Azure CLI を使用してマネージド ID にアプリケーション ロールを割り当てる

Azure リソースのマネージド ID により、Microsoft Entra ID の ID が Azure サービスに提供されます。 それらが動作するためにコード内の資格情報は必要ありません。 この ID は、Microsoft Entra 認証をサポートするサービスへの認証を行うために、Azure サービスによって使用されます。 アプリケーション ロールによってロールベースのアクセス制御の形式が提供され、サービスで承認規則を実装できます。

この記事では、 Microsoft Graph PowerShell SDK または Azure CLI を使用して、別のアプリケーションによって公開されるアプリケーション ロールにマネージド ID を割り当てる方法について説明します。

[前提条件]

• Azure リソースのマネージド ID に慣れていない場合は、Azure リソースの マネージド ID の概要に関するページを参照してください。
• システム割り当てマネージド ID とユーザー割り当てマネージド ID の違いを確認します。
• Azure アカウントをまだお持ちでない場合は、続行する前に 無料アカウントにサインアップ してください。

CLI を使用してマネージド ID アクセスを別のアプリケーションのアプリ ロールに割り当てる

• Azure Cloud Shell で Bash 環境を使用します。 詳細については、「Azure Cloud Shell の概要」を参照してください。

  

• CLI 参照コマンドをローカルで実行する場合は、Azure CLI を インストール します。 Windows または macOS で実行している場合は、Docker コンテナーで Azure CLI を実行することを検討してください。 詳細については、「Docker コンテナーで Azure CLI を実行する方法」を参照してください。

  • ローカル インストールを使用する場合は、az login コマンドを使用して Azure CLI にサインインします。 認証プロセスを完了するには、ターミナルに表示される手順に従います。 その他のサインイン オプションについては、「 Azure CLI を使用した Azure への認証」を参照してください。

  • 初回使用時にインストールを求められたら、Azure CLI 拡張機能をインストールします。 拡張機能の詳細については、「Azure CLI で拡張機能を使用および管理する」を参照してください。

  • az version を実行し、インストールされているバージョンおよび依存ライブラリを検索します。 最新バージョンにアップグレードするには、az upgrade を実行します。

1. Azure 仮想マシンなどの Azure リソースでマネージド ID を有効にします。

2. マネージド ID のサービス プリンシパルのオブジェクト ID を調べます。

   • システム割り当てマネージド ID の場合、Azure portal のリソースの [ID] ページでオブジェクト ID を見つけることができます。 次のスクリプトを使用してオブジェクト ID を調べることもできます。 前の手順で作成したリソースのリソース ID が必要です。これは、リソースの [プロパティ ] ページの Azure portal で使用できます。

     resourceIdWithManagedIdentity="/subscriptions/{my subscription ID}/resourceGroups/{my resource group name}/providers/Microsoft.Compute/virtualMachines/{my virtual machine name}"
     
     oidForMI=$(az resource show --ids $resourceIdWithManagedIdentity --query "identity.principalId" -o tsv | tr -d '[:space:]')
     echo "object id for managed identity is: $oidForMI"
     

   • ユーザー割り当てマネージド ID の場合、Azure portal のリソースの [概要 ] ページでマネージド ID のオブジェクト ID を見つけることができます。 次のスクリプトを使用してオブジェクト ID を調べることもできます。 ユーザー割り当てのマネージド ID のリソース ID が必要になります。

     userManagedIdentityResourceId="/subscriptions/{my subscription ID}/resourceGroups/{my resource group name}/providers/Microsoft.ManagedIdentity/userAssignedIdentities/{my managed identity name}"
     
     oidForMI=$(az resource show --id $userManagedIdentityResourceId --query "properties.principalId" -o tsv | tr -d '[:space:]')
     echo "object id for managed identity is: $oidForMI"
     

3. マネージド ID が要求を送信するサービスを表す新しいアプリケーション登録を作成します。

   • マネージド ID に対してアプリ ロールの付与を公開している API またはサービスのサービス プリンシパルが Microsoft Entra テナントに既にある場合は、このステップをスキップします。

4. サービス アプリケーションのサービス プリンシパルのオブジェクト ID を調べます。 これは、 Microsoft Entra 管理センターを使用して確認できます。

   1. Microsoft Entra 管理センターにサインインします。

   2. 左側のナビゲーション ブレードで、 Entra ID>Enterprise アプリを選択します。 次に、アプリケーションを見つけて 、オブジェクト ID を探します。

   3. 次のスクリプトを使用して、サービス プリンシパルのオブジェクト ID を表示名で検索することもできます。

      appName="{name for your application}"
      serverSPOID=$(az ad sp list --filter "displayName eq '$appName'" --query '[0].id' -o tsv | tr -d '[:space:]')
      echo "object id for server service principal is: $serverSPOID"
      

      注

      アプリケーションの表示名は一意ではないため、取得したサービス プリンシパルが適切なアプリケーションのものであることを確認する必要があります。

   4. または、アプリケーション登録用の一意のアプリケーション ID でオブジェクト ID を見つけることができます。

      appID="{application id for your application}"
      serverSPOID=$(az ad sp list --filter "appId eq '$appID'" --query '[0].id' -o tsv | tr -d '[:space:]')
      echo "object id for server service principal is: $serverSPOID"
      

5. 前の手順で作成したアプリケーションにアプリ ロール を追加します。 ロールは、Azure portal または Microsoft Graph を使用して作成できます。 たとえば、次のようなアプリ ロールを追加できます。

   {
       "allowedMemberTypes": [
           "Application"
       ],
       "displayName": "Read data from MyApi",
       "id": "00001111-aaaa-2222-bbbb-3333cccc4444",
       "isEnabled": true,
       "description": "Allow the application to read data as itself.",
       "value": "MyApi.Read.All"
   }
   

6. アプリ ロールをマネージド ID に割り当てます。 アプリ ロールを割り当てるには、次の情報が必要です。

   • managedIdentityObjectId: マネージド ID のサービス プリンシパルのオブジェクト ID。ステップ 2 で確認しました。
   • serverServicePrincipalObjectId: サーバー アプリケーションのサービス プリンシパルのオブジェクト ID。ステップ 4 で確認しました。
   • appRoleId: サーバー アプリによって公開されるアプリ ロールの ID。ステップ 5 で生成しました。この例では、アプリ ロール ID は 00000000-0000-0000-0000-000000000000 です。

7. 次のスクリプトを実行してロールの割り当てを追加します。 この機能は Azure CLI では直接公開されておらず、ここでは代わりに、REST コマンドが使用されています。

   roleguid="00000000-0000-0000-0000-000000000000"
   az rest -m POST -u https://graph.microsoft.com/v1.0/servicePrincipals/$oidForMI/appRoleAssignments -b "{\"principalId\": \"$oidForMI\", \"resourceId\": \"$serverSPOID\",\"appRoleId\": \"$roleguid\"}"
   

次のステップ

• Azure リソースのマネージド ID の概要