オンプレミスでホストされている .NET アプリから Azure リソースに対して認証する

[アーティクル]
08/02/2024

Azure の外部 (オンプレミスやサードパーティのデータセンターなど) でホストされているアプリは、Azure リソースにアクセスするときに、アプリケーションサービスプリンシパルを使用して Azure に対する認証を行う必要があります。アプリケーションサービスプリンシパルオブジェクトは、Azure のアプリ登録プロセスを使用して作成されます。アプリケーションサービスプリンシパルが作成されると、アプリのクライアント ID とクライアントシークレットが生成されます。その後、クライアント ID、クライアントシークレット、テナント ID が環境変数に格納され、実行時にアプリを Azure に対して認証するために Azure Identity ライブラリで使用できるようになります。

アプリがホストされている環境ごとに異なるアプリ登録を作成する必要があります。これにより、各サービスプリンシパルに対して環境固有のリソースアクセス許可が構成され、ある環境にデプロイされたアプリが、別の環境の一部である Azure リソースと通信しないようにすることができます。

1 - Azure にアプリケーションを登録する

アプリは、Azure portal または Azure CLI を使用して Azure に登録できます。

Azure Portal
Azure CLI

Azure portal にサインインして、次の手順を実行します。

手順	Screenshot
Azure portal で、次の操作を行います。 Azure portal の上部にある検索バーに「アプリの登録」と入力します。検索バーの下に表示されるメニューの [サービス] 見出しの下にある [アプリの登録] と書かれた項目を選択します。
[アプリの登録] ページで、[+ 新規登録] を選択します。
[アプリケーションの登録] ページで、次のようにフォームに入力します。名前 → Azure でのアプリ登録の名前を入力します。この名前には、アプリ登録の対象となるアプリ名と環境 (test、prod) を含めることをお勧めします。サポートされているアカウントの種類 → この組織のディレクトリ内のアカウントのみ。 [登録] を選択してアプリを登録し、アプリケーションサービスプリンシパルを作成します。
お使いのアプリの [アプリの登録] ページで、次の操作を行います。アプリケーション (クライアント) ID → ローカル開発時にアプリが Azure にアクセスするために使用するアプリ ID です。この値は、後の手順で必要になるので、テキストエディターで一時的な場所にコピーします。ディレクトリ (テナント) ID → この値は、Azure に対して認証するときにもアプリで必要になります。この値も後の手順で必要になるので、テキストエディターで一時的な場所にコピーします。クライアント資格情報 → アプリが Azure に対して認証して Azure サービスを使用する前に、アプリのクライアント資格情報を設定する必要があります。 [証明書またはシークレットの追加] を選択して、アプリの資格情報を追加します。
[証明書とシークレット] ページで、[+ 新しいクライアントシークレット] を選びます。
[クライアントシークレットの追加] ダイアログがページの右側から表示されます。このダイアログで、次の操作を行います。説明 → 現在の値を入力します。有効期限 → "24 か月"の値を選択します。 [追加] を選択してシークレットを追加します。重要: シークレットの有効期限の前に予定表にアラームを設定します。これにより、事前に新しいシークレットを追加し、このシークレットの有効期限が切れる前にアプリを更新して、アプリのサービスが中断しないようにできます。
[証明書とシークレット] ページにクライアントシークレットの値が表示されます。この値は、後の手順で必要になるので、テキストエディターの一時的な場所にコピーします。重要: この値が表示されるのはこのタイミングだけです。このページを終了または更新すると、この値を再度表示できなくなります。このクライアントシークレットを無効にせずにクライアントシークレットを追加することもできますが、この値は再び表示されることはありません。

az ad sp create-for-rbac --name <app-name>

このコマンドの出力は次のように表示されます。次の手順でこれらの値が必要になりますが、パスワード (クライアントシークレット) の値をもう一度表示できなくなるため、これらの値をメモするか、このウィンドウを開いたままにします。

{
  "appId": "00000000-1111-2222-3333-444444444444",
  "displayName": "msdocs-dotnet-sdk-auth-prod",
  "password": "abcdefghijklmnopqrstuvwxyz",
  "tenant": "00000000-0000-0000-0000-000000000000"
}

2 - アプリケーションサービスプリンシパルにロールを割り当てる

次に、アプリがどのリソースでどのロール (アクセス許可) を必要としているかを決定し、それらのロールをアプリに割り当てる必要があります。ロールは、リソース、リソースグループ、またはサブスクリプションスコープで割り当てることができます。ほとんどのアプリは、すべての Azure リソースを 1 つのリソースグループにグループ化するため、この例では、リソースグループスコープでサービスプリンシパルのロールを割り当てる方法を示しています。

Azure Portal
Azure CLI

手順	Screenshot
Azure portal の上部にある検索ボックスを使用してリソースグループ名を検索し、アプリのリソースグループを見つけます。ダイアログボックスの [リソースグループ] 見出しの下にあるリソースグループ名を選択して、リソースグループに移動します。
リソースグループのページで、左側のメニューから [アクセス制御 (IAM)] を選択します。
[アクセス制御 (IAM)] ページで、次の操作を行います。 [ロールの割り当て] タブを選択します。上部のメニューから [+ 追加] を選択し、次に結果のドロップダウンメニューから [ロールの割り当ての追加] を選択します。
[ロールの割り当ての追加] ページには、リソースグループで割り当てることができるすべてのロールが一覧表示されます。検索ボックスを使用して、より管理しやすいサイズにリストをフィルター処理します。この例では、Storage BLOB ロールをフィルター処理する方法を示します。割り当てるロールを選択します。 [次へ] を選択して、次の画面に進みます。
次の [ロールの割り当ての追加] ページでは、ロールを割り当てるユーザーを指定できます。 [アクセスの割り当て先] で、[ユーザー、グループ、またはサービスプリンシパル] を選択します。 [メンバー] で [+ メンバーの選択] を選択します。 Azure portal の右側にダイアログボックスが開きます。
[メンバーの選択] ダイアログで、次の操作を行います。 [選択] テキストボックスを使用して、サブスクリプション内のユーザーとグループの一覧をフィルター処理できます。必要に応じて、アプリ用に作成したサービスプリンシパルの最初の数文字を入力して、一覧をフィルター処理します。アプリケーションに関連付けられているサービスプリンシパルを選択します。ダイアログの下部にある [選択] を選択して続行します。
[ロールの割り当ての追加] 画面で、サービスプリンシパルが選択済みとして表示されるようになりました。 [レビューと割り当て] を選択して最終ページに移動し、もう一度レビューと割り当てを行ってプロセスを完了します。

サービスプリンシパルには、az role assignment create コマンドを使用して、Azure でロールが割り当てられます。

az role assignment create --assignee "{appId}" \
    --role "{roleName}" \
    --resource-group "{resourceGroupName}"

サービスプリンシパルを割り当てることができるロール名を取得するには、az role definition list コマンドを使用します。

az role definition list \
    --query "sort_by([].{roleName:roleName, description:description}, &roleName)" \
    --output table

たとえば、msdocs-dotnet-sdk-auth-example リソースグループ内のすべてのストレージアカウントに対する Azure Storage の BLOB コンテナーおよびデータの読み取り、書き込み、削除アクセスを、appId が 00000000-0000-0000-0000-000000000000 のサービスプリンシパルに許可するには、次のコマンドを使用して、アプリケーションサービスプリンシパルを "Storage BLOB データ共同作成者" ロールに割り当てます。

az role assignment create --assignee "00000000-0000-0000-0000-000000000000" \
    --role "Storage Blob Data Contributor" \
    --resource-group "msdocs-dotnet-sdk-auth-example"

Azure CLI を使用してリソースまたはサブスクリプションレベルでアクセス許可を割り当てる方法については、「Azure CLI を使用して Azure ロールを割り当てる」を参照してください。

3 - アプリケーションの環境変数を構成する

DefaultAzureCredential オブジェクトでは、実行時に一連の環境変数でサービスプリンシパルの資格情報が検索されます。 .NET を使用する場合、ツールと環境に応じて、複数の方法で環境変数を構成できます。

どの方法を選ぶかに関わらず、サービスプリンシパルを使う場合は、次の環境変数を構成します。

AZURE_CLIENT_ID → アプリ ID の値です。
AZURE_TENANT_ID → テナント ID の値です。
AZURE_CLIENT_SECRET →アプリ用に生成されたパスワード/資格情報。

IIS
Windows

アプリが IIS でホストされている場合は、アプリプールごとに環境変数を設定し、アプリ間で設定を分離することをお勧めします。

appcmd.exe set config -section:system.applicationHost/applicationPools /+"[name='Contoso'].environmentVariables.[name='ASPNETCORE_ENVIRONMENT',value='Production']" /commit:apphost
appcmd.exe set config -section:system.applicationHost/applicationPools /+"[name='Contoso'].environmentVariables.[name='AZURE_CLIENT_ID',value='00000000-0000-0000-0000-000000000000']" /commit:apphost
appcmd.exe set config -section:system.applicationHost/applicationPools /+"[name='Contoso'].environmentVariables.[name='AZURE_TENANT_ID',value='11111111-1111-1111-1111-111111111111']" /commit:apphost
appcmd.exe set config -section:system.applicationHost/applicationPools /+"[name='Contoso'].environmentVariables.[name='AZURE_CLIENT_SECRET',value='=abcdefghijklmnopqrstuvwxyz']" /commit:apphost

これらの設定は、applicationHost.config ファイル内の applicationPools 要素を使って直接構成することもできます。

<applicationPools>
   <add name="CorePool" managedRuntimeVersion="v4.0" managedPipelineMode="Classic">
      <environmentVariables>
         <add name="ASPNETCORE_ENVIRONMENT" value="Development" />
         <add name="AZURE_CLIENT_ID" value="00000000-0000-0000-0000-000000000000" />
         <add name="AZURE_TENANT_ID" value="11111111-1111-1111-1111-111111111111" />
         <add name="AZURE_CLIENT_SECRET" value="=abcdefghijklmnopqrstuvwxyz" />
      </environmentVariables>
   </add>
</applicationPools>

Windows の環境変数は、コマンドラインから設定できます。ただし、この方法を使うと、そのオペレーティングシステム上で実行されているすべてのアプリから値にアクセスできるため、競合が発生しないように注意する必要があります。環境変数は、ユーザーレベル、システムレベルのいずれかで設定できます。

# Set user environment variables
setx ASPNETCORE_ENVIRONMENT "Development"
setx AZURE_CLIENT_ID "00000000-0000-0000-0000-000000000000"
setx AZURE_TENANT_ID "11111111-1111-1111-1111-111111111111"
setx AZURE_CLIENT_SECRET "=abcdefghijklmnopqrstuvwxyz"

# Set system environment variables - requires running as admin
setx ASPNETCORE_ENVIRONMENT "Development"
setx AZURE_CLIENT_ID "00000000-0000-0000-0000-000000000000" /m
setx AZURE_TENANT_ID "11111111-1111-1111-1111-111111111111" /m
setx AZURE_CLIENT_SECRET "=abcdefghijklmnopqrstuvwxyz" /m

また、PowerShell を使って、ユーザーレベルまたはコンピューターレベルで環境変数を設定することもできます。

# Set user environment variables
[Environment]::SetEnvironmentVariable("ASPNETCORE_ENVIRONMENT", "Development", "User")
[Environment]::SetEnvironmentVariable("AZURE_CLIENT_ID", "00000000-0000-0000-0000-000000000000", "User")
[Environment]::SetEnvironmentVariable("AZURE_TENANT_ID", "11111111-1111-1111-1111-111111111111", "User")
[Environment]::SetEnvironmentVariable("AZURE_CLIENT_SECRET", "=abcdefghijklmnopqrstuvwxyz", "User")

# Set system environment variables - requires running as admin
[Environment]::SetEnvironmentVariable("ASPNETCORE_ENVIRONMENT", "Development", "Machine")
[Environment]::SetEnvironmentVariable("AZURE_CLIENT_ID", "00000000-0000-0000-0000-000000000000", "Machine")
[Environment]::SetEnvironmentVariable("AZURE_TENANT_ID", "11111111-1111-1111-1111-111111111111", "Machine")
[Environment]::SetEnvironmentVariable("AZURE_CLIENT_SECRET", "=abcdefghijklmnopqrstuvwxyz", "Machine")

4 - アプリケーションに DefaultAzureCredential を実装する

DefaultAzureCredential は、Microsoft Entra に対して認証を行うための、厳格かつ順序付けされたメカニズムのシーケンスです。それぞれの認証メカニズムは、TokenCredential クラスから派生したクラスであり、credential と呼ばれます。実行時に、DefaultAzureCredential は最初の資格情報を使用して認証を試みます。その資格情報がアクセストークンの取得に失敗した場合は、アクセストークンが正常に取得されるまで、シーケンス内の次の資格情報が試行されます。これにより、アプリは環境固有のコードを記述することなく、異なる環境で異なる資格情報を使用できます。

DefaultAzureCredential によって資格情報が検索される順序と場所は、DefaultAzureCredential にあります。

DefaultAzureCredential を使用するには、Azure.Identity と、必要に応じて Microsoft.Extensions.Azure パッケージをアプリケーションに追加します。

コマンドライン
NuGet パッケージマネージャー

選択したターミナルで、アプリケーションプロジェクトディレクトリに移動し、次のコマンドを実行します。

dotnet add package Azure.Identity
dotnet add package Microsoft.Extensions.Azure

Azure サービスには、さまざまな Azure SDK クライアントライブラリの特殊なクライアントクラスを使用してアクセスします。これらのクラスと独自のカスタムサービスは、アプリ全体で依存関係の挿入を介してアクセスできるように登録する必要があります。 Program.cs で、次の手順を実行してクライアントクラスと DefaultAzureCredential を登録します。

using ディレクティブを介して Azure.Identity と Microsoft.Extensions.Azure 名前空間を含めます。
Add というプレフィックスが付いた、対応する拡張メソッドを使用して、Azure サービスクライアントを登録します。
UseCredential メソッドに DefaultAzureCredential のインスタンスを渡します。

次に例を示します。

using Microsoft.Extensions.Azure;
using Azure.Identity;

builder.Services.AddAzureClients(clientBuilder =>
{
    clientBuilder.AddBlobServiceClient(
        new Uri("https://<account-name>.blob.core.windows.net"));
    clientBuilder.UseCredential(new DefaultAzureCredential());
});

UseCredential の代わりに、DefaultAzureCredential を直接インスタンス化します。

using Azure.Identity;

builder.Services.AddSingleton<BlobServiceClient>(_ =>
    new BlobServiceClient(
        new Uri("https://<account-name>.blob.core.windows.net"),
        new DefaultAzureCredential()));

上記のコードがローカル開発ワークステーションで実行されている場合、アプリケーションサービスプリンシパルの環境変数、または Visual Studio などのローカルにインストールされた開発者ツールで、開発者資格情報のセットが検索されます。どちらの方法も、ローカル開発中に Azure リソースに対してアプリを認証するために使用できます。

Azure にデプロイすると、この同じコードで、アプリを他の Azure リソースに対して認証することもできます。 DefaultAzureCredential では、環境設定とマネージド ID 構成を取得し、他のサービスに対して自動的に認証することができます。

次の方法で共有

オンプレミスでホストされている .NET アプリから Azure リソースに対して認証する

1 - Azure にアプリケーションを登録する

2 - アプリケーションサービスプリンシパルにロールを割り当てる

3 - アプリケーションの環境変数を構成する

4 - アプリケーションに DefaultAzureCredential を実装する

その他のリソース

次の方法で共有

オンプレミスでホストされている .NET アプリから Azure リソースに対して認証する

1 - Azure にアプリケーションを登録する

2 - アプリケーション サービス プリンシパルにロールを割り当てる

3 - アプリケーションの環境変数を構成する

4 - アプリケーションに DefaultAzureCredential を実装する

その他のリソース

2 - アプリケーションサービスプリンシパルにロールを割り当てる