自分のプロジェクトに追加します。 これにより、spring-boot-starter 依存関係がプロジェクトに推移的かつ自動的に組み込まれます。

<dependency>
    <groupId>com.azure.spring</groupId>
    <artifactId>spring-cloud-azure-starter-jdbc-mysql</artifactId>
</dependency>

基本的な使用方法

以降のセクションでは、従来の Spring Boot アプリケーションの使用シナリオを示します。

パスワードなしで Azure MySQL にローカルに接続する

1. ユーザーを作成してアクセス許可を付与するには、「Azure Database for MySQL で Spring Data JDBC を使用する」の「MySQL 非管理者ユーザーの作成とアクセス許可の付与」セクションを参照してください。

2. application.yml ファイルで次のプロパティを構成します。

   spring:
     datasource:
       url: jdbc:mysql://${AZURE_MYSQL_SERVER_NAME}.mysql.database.azure.com:3306/${AZURE_MYSQL_DATABASE_NAME}
       username: ${AZURE_MYSQL_AD_NON_ADMIN_USERNAME}
       azure:
         passwordless-enabled: true
   

サービス プリンシパルを使用して Azure MySQL に接続する

1. サービス プリンシパル用の Microsoft Entra ユーザーを作成し、アクセス許可を付与します。

   1. まず、次のコマンドを使用して、いくつかの環境変数を設定します。

      export AZURE_MYSQL_AZURE_AD_SP_USERID=$(az ad sp list \
          --display-name <service_principal-name> \
          --query '[0].appId' 
          --output tsv)
      export AZURE_MYSQL_AZURE_AD_SP_USERNAME=<YOUR_MYSQL_AZURE_AD_USERNAME>
      export AZURE_MYSQL_SERVER_NAME=<YOUR_MYSQL_SERVER_NAME>
      export AZURE_MYSQL_DATABASE_NAME=<YOUR_MYSQL_DATABASE_NAME>
      export CURRENT_USERNAME=$(az ad signed-in-user show \
          --query userPrincipalName \
          --output tsv)
      

   2. 次に、管理者以外のユーザーを作成するための create_ad_user_sp.sql という SQL スクリプトを作成します。 次の内容を追加し、ローカルに保存します。

      cat << EOF > create_ad_user_sp.sql
      SET aad_auth_validate_oids_in_tenant = OFF;
      CREATE AADUSER '$AZURE_MYSQL_AZURE_AD_SP_USERNAME' IDENTIFIED BY '$AZURE_MYSQL_AZURE_AD_SP_USERID';
      GRANT ALL PRIVILEGES ON $AZURE_MYSQL_DATABASE_NAME.* TO '$AZURE_MYSQL_AZURE_AD_SP_USERNAME'@'%';
      FLUSH privileges;
      EOF
      

   3. 次のコマンドを使用して SQL スクリプトを実行し、Microsoft Entra の管理者以外のユーザーを作成します。

      mysql -h $AZURE_MYSQL_SERVER_NAME.mysql.database.azure.com --user $CURRENT_USERNAME --enable-cleartext-plugin --password=$(az account get-access-token --resource-type oss-rdbms --output tsv --query accessToken) < create_ad_user_sp.sql
      

   4. ここで、次のコマンドを使用して、一時 SQL スクリプト ファイルを削除します。

      rm create_ad_user_sp.sql
      

2. application.yml ファイルで次のプロパティを構成します。

   spring:
     cloud:
       azure:
         credential:
           client-id: ${AZURE_CLIENT_ID}
           client-secret: ${AZURE_CLIENT_SECRET}
         profile:
           tenant-id: <tenant>
     datasource:
       url: jdbc:mysql://${AZURE_MYSQL_SERVER_NAME}.mysql.database.azure.com:3306/${AZURE_MYSQL_DATABASE_NAME}
       username: ${AZURE_MYSQL_AD_SP_USERNAME}
       azure:
         passwordless-enabled: true
   

Azure Spring Apps でマネージド ID を使用して Azure MySQL に接続する

1. マネージド ID を有効にするには、「アプリケーションを移行して Azure Database for MySQL とのパスワードレス接続を使用する」の「Azure portal を使用してマネージド ID を割り当てる」セクションを参照してください。

2. アクセス許可を付与するには、「アプリケーションを移行して Azure Database for MySQL とのパスワードレス接続を使用する」の「マネージド ID へのロールの割り当て」セクションを参照してください。

3. application.yml ファイルで次のプロパティを構成します。

   spring:
     datasource:
       url: jdbc:mysql://${AZURE_MYSQL_SERVER_NAME}.mysql.database.azure.com:3306/${AZURE_MYSQL_DATABASE_NAME}
       username: ${AZURE_MYSQL_AD_MI_USERNAME}
       azure:
         passwordless-enabled: true
   

サンプル

GitHub の「azure-spring-boot-samples」リポジトリを参照してください。