App Service と Azure Functions のマネージド ID を使用する

1. Azure portal で、アプリのページに移動します。

2. 左側のメニューで、[設定]>[ID] を選択します。

3. システム割り当て タブで、ステータスをオンに切り替えます。 次に、 [保存] を選択します。

az webapp identity assign コマンドを実行します。

az webapp identity assign --resource-group <group-name> --name <app-name> 

App Service の場合

Set-AzWebApp -AssignIdentity コマンドを実行します。

Set-AzWebApp -AssignIdentity $true -ResourceGroupName <group-name>  -Name <app-name>

関数の場合

Update-AzFunctionApp -IdentityType コマンドを実行します。

Update-AzFunctionApp -ResourceGroupName <group-name> -Name <function-app-name>  -IdentityType SystemAssigned

Azure Resource Manager テンプレートを使用して、Azure リソースのデプロイを自動化できます。 詳細については、「 App Service でのリソースのデプロイの自動化 」および 「Azure Functions でのリソースのデプロイの自動化」を参照してください。

リソース定義に次のプロパティを含めることで、ID を使用して Microsoft.Web/sites 型の任意のリソースを作成できます。

"identity": {
    "type": "SystemAssigned"
}

システム割り当てタイプを追加すると、Azure に対してアプリケーション用の ID を作成して管理するように指示されます。

たとえば、Web アプリのテンプレートは次の JSON のようになります。

{
    "apiVersion": "2022-03-01",
    "type": "Microsoft.Web/sites",
    "name": "[variables('appName')]",
    "___location": "[resourceGroup().___location]",
    "identity": {
        "type": "SystemAssigned"
    },
    "properties": {
        "name": "[variables('appName')]",
        "serverFarmId": "[resourceId('Microsoft.Web/serverfarms', variables('hostingPlanName'))]",
        "hostingEnvironment": "",
        "clientAffinityEnabled": false,
        "alwaysOn": true
    },
    "dependsOn": [
        "[resourceId('Microsoft.Web/serverfarms', variables('hostingPlanName'))]"
    ]
}

サイトが作成されると、次のプロパティが含まれます。

"identity": {
    "type": "SystemAssigned",
    "tenantId": "<tenant-id>",
    "principalId": "<principal-id>"
}

tenantId プロパティは、ID が属する Microsoft Entra テナントを識別します。 principalId プロパティは、アプリケーションの新しい ID を一意に識別するためのものです。 Microsoft Entra ID では、サービス プリンシパルには、App Service または Azure Functions インスタンスに指定したのと同じ名前が付けられます。

テンプレートの後のステージでこれらのプロパティを参照する必要がある場合は、次の例のように、reference() テンプレート関数を 'Full' オプションと共に使用します。

{
    "tenantId": "[reference(resourceId('Microsoft.Web/sites', variables('appName')), '2018-02-01', 'Full').identity.tenantId]",
    "objectId": "[reference(resourceId('Microsoft.Web/sites', variables('appName')), '2018-02-01', 'Full').identity.principalId]",
}

1. 以下の手順に従って、ユーザー割り当てマネージド ID リソースを作成します。

2. アプリのページの左側のメニューで、[>] を選択します。

3. [ユーザー割り当て]を選択し、[追加]を選択します。

4. 先ほど作成した ID を検索して選択し、[ 追加] を選択します。

これらの手順を完了すると、アプリが再起動します。

1. ユーザー割り当て ID を作成します。

   az identity create --resource-group <group-name> --name <identity-name>
   

2. az webapp identity assign コマンドを実行して、アプリに ID を割り当てます。

   az webapp identity assign --resource-group <group-name> --name <app-name> --identities <identity-id>
   

App Service の場合

現在、Azure PowerShell を使用した App Service でのユーザー割り当て ID の追加はサポートされていません。

関数の場合

1. ユーザー割り当て ID を作成します。

   Install-Module -Name Az.ManagedServiceIdentity -AllowPrerelease
   $userAssignedIdentity = New-AzUserAssignedIdentity -Name <identity-name> -ResourceGroupName <group-name> -Location <region>
   

2. Update-AzFunctionApp -IdentityType UserAssigned -IdentityIdコマンドを実行して、Functions で ID を割り当てます。

   Update-AzFunctionApp -Name <app-name> -ResourceGroupName <group-name> -IdentityType UserAssigned -IdentityId $userAssignedIdentity.Id
   

Azure Resource Manager テンプレートを使用して、Azure リソースのデプロイを自動化できます。 詳細については、「 App Service でのリソースのデプロイの自動化 」および 「Azure Functions でのリソースのデプロイの自動化」を参照してください。

リソース定義に次のブロックを含めることで、ID を使用して Microsoft.Web/sites 任意の種類のリソースを作成できます。 <resource-id>を目的の ID のリソース ID に置き換えます。

"identity": {
    "type": "UserAssigned",
    "userAssignedIdentities": {
        "<resource-id>": {}
    }
}

ユーザー割り当て型を追加すると、アプリケーションに指定したユーザー割り当て ID を使用するように Azure に指示されます。

たとえば、Web アプリのテンプレートは次の JSON のようになります。

{
    "apiVersion": "2022-03-01",
    "type": "Microsoft.Web/sites",
    "name": "[variables('appName')]",
    "___location": "[resourceGroup().___location]",
    "identity": {
        "type": "UserAssigned",
        "userAssignedIdentities": {
            "[resourceId('Microsoft.ManagedIdentity/userAssignedIdentities', variables('identityName'))]": {}
        }
    },
    "properties": {
        "name": "[variables('appName')]",
        "serverFarmId": "[resourceId('Microsoft.Web/serverfarms', variables('hostingPlanName'))]",
        "hostingEnvironment": "",
        "clientAffinityEnabled": false,
        "alwaysOn": true
    },
    "dependsOn": [
        "[resourceId('Microsoft.Web/serverfarms', variables('hostingPlanName'))]",
        "[resourceId('Microsoft.ManagedIdentity/userAssignedIdentities', variables('identityName'))]"
    ]
}

サイトが作成されると、次のプロパティが含まれます。

"identity": {
    "type": "UserAssigned",
    "userAssignedIdentities": {
        "<resource-id>": {
            "principalId": "<principal-id>",
            "clientId": "<client-id>"
        }
    }
}

principalId プロパティは、Microsoft Entra の管理に使用される ID の一意識別子です。 clientId プロパティは、アプリケーションの新しい ID を一意に識別するためのものです。 これを使用して、実行時の呼び出し中に使用する ID を指定します。

生の HTTP GET 要求では、 指定された 2 つの環境変数が 使用され、次の例のようになります。

GET /MSI/token?resource=https://vault.azure.net&api-version=2019-08-01 HTTP/1.1
Host: <ip-address-:-port-in-IDENTITY_ENDPOINT>
X-IDENTITY-HEADER: <value-of-IDENTITY_HEADER>

応答の例は次のようになります。

HTTP/1.1 200 OK
Content-Type: application/json

{
    "access_token": "eyJ0eXAi…",
    "expires_on": "1586984735",
    "resource": "https://vault.azure.net",
    "token_type": "Bearer",
    "client_id": "00001111-aaaa-2222-bbbb-3333cccc4444"
}

この応答は、Microsoft Entra のサービス間アクセス トークン要求に対する応答と同じです。 Key Vault にアクセスするには、access_token の値をコンテナーとのクライアント接続に追加します。

.NET のアプリと関数の場合、マネージド ID を利用する最も簡単な方法は、.NET 用の Azure ID クライアント ライブラリを使用することです。 詳細については、「 チュートリアル: マネージド ID を使用してシークレットなしで App Service から Azure データベースに接続する」を参照してください。

詳細については、クライアント ライブラリの各ドキュメントの見出しを参照してください。

• Azure Identity クライアント ライブラリをプロジェクトに追加する
• システム割り当て ID を使用して Azure サービスにアクセスする
• ユーザー割り当て ID を使用して Azure サービスにアクセスする

リンクされた例では 、DefaultAzureCredential を使用します。 マネージド ID を使用する Azure と、マネージド ID を持たないローカル コンピューターでも同じパターンが動作します。

Node.js アプリや JavaScript 関数の場合、マネージド ID を扱う最も簡単な方法は、.NET 用の Azure ID クライアント ライブラリ を使用することです。 詳細については、「 チュートリアル: マネージド ID を使用してシークレットなしで App Service から Azure データベースに接続する」を参照してください。

詳細については、クライアント ライブラリの各ドキュメントの見出しを参照してください。

• Azure Identity クライアント ライブラリをプロジェクトに追加する
• システム割り当て ID を使用して Azure サービスにアクセスする
• ユーザー割り当て ID を使用して Azure サービスにアクセスする

リンクされた例では 、DefaultAzureCredential を使用します。 マネージド ID を使用する Azure と、マネージド ID を持たないローカル コンピューターでも同じパターンが動作します。

JavaScript 用 Azure ID クライアント ライブラリのコード例詳細については、「Azure ID の例」 を参照してください。

Python アプリと関数の場合、マネージド ID を利用する最も簡単な方法は、Python 用の Azure ID クライアント ライブラリを使用することです。 詳細については、「 チュートリアル: マネージド ID を使用してシークレットなしで App Service から Azure データベースに接続する」を参照してください。

詳細については、クライアント ライブラリの各ドキュメントの見出しを参照してください。

• Azure Identity クライアント ライブラリをプロジェクトに追加する
• システム割り当て ID を使用して Azure サービスにアクセスする
• ユーザー割り当て ID を使用して Azure サービスにアクセスする

リンクされた例では 、DefaultAzureCredential を使用します。 マネージド ID を使用する Azure と、マネージド ID を持たないローカル コンピューターでも同じパターンが動作します。

Java のアプリと関数の場合、マネージド ID を利用する最も簡単な方法は、Java 用の Azure ID クライアント ライブラリを使用することです。 詳細については、「 チュートリアル: マネージド ID を使用してシークレットなしで App Service から Azure データベースに接続する」を参照してください。

詳細については、クライアント ライブラリの各ドキュメントの見出しを参照してください。

• Azure Identity クライアント ライブラリをプロジェクトに追加する
• システム割り当て ID を使用して Azure サービスにアクセスする
• ユーザー割り当て ID を使用して Azure サービスにアクセスする

リンクされた例では、DefaultAzureCredentialを使用します。 マネージド ID を使用する Azure と、マネージド ID を持たないローカル コンピューターでも同じパターンが動作します。

Java 用 Azure ID クライアント ライブラリのコード例の詳細については、 Azure ID の例を参照してください。

次のスクリプトを使用して、Azure サービスのリソース URI を指定してローカル エンドポイントからトークンを取得します。

$resourceURI = "https://<Entra-resource-URI-for-resource-to-obtain-token>"
$tokenAuthURI = $env:IDENTITY_ENDPOINT + "?resource=$resourceURI&api-version=2019-08-01"
$tokenResponse = Invoke-RestMethod -Method Get -Headers @{"X-IDENTITY-HEADER"="$env:IDENTITY_HEADER"} -Uri $tokenAuthURI
$accessToken = $tokenResponse.access_token

1. アプリのページの左側のメニューで、[>] を選択します。

2. ID の種類に基づいて、次の手順に従います。

   • システム割り当て ID の場合: [ システム割り当て済み ] タブで、[ 状態] を [オフ] に切り替えます。 次に、 [保存] を選択します。
   • ユーザー割り当て ID の場合: [ ユーザー割り当て ] タブを選択し、ID のチェック ボックスをオンにして、[削除] を選択 します。 [はい] を選択して確定します。

システム割り当て ID を削除するには、次のコマンドを使用します。

az webapp identity remove --resource-group <group-name> --name <app-name>

1 つ以上のユーザー割り当て ID を削除するには、次のコマンドを使用します。

az webapp identity remove --resource-group <group-name> --name <app-name> --identities <identity-id1> <identity-id2> ...

[system]で--identitiesを指定して、システム割り当て ID を削除することもできます。

App Service の場合

App Service のシステム割り当て ID を削除するには、 Set-AzWebApp -AssignIdentity コマンドを実行します。

Set-AzWebApp -AssignIdentity $false -Name <app-name> -ResourceGroupName <group-name> 

関数の場合

Azure PowerShell (Azure Functions のみ) のすべての ID を削除するには、次のコマンドを実行します。

# Update an existing function app to have IdentityType "None".
Update-AzFunctionApp -Name <function-app-name> -ResourceGroupName <group-name> -IdentityType None

ARM テンプレート内のすべての ID を削除するには、次のコードを使用します。

"identity": {
    "type": "None"
}