例: Python 用 Azure ライブラリを使用して Azure Storage にアクセスする

DefaultAzureCredential は、特定の方法に基づき、事前構成された資格情報チェーンです。 これは、最も一般的な認証フローおよび開発者ツールのほか、多くの環境をサポートするように設計されています。 DefaultAzureCredential のインスタンスは、ランタイム環境、特定のよく知られている環境変数の値、および必要に応じてコンストラクターに渡されるパラメーターを組み合わせて、そのトークンを取得するために試しに使用する資格情報の種類を決定します。

次の手順では、アプリケーション サービス プリンシパルをアプリケーション ID として構成します。 アプリケーション サービス プリンシパルは、ローカル開発中の使用とオンプレミスでホストされるアプリでの使用の両方に適しています。 アプリケーション サービス プリンシパルを使用するように DefaultAzureCredential を構成するには、環境変数 AZURE_CLIENT_ID、AZURE_TENANT_ID 、および AZURE_CLIENT_SECRET を設定します。

クライアント シークレットが構成されていることに注意してください。 これはアプリケーション サービス プリンシパルに必要ですが、シナリオによっては、環境変数にシークレットやパスワードを設定する必要のない資格情報を使用するように、DefaultAzureCredentialを構成することもできます。

たとえばローカル開発で、構成された環境変数を使用してトークンを取得できない場合、DefaultAzureCredential は、Azure CLI などの開発ツールに (既に) サインインしているユーザーを使用して、トークンを取得しようとします。Azure でホストされているアプリの場合は、マネージド ID を使用するように DefaultAzureCredential を構成することもできます。 いずれの場合も、アプリのコードに変更は必要なく、構成とランタイム環境のみが変わるだけです。

1. 次のコードを含んだ use_blob_auth.py という名前のファイルを作成します。 ステップは、コメントで説明しています。

   import os
   import uuid
   
   from azure.identity import DefaultAzureCredential
   
   # Import the client object from the SDK library
   from azure.storage.blob import BlobClient
   
   credential = DefaultAzureCredential()
   
   # Retrieve the storage blob service URL, which is of the form
   # https://<your-storage-account-name>.blob.core.windows.net/
   storage_url = os.environ["AZURE_STORAGE_BLOB_URL"]
   
   # Create the client object using the storage URL and the credential
   blob_client = BlobClient(
       storage_url,
       container_name="blob-container-01",
       blob_name=f"sample-blob-{str(uuid.uuid4())[0:5]}.txt",
       credential=credential,
   )
   
   # Open a local file and upload its contents to Blob Storage
   with open("./sample-source.txt", "rb") as data:
       blob_client.upload_blob(data)
       print(f"Uploaded sample-source.txt to {blob_client.url}")
   

   参照リンク:

   • DefaultAzureCredential (azure.identity)
   • BlobClient (azure.storage.blob)

2. AZURE_STORAGE_BLOB_URL という名前の環境変数を作成します。

   • cmd
   • bash

   set AZURE_STORAGE_BLOB_URL=https://pythonazurestorage12345.blob.core.windows.net
   

   「pythonazurestorage12345」をストレージアカウントの名前で置き換えます。

   AZURE_STORAGE_BLOB_URL 環境変数はこの例のみで使用されます。 Azure ライブラリでは使用されません。

3. 「az ad sp create-for-rbac」コマンドを使用して、アプリの新しいサービス プリンシパルを作成します。 このコマンドは、アプリのアプリ登録を同時に作成します。 サービス プリンシパルに、選択した名前を付けます。

   az ad sp create-for-rbac --name <service-principal-name>
   

   このコマンドの出力は次のようになります。 これらの値をメモするか、次の手順でこれらの値が必要になり、パスワード (クライアント シークレット) 値を再び表示できなくなるため、このウィンドウを開いたままにします。 ただし、必要に応じて、サービス プリンシパルや既存のパスワードを無効にせずに、後で新しいパスワードを追加できます。

   {
     "appId": "00001111-aaaa-2222-bbbb-3333cccc4444",
     "displayName": "<service-principal-name>",
     "password": "Aa1Bb~2Cc3.-Dd4Ee5Ff6Gg7Hh8Ii9_Jj0Kk1Ll2",
     "tenant": "aaaabbbb-0000-cccc-1111-dddd2222eeee"
   }
   

   Azure CLI コマンドは、Azure Cloud Shell 内または Azure CLI がインストールされているワークステーション上で実行できます。

4. アプリケーション サービス プリンシパルの環境変数を作成します。

   前のコマンドの出力値を使用して、次の環境変数を作成します。 これらの変数は、アプリケーション サービス プリンシパルを使用するように DefaultAzureCredential に指示します。

   • AZURE_CLIENT_ID → アプリ ID の値です。
   • AZURE_TENANT_ID → テナント ID の値です。
   • AZURE_CLIENT_SECRET→アプリ用に生成されたパスワード/資格情報。
   • cmd
   • bash

   set AZURE_CLIENT_ID=00001111-aaaa-2222-bbbb-3333cccc4444
   set AZURE_TENANT_ID=aaaabbbb-0000-cccc-1111-dddd2222eeee
   set AZURE_CLIENT_SECRET=Aa1Bb~2Cc3.-Dd4Ee5Ff6Gg7Hh8Ii9_Jj0Kk1Ll2
   

5. コードを実行しようとします (意図的に失敗します)。

   python use_blob_auth.py
   

6. 「この要求には、このアクセス許可を使用して操作を実行する権限はありません」というエラーを確認します。このエラーは、使用しているローカル サービス プリンシパルに Blob コンテナーへのアクセス許可がまだないことが原因で表示されます。

7. 「az role assignment create」 Azure CLI コマンドを使用して、BLOB コンテナーに対するストレージ BLOB データ共同作成者アクセス許可をサービス プリンシパルに付与します。

   az role assignment create --assignee <AZURE_CLIENT_ID> \
       --role "Storage Blob Data Contributor" \
       --scope "/subscriptions/<AZURE_SUBSCRIPTION_ID>/resourceGroups/PythonAzureExample-Storage-rg/providers/Microsoft.Storage/storageAccounts/pythonazurestorage12345/blobServices/default/containers/blob-container-01"
   

   --assignee 引数は、サービス プリンシパルを識別します。 <AZURE_CLIENT_ID> プレースホルダーをサービス プリンシパルのアプリIDに置き換えます。

   --scope 引数は、このロールの割り当てが適用される場所を特定します。 この例では、"ストレージ BLOB データ共同作成者" ロールを、"blob-container-01" というコンテナーのサービス プリンシパルに付与します。

   • PythonAzureExample-Storage-rg と pythonazurestorage12345 を、使用しているストレージ アカウントが含まれているリソース グループと、ストレージ アカウントの正確な名前に置き換えてください。 また、必要に応じて、BLOB コンテナーの名前を調整します。 間違った名前を使用すると、「入れ子になったリソースで要求された操作を実行できません」というエラーが表示されます。 親リソース 'pythonazurestorage12345' が見つかりません。" というエラーが表示されます。

   • <AZURE_SUBSCRIPTION_ID> プレースホルダーをお使いの Azure サブスクリプション ID に置き換えます。 (az account show コマンドを実行し、出力の id プロパティからお使いのサブスクリプション ID を取得できます。)

   ヒント

   bash シェルを使用した際に、ロール割り当てコマンドが「接続アダプターが見つかりません」というエラーを返す場合、パス変換を回避するために、環境変数 MSYS_NO_PATHCONV を 1 に設定してください。 詳細については、この課題を参照してください。

8. アクセス許可が反映されるまで 1、2 分待機した後、コードをもう一度実行して、今度は動作することを確認します。 アクセス許可のエラーが再度表示された場合は、もう少し待ってから、もう一度コードを試してください。

ロールの割り当てについての詳細は、「Azure CLI を使用してロールのアクセス許可を割り当てる方法」に関するページを参照してください。

接続文字列にはストレージ アカウント アクセス キーが含まれており、それを使用して要求を認可します。 セキュリティで保護されていない場所でキーを公開しないように常に注意してください。

1. 次のコードを使用して、use_blob_conn_string.py という名前の Python ファイルを作成します。 ステップは、コメントで説明しています。

   import os
   import uuid
   
   # Import the client object from the SDK library
   from azure.storage.blob import BlobClient
   
   # Retrieve the connection string from an environment variable. Note that a
   # connection string grants all permissions to the caller, making it less
   # secure than obtaining a BlobClient object using credentials.
   conn_string = os.environ["AZURE_STORAGE_CONNECTION_STRING"]
   
   # Create the client object for the resource identified by the connection
   # string, indicating also the blob container and the name of the specific
   # blob we want.
   blob_client = BlobClient.from_connection_string(
       conn_string,
       container_name="blob-container-01",
       blob_name=f"sample-blob-{str(uuid.uuid4())[0:5]}.txt",
   )
   
   # Open a local file and upload its contents to Blob Storage
   with open("./sample-source.txt", "rb") as data:
       blob_client.upload_blob(data)
       print(f"Uploaded sample-source.txt to {blob_client.url}")
   

2. 環境変数 AZURE_STORAGE_CONNECTION_STRING を作成します。この変数の値は、ストレージ アカウントの完全な接続文字列です。 この環境変数は、さまざまな Azure CLI コマンドでも使用されます。ストレージ アカウントの接続文字列は、az storage account show-connection-string コマンドを実行することで取得できます。

   az storage account show-connection-string --resource-group PythonAzureExample-Storage-rg --name pythonazurestorage12345
   

   PythonAzureExample-Storage-rg と pythonazurestorage12345 を、使用しているストレージ アカウントが含まれているリソース グループと、ストレージ アカウントの正確な名前に置き換えてください。

   環境変数を設定するときは、出力内の connectionString プロパティの値全体を引用符を含めて使用します。

3. コードを実行します。

   python use_blob_conn_string.py
   

既に述べたように、この方法はシンプルではありますが、接続文字列によって、ストレージ アカウント内のすべての操作が承認されます。 前のセクションで説明したように、運用環境のコードでは、具体的なアクセス許可を使用することをお勧めします。