オンプレミスでホストされている .NET アプリから Azure リソースに対して認証する

[アーティクル]
08/24/2023

Azure の外部 (オンプレミスやサードパーティのデータセンターなど) でホストされているアプリは、Azure リソースにアクセスするときに、アプリケーションサービスプリンシパルを使用して Azure に対する認証を行う必要があります。アプリケーションサービスプリンシパルオブジェクトは、Azure のアプリ登録プロセスを使用して作成されます。アプリケーションサービスプリンシパルが作成されると、アプリのクライアント ID とクライアントシークレットが生成されます。クライアント ID、クライアントシークレット、テナント ID は環境変数に格納されるため、実行時にアプリを Azure に対して認証するために Azure SDK for .NET で使用できます。

アプリがホストされている環境ごとに異なるアプリ登録を作成する必要があります。これにより、サービスプリンシパルごとに環境固有のリソースアクセス許可を構成し、ある環境にデプロイされたアプリが、別の環境の一部である Azure リソースと通信しないようにすることができます。

1 - Azure にアプリケーションを登録する

アプリは、Azure portal または Azure CLI を使用して Azure に登録できます。

Azure Portal
Azure CLI

Azure portal にサインインして、次の手順を実行します。

手順	Screenshot
Azure portal で、次の操作を行います。 Azure portal の上部にある検索バーに「アプリの登録」と入力します。検索バーの下に表示されるメニューの [サービス] 見出しの下にある [アプリの登録] と書かれた項目を選択します。
[アプリの登録] ページで、[+ 新規登録] を選択します。
[アプリケーションの登録] ページで、次のようにフォームに入力します。名前 → Azure でのアプリ登録の名前を入力します。この名前には、アプリの登録の対象となるアプリ名と環境 (テスト、運用) を含めることをお勧めします。サポートされているアカウントの種類 → この組織のディレクトリ内のアカウントのみ。 [登録] を選択してアプリを登録し、アプリケーションサービスプリンシパルを作成します。
お使いのアプリの [アプリの登録] ページで、次の操作を行います。アプリケーション (クライアント) ID → ローカル開発時にアプリが Azure にアクセスするために使用するアプリ ID です。この値は、後の手順で必要になるので、テキストエディターで一時的な場所にコピーします。ディレクトリ (テナント) ID → この値は、Azure に対して認証するときにもアプリで必要になります。この値も後の手順で必要になるので、テキストエディターで一時的な場所にコピーします。クライアント資格情報 → アプリが Azure に対して認証して Azure サービスを使用する前に、アプリのクライアント資格情報を設定する必要があります。 [証明書またはシークレットの追加] を選択して、アプリの資格情報を追加します。
[証明書とシークレット] ページで、[+ 新しいクライアントシークレット] を選びます。
[クライアントシークレットの追加] ダイアログがページの右側から表示されます。このダイアログで、次の操作を行います。説明 → 現在の値を入力します。有効期限 → "24 か月"の値を選択します。 [追加] を選択してシークレットを追加します。重要: シークレットの有効期限の前に予定表にアラームを設定します。これにより、事前に新しいシークレットを追加し、このシークレットの有効期限が切れる前にアプリを更新して、アプリのサービスが中断しないようにできます。
[証明書とシークレット] ページにクライアントシークレットの値が表示されます。この値は、後の手順で必要になるので、テキストエディターで一時的な場所にコピーします。重要: この値が表示されるのは今回だけです。このページを終了または更新すると、この値を再度表示できなくなります。このクライアントシークレットを無効にすることなく、さらにクライアントシークレットを追加できますが、この値は再度表示されません。

az ad sp create-for-rbac --name <app-name>

このコマンドの出力は次のように表示されます。次の手順でこれらの値が必要になりますが、パスワード (クライアントシークレット) の値をもう一度表示できなくなるため、これらの値をメモするか、このウィンドウを開いたままにします。

{
  "appId": "00000000-1111-2222-3333-444444444444",
  "displayName": "msdocs-dotnet-sdk-auth-prod",
  "password": "abcdefghijklmnopqrstuvwxyz",
  "tenant": "00000000-0000-0000-0000-000000000000"
}

2 - アプリケーションサービスプリンシパルにロールを割り当てる

次に、アプリがどのリソースでどのロール (アクセス許可) を必要としているかを決定し、それらのロールをアプリに割り当てる必要があります。ロールは、リソース、リソースグループ、またはサブスクリプションスコープで割り当てることができます。ほとんどのアプリケーションではすべての Azure リソースを 1 つのリソースグループにグループ化するため、この例では、リソースグループのスコープでサービスプリンシパルのロールを割り当てる方法を示します。

Azure Portal
Azure CLI

手順	Screenshot
Azure portal の上部にある検索ボックスを使用してリソースグループ名を検索し、アプリケーションのリソースグループを見つけます。ダイアログボックスの [リソースグループ] 見出しの下にあるリソースグループ名を選択して、リソースグループに移動します。
リソースグループのページで、左側のメニューから [アクセス制御 (IAM)] を選択します。
[アクセス制御 (IAM)] ページで、次の操作を行います。 [ロールの割り当て] タブを選択します。上部のメニューから [+ 追加] を選択し、次に結果のドロップダウンメニューから [ロールの割り当ての追加] を選択します。
[ロールの割り当ての追加] ページには、リソースグループで割り当てることができるすべてのロールが一覧表示されます。検索ボックスを使用して、より管理しやすいサイズにリストをフィルター処理します。この例では、Storage BLOB ロールをフィルター処理する方法を示します。割り当てるロールを選択します。 [次へ] を選択して、次の画面に進みます。
次の [ロールの割り当ての追加] ページでは、ロールを割り当てるユーザーを指定できます。 [アクセスの割り当て先] で、[ユーザー、グループ、またはサービスプリンシパル] を選択します。 [メンバー] で [+ メンバーの選択] を選択する Azure portal の右側にダイアログボックスが開きます。
[メンバーの選択] ダイアログで、次の操作を行います。 [選択] テキストボックスを使用して、サブスクリプション内のユーザーとグループの一覧をフィルター処理できます。必要に応じて、アプリ用に作成したサービスプリンシパルの最初の数文字を入力して、一覧をフィルター処理します。アプリケーションに関連付けられているサービスプリンシパルを選択します。ダイアログの下部にある [選択] を選択して続行します。
[ロールの割り当ての追加] 画面で、サービスプリンシパルが選択済みとして表示されるようになりました。 [レビューと割り当て] を選択して最終ページに移動し、もう一度レビューと割り当てを行ってプロセスを完了します。

サービスプリンシパルには、az role assignment create コマンドを使用して、Azure でロールが割り当てられます。

az role assignment create --assignee "{appId}" \
    --role "{roleName}" \
    --resource-group "{resourceGroupName}"

サービスプリンシパルを割り当てることができるロール名を取得するには、az role definition list コマンドを使用します。

az role definition list \
    --query "sort_by([].{roleName:roleName, description:description}, &roleName)" \
    --output table

たとえば、msdocs-dotnet-sdk-auth-example リソースグループ内のすべてのストレージアカウントに対する Azure Storage の BLOB コンテナーおよびデータの読み取り、書き込み、削除アクセスを、appId が 00000000-0000-0000-0000-000000000000 のサービスプリンシパルに許可するには、次のコマンドを使用して、アプリケーションサービスプリンシパルを "Storage BLOB データ共同作成者" ロールに割り当てます。

az role assignment create --assignee "00000000-0000-0000-0000-000000000000" \
    --role "Storage Blob Data Contributor" \
    --resource-group "msdocs-dotnet-sdk-auth-example"

Azure CLI を使用してリソースまたはサブスクリプションレベルでアクセス許可を割り当てる方法については、「Azure CLI を使用して Azure ロールを割り当てる」を参照してください。

3 - アプリケーションの環境変数を構成する

DefaultAzureCredential オブジェクトでは、実行時に一連の環境変数でサービスプリンシパルの資格情報が検索されます。 .NET を使用する場合、ツールと環境に応じて、複数の方法で環境変数を構成できます。

どの方法を選択するかに関わらず、サービスプリンシパルを使用する場合は次の環境変数を構成する必要があります。

AZURE_CLIENT_ID → アプリ ID の値です。
AZURE_TENANT_ID → テナント ID の値です。
AZURE_CLIENT_SECRET →アプリ用に生成されたパスワード/資格情報。

IIS
Windows

アプリが IIS でホストされている場合は、アプリプールごとに環境変数を設定し、アプリケーション間で設定を分離することをお勧めします。

appcmd.exe set config -section:system.applicationHost/applicationPools /+"[name='Contoso'].environmentVariables.[name='ASPNETCORE_ENVIRONMENT',value='Production']" /commit:apphost
appcmd.exe set config -section:system.applicationHost/applicationPools /+"[name='Contoso'].environmentVariables.[name='AZURE_CLIENT_ID',value='00000000-0000-0000-0000-000000000000']" /commit:apphost
appcmd.exe set config -section:system.applicationHost/applicationPools /+"[name='Contoso'].environmentVariables.[name='AZURE_TENANT_ID',value='11111111-1111-1111-1111-111111111111']" /commit:apphost
appcmd.exe set config -section:system.applicationHost/applicationPools /+"[name='Contoso'].environmentVariables.[name='AZURE_CLIENT_SECRET',value='=abcdefghijklmnopqrstuvwxyz']" /commit:apphost

これらの設定は、applicationHost.config ファイル内の applicationPools 要素を使って直接構成することもできます。

<applicationPools>
   <add name="CorePool" managedRuntimeVersion="v4.0" managedPipelineMode="Classic">
      <environmentVariables>
         <add name="ASPNETCORE_ENVIRONMENT" value="Development" />
         <add name="AZURE_CLIENT_ID" value="00000000-0000-0000-0000-000000000000" />
         <add name="AZURE_TENANT_ID" value="11111111-1111-1111-1111-111111111111" />
         <add name="AZURE_CLIENT_SECRET" value="=abcdefghijklmnopqrstuvwxyz" />
      </environmentVariables>
   </add>
</applicationPools>

Windows の環境変数は、コマンドラインから設定できます。ただし、この方法を使うと、そのオペレーティングシステム上で実行されているすべてのアプリケーションから値にアクセスできるため、注意しないと競合が発生するおそれがあります。環境変数は、ユーザーレベル、システムレベルのいずれかで設定できます。

# Set user environment variables
setx ASPNETCORE_ENVIRONMENT "Development"
setx AZURE_CLIENT_ID "00000000-0000-0000-0000-000000000000"
setx AZURE_TENANT_ID "11111111-1111-1111-1111-111111111111"
setx AZURE_CLIENT_SECRET "=abcdefghijklmnopqrstuvwxyz"

# Set system environment variables - requires running as admin
setx ASPNETCORE_ENVIRONMENT "Development"
setx AZURE_CLIENT_ID "00000000-0000-0000-0000-000000000000" /m
setx AZURE_TENANT_ID "11111111-1111-1111-1111-111111111111" /m
setx AZURE_CLIENT_SECRET "=abcdefghijklmnopqrstuvwxyz" /m

また、PowerShell を使って、ユーザーレベルまたはコンピューターレベルで環境変数を設定することもできます。

# Set user environment variables
[Environment]::SetEnvironmentVariable("ASPNETCORE_ENVIRONMENT", "Development", "User")
[Environment]::SetEnvironmentVariable("AZURE_CLIENT_ID", "00000000-0000-0000-0000-000000000000", "User")
[Environment]::SetEnvironmentVariable("AZURE_TENANT_ID", "11111111-1111-1111-1111-111111111111", "User")
[Environment]::SetEnvironmentVariable("AZURE_CLIENT_SECRET", "=abcdefghijklmnopqrstuvwxyz", "User")

# Set system environment variables - requires running as admin
[Environment]::SetEnvironmentVariable("ASPNETCORE_ENVIRONMENT", "Development", "Machine")
[Environment]::SetEnvironmentVariable("AZURE_CLIENT_ID", "00000000-0000-0000-0000-000000000000", "Machine")
[Environment]::SetEnvironmentVariable("AZURE_TENANT_ID", "11111111-1111-1111-1111-111111111111", "Machine")
[Environment]::SetEnvironmentVariable("AZURE_CLIENT_SECRET", "=abcdefghijklmnopqrstuvwxyz", "Machine")

4 - アプリケーションに DefaultAzureCredential を実装する

DefaultAzureCredential では複数の認証方法がサポートされており、実行時に使用される認証方法が決定されます。このようにして、アプリでは環境固有のコードを実装することなく、さまざまな環境でさまざまな認証方法を使用できます。

DefaultAzureCredential によって資格情報が検索される順序と場所は、DefaultAzureCredential にあります。

DefaultAzureCredential を実装するには、最初に Azure.Identity と、必要に応じて Microsoft.Extensions.Azure パッケージをアプリケーションに追加します。これを実行するには、コマンドラインまたは NuGet パッケージマネージャーを使います。

コマンドライン
NuGet パッケージマネージャー

アプリケーションプロジェクトディレクトリで任意のターミナル環境を開き、次のコマンドを入力します。

dotnet add package Azure.Identity
dotnet add package Microsoft.Extensions.Azure

通常、Azure サービスには、SDK からの対応するクライアントクラスを使ってアクセスします。これらのクラスと独自のカスタムサービスは、アプリ全体で依存関係の挿入を介してアクセスできるように、Program.cs ファイルに登録する必要があります。 Program.cs 内で、次の手順に従ってサービスと DefaultAzureCredential を正しくセットアップします。

using ディレクティブを使用して、Azure.Identity および Microsoft.Extensions.Azure 名前空間を含めます。
関連するヘルパーメソッドを使って Azure サービスを登録します。
DefaultAzureCredential オブジェクトのインスタンスを UseCredential メソッドに渡します。

この例を次のコードセグメントに示します。

using Microsoft.Extensions.Azure;
using Azure.Identity;

// Inside of Program.cs
builder.Services.AddAzureClients(x =>
{
    x.AddBlobServiceClient(new Uri("https://<account-name>.blob.core.windows.net"));
    x.UseCredential(new DefaultAzureCredential());
});

または、次に示すように、追加の Azure 登録メソッドを使わず、サービスでより直接的に DefaultAzureCredential を利用することもできます。

using Azure.Identity;

// Inside of Program.cs
builder.Services.AddSingleton<BlobServiceClient>(x =>
    new BlobServiceClient(
        new Uri("https://<account-name>.blob.core.windows.net"),
        new DefaultAzureCredential()));

上記のコードがローカル開発中にローカルワークステーションで実行されると、アプリケーションサービスプリンシパルの環境変数、または Visual Studio、VS Code、Azure CLI、または Azure PowerShell では一連の開発者資格情報が検索されます。いずれも、ローカル開発中に Azure リソースに対してアプリを認証するために使用できます。

Azure にデプロイすると、この同じコードでアプリを他の Azure リソースに対して認証することもできます。 DefaultAzureCredential では、環境設定とマネージド ID 構成を取得し、他のサービスに対して自動的に認証することができます。

次の方法で共有

オンプレミスでホストされている .NET アプリから Azure リソースに対して認証する

1 - Azure にアプリケーションを登録する

2 - アプリケーションサービスプリンシパルにロールを割り当てる

3 - アプリケーションの環境変数を構成する

4 - アプリケーションに DefaultAzureCredential を実装する

フィードバック

その他のリソース

次の方法で共有

オンプレミスでホストされている .NET アプリから Azure リソースに対して認証する

1 - Azure にアプリケーションを登録する

2 - アプリケーション サービス プリンシパルにロールを割り当てる

3 - アプリケーションの環境変数を構成する

4 - アプリケーションに DefaultAzureCredential を実装する

フィードバック

その他のリソース

2 - アプリケーションサービスプリンシパルにロールを割り当てる