マネージド ID を使用して Azure SQL へのインデクサー接続を設定する

[アーティクル]
09/03/2024

この記事では、接続文字列で資格情報を指定する代わりに、マネージド ID を使用して Azure SQL Database へのインデクサー接続を設定する方法を説明します。

システム割り当てマネージド ID またはユーザー割り当てマネージド ID (プレビュー) を使用できます。マネージド ID は Microsoft Entra のログイン ID であり、Azure SQL のデータにアクセスするには Azure でのロールの割り当てが必要です。

前提条件

検索サービス用のマネージド ID を作成します。
SQL で Azure 管理者ロールを割り当てます。インデクサー接続で使用される ID には、読み取りアクセス許可が必要です。データベースに対する読み取りアクセス許可を付与するには、SQL Database または SQL Managed Instance のサーバーを持つ Microsoft Entra 管理者である必要があります。
インデクサーの概念と構成についてよく理解しておく必要があります。

1 - アクセス許可をデータベースの読み取りに割り当てる

次の手順に従って、検索サービスまたはユーザー割り当てマネージド ID のアクセス許可をデータベースの読み取りに割り当てます。

Visual Studio に接続する。
Microsoft Entra アカウントで認証します。

次のコマンドを実行します。

検索サービス名またはユーザー割り当てマネージド ID 名には角かっこを付けます。

CREATE USER [insert your search service name here or user-assigned managed identity name] FROM EXTERNAL PROVIDER;
EXEC sp_addrolemember 'db_datareader', [insert your search service name here or user-assigned managed identity name];

アクセス許可を割り当ててから、検索サービス ID またはユーザー割り当て ID を後で変更する場合は、SQL データベースでロールメンバーシップを削除し、ユーザーを削除してから、アクセス許可の割り当てをやり直す必要があります。ロールのメンバーシップとユーザーを削除するには、次のコマンドを実行します。

sp_droprolemember 'db_datareader', [insert your search service name or user-assigned managed identity name];

DROP USER IF EXISTS [insert your search service name or user-assigned managed identity name];

2 - ロールの割り当てを追加する

このセクションでは、SQL Server からデータを読み取るアクセス許可を Azure AI Search Serviceに付与します。詳細な手順については、「Azure portal を使用して Azure ロールを割り当てる」を参照してください。

Azure portal で、お使いの Azure SQL Server のページに移動します。
[アクセス制御 (IAM)] を選択します。
[追加] > [ロールの割り当ての追加] の順に選択します。
[ロール] タブで、適切な [閲覧者] ロールを選択します。
[メンバー] タブで、[マネージド ID] を選択し、[メンバーの選択] を選択します。
Azure サブスクリプションを選択します。
システム割り当てマネージド ID を使用している場合、[システム割り当てマネージド ID] を選択して、検索サービスを検索して選択します。
それ以外の場合、ユーザー割り当てマネージド ID を使用しているときは、[ユーザー割り当てマネージド ID] を選択して、ユーザー割り当てマネージド ID の名前を検索して選択します。
[確認と割り当て] タブで、 [確認と割り当て] を選択してロールを割り当てます。

3 - データソースを作成する

データソースを作成し、システム割り当てマネージド ID またはユーザー割り当てマネージド ID (プレビュー) のいずれかを指定します。

システム割り当てマネージド ID

REST API、Azure portal、および .NET SDK では、システム割り当てマネージド ID がサポートされています。

システム割り当てマネージド ID を使用して接続する場合は、データソース定義に対して、"credentials" プロパティの形式を変更するだけで済みます。 Initial Catalog または Database の名前と、アカウントキーまたはパスワードが設定されていない ResourceId を指定します。 ResourceId には、Azure SQL Database のサブスクリプション ID、SQL データベースのリソースグループ、および SQL データベースの名前を含める必要があります。

以下に、データソースの作成 REST API とマネージド ID 接続文字列を使用し、ストレージアカウントのデータにインデックスを付けるためにデータソースを作成する方法の例を示します。マネージド ID 接続文字列の形式は、REST API、.NET SDK、および Azure portal において同じです。

POST https://[service name].search.windows.net/datasources?api-version=2024-07-01
Content-Type: application/json
api-key: [admin key]

{
    "name" : "sql-datasource",
    "type" : "azuresql",
    "credentials" : { 
        "connectionString" : "Database=[SQL database name];ResourceId=/subscriptions/[subscription ID]/resourceGroups/[resource group name]/providers/Microsoft.Sql/servers/[SQL Server name];Connection Timeout=30;"
    },
    "container" : { 
        "name" : "my-table" 
    }
}

ユーザー割り当てマネージド ID (プレビュー)

2021-04-30-preview 以降のプレビュー REST API では、ユーザー割り当てマネージド ID に基づく接続がサポートされています。ユーザー割り当てマネージド ID を使用して接続する場合、データソースの定義に対する変更は次の 2 つとなります。

まず、"credentials" プロパティの形式を、Initial Catalog または Database の名前と、アカウントキーまたはパスワードが設定されていない ResourceId とします。 ResourceId には、Azure SQL Database のサブスクリプション ID、SQL データベースのリソースグループ、および SQL データベースの名前を含める必要があります。これは、システム割り当てマネージド ID と同じ形式です。
次に、ユーザー割り当てマネージド ID のコレクションを含む "identity" プロパティを追加します。データソースを作成するとき、ユーザー割り当てマネージド ID を 1 つだけ指定する必要があります。それを、"userAssignedIdentities" という型に設定します。

以下で示すのは、データソースの作成または更新に最新のプレビュー API バージョンを使ってインデクサーデータソースオブジェクトを作成する方法の例です。

POST https://[service name].search.windows.net/datasources?api-version=2024-05-01-preview
Content-Type: application/json
api-key: [admin key]

{
    "name" : "sql-datasource",
    "type" : "azuresql",
    "credentials" : { 
        "connectionString" : "Database=[SQL database name];ResourceId=/subscriptions/[subscription ID]/resourceGroups/[resource group name]/providers/Microsoft.Sql/servers/[SQL Server name];Connection Timeout=30;"
    },
    "container" : { 
        "name" : "my-table" 
    },
    "identity" : { 
        "@odata.type": "#Microsoft.Azure.Search.DataUserAssignedIdentity",
        "userAssignedIdentity" : "/subscriptions/[subscription ID]/resourcegroups/[resource group name]/providers/Microsoft.ManagedIdentity/userAssignedIdentities/[managed identity name]"
    }
}

4 - インデックスを作成する

インデックスでは、検索に使用する、ドキュメント内のフィールド、属性、およびその他の構成要素を指定します。

次に、検索可能な booktitle フィールドを使用して [インデックスの作成] REST API を呼び出す方法を示します。

POST https://[service name].search.windows.net/indexes?api-version=2024-07-01
Content-Type: application/json
api-key: [admin key]

{
    "name" : "my-target-index",
    "fields": [
        { "name": "id", "type": "Edm.String", "key": true, "searchable": false },
        { "name": "booktitle", "type": "Edm.String", "searchable": true, "filterable": false, "sortable": false, "facetable": false }
    ]
}

5 - インデクサーを作成する

インデクサーはデータソースをターゲットの検索インデックスに接続し、データ更新を自動化するスケジュールを提供します。インデックスとデータソースを作成したら、インデクサーを作成できます。インデクサーが成功した場合、接続構文とロールの割り当ては有効です。

次に、Azure SQL インデクサー定義を使用して [インデックスの作成] REST API を呼び出す方法を示します。要求を送信すると、インデクサーが実行されます。

POST https://[service name].search.windows.net/indexers?api-version=2024-07-01
Content-Type: application/json
api-key: [admin key]

{
    "name" : "sql-indexer",
    "dataSourceName" : "sql-datasource",
    "targetIndexName" : "my-target-index"
}

インデクサーからデータソースへの接続を試みたときに、クライアントではサーバーへのアクセスが許可されていないことを示すエラーを受信した場合は、一般的なインデクサーエラーに関する記事を参照してください。

次の方法で共有

マネージド ID を使用して Azure SQL へのインデクサー接続を設定する

前提条件

1 - アクセス許可をデータベースの読み取りに割り当てる

2 - ロールの割り当てを追加する

3 - データソースを作成する

システム割り当てマネージド ID

ユーザー割り当てマネージド ID (プレビュー)

4 - インデックスを作成する

5 - インデクサーを作成する

関連項目

フィードバック

その他のリソース

次の方法で共有

マネージド ID を使用して Azure SQL へのインデクサー接続を設定する

前提条件

1 - アクセス許可をデータベースの読み取りに割り当てる

2 - ロールの割り当てを追加する

3 - データ ソースを作成する

システム割り当てマネージド ID

ユーザー割り当てマネージド ID (プレビュー)

4 - インデックスを作成する

5 - インデクサーを作成する

関連項目

フィードバック

その他のリソース

3 - データソースを作成する