システム割り当てマネージド ID を使用して Azure リソースに対して Azure ホスト型 Go アプリを認証する

Azure でホストされるアプリを他の Azure リソースに対して認証する場合は、 マネージド ID を使用することをお勧めします。 このアプローチは、Azure App Service、Azure Container Apps、Azure Virtual Machines でホストされているアプリなど、ほとんどの Azure サービスで サポートされています。 認証の 概要 ページで、さまざまな認証手法と方法について詳しく説明します。 前のセクションでは、次の内容について説明します。

• マネージド ID の基本的な概念
• アプリのシステム割り当てマネージド ID を作成する方法
• システム割り当てマネージド ID にロールを割り当てる方法
• アプリ コードからシステム割り当てマネージド ID を使用して認証する方法

マネージド ID の基本的な概念

マネージド ID を使用すると、シークレット キーやその他のアプリケーション シークレットを使用せずに、アプリを他の Azure リソースに安全に接続できます。 内部的には、Azure は ID と、接続先として許可されているリソースを追跡します。 Azure では、この情報を使用して、アプリの Microsoft Entra トークンを自動的に取得して、他の Azure リソースへの接続を許可します。

ホストされているアプリを構成する際に考慮すべきマネージド ID には、次の 2 種類があります。

• システム割り当て マネージド ID は、Azure リソースで直接有効になり、そのライフ サイクルに関連付けられます。 リソースが削除されると、その ID も Azure によって自動的に削除されます。 システム割り当て ID は、マネージド ID を使用するための最小限のアプローチを提供します。
• ユーザー割り当て マネージド ID はスタンドアロンの Azure リソースとして作成され、柔軟性と機能が向上します。 同じ ID とアクセス許可を共有する必要がある複数の Azure リソースを含むソリューションに最適です。 たとえば、複数の仮想マシンが同じ Azure リソースのセットにアクセスする必要がある場合、ユーザー割り当てマネージド ID は再利用性と最適化された管理を提供します。

次のセクションでは、Azure でホストされるアプリに対してシステム割り当てマネージド ID を有効にして使用する手順について説明します。 ユーザー割り当てマネージド ID を使用する必要がある場合は、 ユーザー割り当てマネージド ID に関する記事で詳細を確認してください。

Azure ホスティング リソースでシステム割り当てマネージド ID を有効にする

アプリでシステム割り当てマネージド ID の使用を開始するには、アプリをホストする Azure リソース (Azure App Service、Azure Container App、Azure Virtual Machine など) で ID を有効にします。

Azure portal または Azure CLI を使用して、Azure リソースのシステム割り当てマネージド ID を有効にすることができます。

az webapp identity assign \
    --resource-group <resource-group-name> \
    --name <web-app-name>

az vm identity assign \
    --resource-group <resource-group-name> \
    --name <virtual-machine-name>

{
  "principalId": "aaaaaaaa-bbbb-cccc-1111-222222222222",
  "tenantId": "aaaabbbb-0000-cccc-1111-dddd2222eeee",
  "type": "SystemAssigned",
  "userAssignedIdentities": null
}

マネージド ID にロールを割り当てる

次に、アプリで必要なロールを決定し、それらのロールをマネージド ID に割り当てます。 次のスコープで、マネージド ID にロールを割り当てることができます。

• リソース: 割り当てられたロールは、その特定のリソースにのみ適用されます。
• リソース グループ: 割り当てられたロールは、リソース グループに含まれるすべてのリソースに適用されます。
• サブスクリプション: 割り当てられたロールは、サブスクリプションに含まれるすべてのリソースに適用されます。

次の例は、多くのアプリが 1 つのリソース グループを使用して関連するすべての Azure リソースを管理するため、リソース グループ スコープでロールを割り当てる方法を示しています。

az role assignment create \
    --assignee "{managedIdentityId}" \
    --role "{roleName}" \
    --scope "{scope}"

az role definition list \
    --query "sort_by([].{roleName:roleName, description:description}, &roleName)" \
    --output table

az role assignment create \
    --assignee aaaaaaaa-bbbb-cccc-1111-222222222222 \
    --role "Storage Blob Data Contributor" \
    --scope "/subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/msdocs-sdk-auth-example"

アプリから Azure サービスに対して認証する

azidentity モジュールは、さまざまな資格情報を提供します。さまざまなシナリオと Microsoft Entra 認証フローのサポートに適応したTokenCredentialの実装です。 マネージド ID はローカルで実行するときに使用できないため、次の手順では、どのシナリオで使用する資格情報を示します。

• ローカル開発環境: ローカル開発時にのみ、構成済みの資格情報チェーンに DefaultAzureCredential を使用します。 DefaultAzureCredential は、Azure CLI などのローカル開発ツールからユーザー資格情報を検出します。 また、再試行の柔軟性と利便性、応答の待機時間、複数の認証オプションのサポートも提供します。 詳細については、 ローカル開発時の Azure サービスに対する認証 に関する記事を参照してください。
• Azure でホストされるアプリ: アプリが Azure で実行されている場合は、 ManagedIdentityCredential を使用して、アプリ用に構成されたマネージド ID を安全に検出します。 この正確な種類の資格情報を指定すると、他の使用可能な資格情報が予期せず取得されなくなります。

コードを実装する

azidentity モジュールを追加します。

選択したターミナルで、アプリケーション プロジェクト ディレクトリに移動し、次のコマンドを実行します。

go get github.com/Azure/azure-sdk-for-go/sdk/azidentity

Azure サービスには、さまざまな Azure SDK クライアント ライブラリの特殊なクライアントを使用してアクセスします。 アプリで Azure SDK クライアントをインスタンス化する Go コードの場合は、次のことが必要です。

1. azidentity パッケージをインポートします。
2. DefaultAzureCredential型のインスタンスを作成します。
3. DefaultAzureCredential型のインスタンスを Azure SDK クライアント コンストラクターに渡します。

これらの手順の例は、Azure Storage Blob クライアントを使用した次のコード セグメントに示されています。

import (
	"context"
	"github.com/Azure/azure-sdk-for-go/sdk/azidentity"
	"github.com/Azure/azure-sdk-for-go/sdk/storage/azblob"
)

const (
	account       = "https://<replace_with_your_storage_account_name>.blob.core.windows.net/"
	containerName = "sample-container"
	blobName      = "sample-blob"
	sampleFile    = "path/to/sample/file"
)

func main() {
	// create a credential
	cred, err := azidentity.NewDefaultAzureCredential(nil)
	if err != nil {
	  // TODO: handle error
	}

	// create a client for the specified storage account
	client, err := azblob.NewClient(account, cred, nil)
	if err != nil {
	  // TODO: handle error
	}

	// TODO: perform some action with the azblob Client
	// _, err = client.DownloadFile(context.TODO(), <containerName>, <blobName>, <target_file>, <DownloadFileOptions>)
}

Azure SDK for Go 認証の概要に関する記事で説明したように、DefaultAzureCredentialは複数の認証方法をサポートし、実行時に使用される認証方法を決定します。 この方法の利点は、環境固有のコードを実装しなくても、アプリが異なる環境で異なる認証方法を使用できることです。 上記のコードがローカル開発時にワークステーションで実行されている場合、 DefaultAzureCredential は、環境設定によって決定されるアプリケーション サービス プリンシパルまたは開発者ツールの資格情報を使用して、他の Azure リソースで認証します。 そのため、同じコードを使用して、ローカル開発時と Azure へのデプロイ時の両方で、Azure リソースに対してアプリを認証できます。

DefaultAzureCredentialの代わりに、ManagedIdentityCredentialを使用することもできます。 ManagedIdentityCredentialを使用する手順は、DefaultAzureCredential型の使用と同じです。

これらの手順の例は、Azure Storage Blob クライアントを使用した次のコード セグメントに示されています。

import (
	"context"
	"github.com/Azure/azure-sdk-for-go/sdk/azidentity"
	"github.com/Azure/azure-sdk-for-go/sdk/storage/azblob"
)

const (
                    // Replace placeholder text with your storage account name
	account       = "https://<replace_with_your_storage_account_name>.blob.core.windows.net/"
	containerName = "sample-container"
	blobName      = "sample-blob"
	sampleFile    = "path/to/sample/file"
)

func main() {
	// create a credential
	cred, err := azidentity.NewManagedIdentityCredential(nil)
	
	// When using User Assigned Managed Identity use this instead and pass your client id in the options
	// clientID := azidentity.ClientID("abcd1234-...")
	// opts := azidentity.ManagedIdentityCredentialOptions{ID: clientID}
	// cred, err := azidentity.NewManagedIdentityCredential(&opts)
	
	if err != nil {
	  // TODO: handle error
	}
	
	// create a client for the specified storage account
	client, err := azblob.NewClient(account, cred, nil)
	if err != nil {
	  // TODO: handle error
	}
	
	// TODO: perform some action with the azblob Client
	// _, err = client.DownloadFile(context.TODO(), <containerName>, <blobName>, <target_file>, <DownloadFileOptions>)
}

上記のコードは、実行されている環境によって動作が異なります。

• ローカル開発ワークステーションでは、 DefaultAzureCredential は、アプリケーション サービス プリンシパルの環境変数、または Azure CLI などのローカルにインストールされた開発者ツールで、一連の開発者資格情報を検索します。
• Azure にデプロイすると、 ManagedIdentityCredential は、他のサービスに対して自動的に認証するマネージド ID 構成を検出します。