マネージド ID を使用して接続するように検索サービスを構成する

2025-08-16

Microsoft Entra ID セキュリティプリンシパルとロールの割り当てを、Azure AI Search から他の Azure リソースへの送信接続に使用して、インデックス作成またはクエリ中にデータ、適用された AI、またはベクター化を提供できます。

送信接続に対してロールを使用するには、まず、Microsoft Entra テナント内で検索サービスのセキュリティプリンシパルとして、システム割り当てまたはユーザー割り当てマネージド ID のいずれかを使用するように検索サービスを構成します。マネージド ID を取得したら、承認されたアクセスのロールを割り当てることができます。マネージド ID とロールの割り当てにより、接続文字列またはコードでシークレットと資格情報を渡す必要がなくなります。

[前提条件]

任意のリージョンの Basic レベル以上の検索サービス。
有効なロールの割り当てを持つ Microsoft Entra セキュリティプリンシパルからの受信要求を許可する Azure リソース。
マネージド ID を作成するには、所有者ロールまたはユーザーアクセス管理者ロールである必要があります。ロールを割り当てるには、所有者、ユーザーアクセス管理者、ロールベースのアクセス制御管理者、または Microsoft.Authorization/roleAssignments/書き込みアクセス許可を持つカスタムロールのメンバーである必要があります。

サポートされているシナリオ

これらのシナリオでは、マネージド ID を使用できます。

シナリオ	システム	ユーザー割り当て
インデクサーデータソースへの接続¹	イエス	はい ²
スキル/ベクターライザーを使用して Azure OpenAI、Azure AI Foundry、Azure Functions の埋め込みとチャットの完了モデルに接続する ³	イエス	イエス
カスタマーマネージドキー用の Azure Key Vault に接続する	イエス	イエス
(Azure Storage でホストされている) デバッグセッションに接続^{する 1}	イエス	いいえ
(Azure Storage でホストされている) エンリッチメントキャッシュに接続する ^1,4	イエス	はい ²
ナレッジストア (Azure Storage でホスト) に接続^{する 1}	イエス	はい ²

¹ 検索とストレージの間の接続の場合、ネットワークセキュリティでは、使用できるマネージド ID の種類に制約が課されます。 Azure Storage への同じリージョン接続にはシステムマネージド ID のみを使用でき、その接続は 信頼されたサービス例外 またはリソースインスタンスルールを介して行う必要があります。詳細については、「ネットワークで保護されたストレージアカウントへのアクセス」を参照してください。

データソース接続文字列では^、2 つのユーザー割り当てマネージド ID を使用できます。ただし、接続文字列でユーザー割り当てマネージド ID をサポートするのは、新しいプレビュー REST API とプレビューパッケージのみです。 SearchIndexerDataUserAssignedIdentity をデータソース接続のidentityとして設定する場合は、必ずプレビュー API に切り替えます。

^スキル /ベクター化を介した Azure OpenAI、Azure AI Foundry、Azure Functions への 3 つの接続には、カスタムスキル、カスタムベクターライザー、 Azure OpenAI 埋め込みスキル、 Azure OpenAI ベクターライザー、 AML スキル、 Azure AI Foundry モデルカタログベクターライザーが含まれます。

^現在、4 つの AI 検索サービスは、共有キーアクセスが無効になっているストレージアカウントのテーブルに接続できません。

システムマネージド ID を作成する

システム割り当てマネージド ID は、Azure AI Search サービスなどの Azure リソースに自動的に作成され、リンクされる Microsoft Entra ID セキュリティプリンシパルです。

検索サービスごとに 1 つのシステム割り当てマネージド ID を持つことができます。これは検索サービスに固有であり、その有効期間中はサービスにバインドされます。

システム割り当てマネージド ID を有効にすると、Microsoft Entra ID によって、他の Azure リソースに対する認証に使用される検索サービスのセキュリティプリンシパルが作成されます。その後、ロールの割り当てでこの ID を使用して、データと操作への承認されたアクセスを行うことができます。

Azure portal にサインインし、ご利用の検索サービスを探します。
左側のウィンドウで、設定>Identity を選択します。
[システム割り当て] タブの [状態] で、[オン] を選択します。
保存を選択します。

設定を保存すると、ページが更新され、検索サービスに割り当てられているオブジェクト識別子が表示されます。

Set-AzSearchService `
  -Name YOUR-SEARCH-SERVICE-NAME `
  -ResourceGroupName YOUR-RESOURCE-GROUP-NAME `
  -IdentityType SystemAssigned

詳細については、「システム割り当てマネージド ID を使用して検索サービスを作成する (Azure PowerShell)」を参照してください。

az search service update `
  --name YOUR-SEARCH-SERVICE-NAME `
  --resource-group YOUR-RESOURCE-GROUP-NAME `
  --identity-type SystemAssigned

詳細については、「システム割り当てマネージド ID を使用して検索サービスを作成する (Azure CLI)」を参照してください。

サービス - 作成または更新 (REST API) を使用して要求を作成します。

PUT https://management.azure.com/subscriptions/subid/resourceGroups/rg1/providers/Microsoft.Search/searchServices/mysearchservice?api-version=2025-05-01  HTTP/1.1
{
  "___location": "[region]",
  "sku": {
    "name": "[sku]"
  },
  "properties": {
    "replicaCount": [replica count],
    "partitionCount": [partition count],
    "hostingMode": "default"
  },
  "identity": {
    "type": "SystemAssigned"
  }
}

応答には、システム割り当てマネージド ID の確認とオブジェクト識別子が含まれます。

ユーザー割り当てマネージド ID を作成する

ユーザー割り当てマネージド ID は、サブスクリプション、リソースグループ、またはリソースの種類にスコープを設定できる Azure リソースです。

ロールの割り当ての粒度を高める目的で、複数のユーザー割り当てマネージド ID を作成できます。たとえば、ID を異なるアプリケーションやシナリオごとに分けることができます。独立して作成されたマネージドリソースとして、サービス自体にバインドされません。

ユーザー割り当てマネージド ID を設定する手順は次のとおりです。

Azure サブスクリプションで、ユーザー割り当てマネージド ID を作成します。
検索サービスで、ユーザー割り当てマネージド ID を検索サービスに関連付けます。
接続する他の Azure サービスで、ID のロールの割り当てを作成します。

ユーザー割り当てマネージド ID と Azure AI Search サービスの関連付けは、Azure portal、Search Management REST API、および機能を提供する SDK パッケージでサポートされています。

Azure Portal
REST API

Azure portal にサインインします。
ダッシュボードの左上隅にある [リソースの作成] を選択します。
検索ボックスを使用して ユーザー割り当てマネージド ID を検索し、[ 作成] を選択します。
サブスクリプション、リソースグループ、リージョンを選択します。 ID にわかりやすい名前を付けます。
[作成] を選択し、リソースのデプロイが完了するまで待ちます。

ID を使用できるようになるまで数分かかります。
検索サービスのページで、[設定]>[Identity] を選択します。
割り当てられたユーザー タブで、追加を選択します。
サブスクリプションと、前に作成したユーザー割り当てマネージド ID を選択します。

Azure portal の代わりに、Search Management REST API を使用して、ユーザー割り当てマネージド ID を割り当てることができます。

サービス - 更新 (REST API) を使用して要求を作成します。

PUT https://management.azure.com/subscriptions/subid/resourceGroups/rg1/providers/Microsoft.Search/searchServices/mysearchservice?api-version=2025-05-01  HTTP/1.1
{
  "___location": "[region]",
  "sku": {
    "name": "[sku]"
  },
  "properties": {
    "replicaCount": [replica count],
    "partitionCount": [partition count],
    "hostingMode": "default"
  },
  "identity": {
    "type": "UserAssigned",
    "userAssignedIdentities": {
      "/subscriptions/[subscription ID]/resourcegroups/[name of resource group]/providers/Microsoft.ManagedIdentity/userAssignedIdentities/[name of managed identity]": {}
    }
  }
}

identity.typeを ID の種類に設定します。
- 有効な値は、両方の SystemAssigned、 UserAssigned、または SystemAssigned, UserAssigned です。
- None値を指定すると、以前に割り当てられた ID が検索サービスからクリアされます。
identity.userAssignedIdentitiesを更新して、ユーザー割り当てマネージド ID の詳細を含めます。この ID は、要求で指定する前に既に存在している必要があります。

ロールを割り当てる

マネージド ID を取得したら、Azure リソースに対する検索サービスのアクセス許可を決定するロールを割り当てます。

インデクサーデータ接続と、Azure Key Vault のカスタマーマネージドキーへのアクセスには、読み取りのアクセス許可が必要です。
Azure Storage を使用してデバッグセッションデータ、エンリッチメントキャッシュ、およびナレッジストア内の長期的なコンテンツストレージをホストする AI エンリッチメント機能には、書き込みアクセス許可が必要です。

次の手順はロールの割り当てのワークフローを示しています。この例は、Azure OpenAI 用です。その他の Azure リソースについては、「Azure Storage への接続」、「Azure Cosmos DB への接続」、「Azure SQL への接続」を参照してください。

Azure アカウントを使用して Azure portal にサインインし、Azure OpenAI リソースに移動します。
左側のメニューから [アクセスの制御] を選択します。
[追加] を選択し、[ロールの割り当ての追加] を選択します。
[職務権限ロール] で、[Cognitive Services OpenAI ユーザー] を選択し、[次へ] を選択します。
[メンバー] の下で [マネージド ID] を選択し、[メンバー] を選択します。
サブスクリプションとリソースの種類 (Search Service) でフィルター処理し、検索サービスのマネージド ID を選択します。
レビュー + 割り当て を選択します。

接続文字列の例

他の Azure リソースへの接続文字列でマネージド ID を使用できることを、シナリオの説明から思い出してください。このセクションでは例を示します。システム割り当てマネージド ID を使用して、一般公開されている REST API バージョンと Azure SDK パッケージを接続に使用できます。

ヒント

これらのオブジェクトのほとんどは Azure portal で作成できます。システムまたはユーザー割り当てマネージド ID のいずれかを指定して、JSON 定義を表示して接続文字列を取得します。

さまざまなシナリオの接続文字列の例を次に示します。

BLOB データソース (システムマネージド ID):

インデクサーデータソースには、データソースへの接続方法を決定する credentials プロパティが含まれています。次の例は、ストレージアカウントの一意のリソース ID を指定する接続文字列を示しています。

システムマネージド ID は、接続文字列が、Microsoft Entra ID に対応するサービスまたはアプリケーションの一意リソース ID である場合に示されます。ユーザー割り当てマネージド ID は、 identity プロパティを使用して指定します。

"credentials": {
    "connectionString": "ResourceId=/subscriptions/{subscription-ID}/resourceGroups/{resource-group-name}/providers/Microsoft.Storage/storageAccounts/{storage-account-name};"
    }

BLOB データソース (ユーザーマネージド ID):

ユーザー割り当てマネージド ID は、インデクサーデータソース接続文字列でも使用できます。ただし、データソース接続文字列でユーザー割り当てマネージド ID をサポートするのは、新しいプレビュー REST API とプレビューパッケージのみです。 SearchIndexerDataUserAssignedIdentity をデータソース接続の ID として設定する場合は、必ずプレビューバージョンに切り替えます。

検索サービスのユーザー ID は、 identity プロパティで指定されます。

"credentials": {
    "connectionString": "ResourceId=/subscriptions/{subscription-ID}/resourceGroups/{resource-group-name}/providers/Microsoft.Storage/storageAccounts/{storage-account-name};"
    },
  . . .
"identity": {
    "@odata.type": "#Microsoft.Azure.Search.DataUserAssignedIdentity",
    "userAssignedIdentity": "/subscriptions/{subscription-ID}/resourceGroups/{resource-group-name}/providers/Microsoft.ManagedIdentity/userAssignedIdentities/{user-assigned-managed-identity-name}"
  }

ナレッジストア:

ナレッジストアの定義は、Azure Storage への接続文字列が含まれます。接続文字列は、ストレージアカウントの一意のリソース ID です。文字列には、パスにコンテナーやテーブルが含まれていません。これらは、接続文字列ではなく、埋め込みプロジェクション定義で定義されます。

"knowledgeStore": {
  "storageConnectionString": "ResourceId=/subscriptions/{subscription-ID}/resourceGroups/{resource-group-name}/providers/Microsoft.Storage/storageAccounts/storage-account-name};"
}

エンリッチメントキャッシュ:

インデクサーは、キャッシュされたエンリッチメントに使用されるコンテナーを作成、使用、および記憶します。コンテナーをキャッシュ接続文字列に含める必要はありません。オブジェクト ID は、Azure portal の検索サービスの [ID] ページで確認できます。

"cache": {
  "enableReprocessing": true,
  "storageConnectionString": "ResourceId=/subscriptions/{subscription-ID}/resourceGroups/{resource-group-name}/providers/Microsoft.Storage/storageAccounts/{storage-account-name};"
}

デバッグセッション:

デバッグセッションは Azure portal で実行され、セッションの開始時に接続文字列を取得します。次の例のような文字列を貼り付けることができます。

"ResourceId=/subscriptions/{subscription-ID}/resourceGroups/{resource-group-name}/providers/Microsoft.Storage/storageAccounts/{storage-account-name}/{container-name};",

カスタムスキル:

カスタムスキルは、カスタムコードをホストしている Azure 関数またはアプリのエンドポイントをターゲットとします。

uri は、関数またはアプリのエンドポイントです。
authResourceId は、マネージド ID を使用して接続するように検索サービスに指示し、ターゲットの関数またはアプリのアプリケーション ID をプロパティの中に渡します。

{
  "@odata.type": "#Microsoft.Skills.Custom.WebApiSkill",
  "description": "A custom skill that can identify positions of different phrases in the source text",
  "uri": "https://contoso.count-things.com",
  "authResourceId": "<Azure-AD-registered-application-ID>",
  "batchSize": 4,
  "context": "/document",
  "inputs": [ ... ],
  "outputs": [ ...]
}

モデルの接続例

マネージド ID を使用して行われた接続の場合、このセクションでは、検索サービスが別のリソースのモデルに接続するために使用する接続情報の例を示します。システムマネージド ID を介した接続は透過的です。ID とロールが配置され、正しく構成されている場合は接続が成功します。これに対し、ユーザーマネージド ID には追加の接続プロパティが必要です。

Azure OpenAI 埋め込みスキルと Azure OpenAI ベクター化:

AI Search の Azure OpenAI 埋め込みスキルとベクターライザーは、埋め込みモデルをホストする Azure OpenAI のエンドポイントを対象とします。エンドポイントは、Azure OpenAI 埋め込みスキル定義またはAzure OpenAI ベクター化定義で指定されます。

システムマネージド ID は、次の例の中で示すように、"apikey" と "authIdentity" が空の場合に自動的に使用されます。 "authIdentity" プロパティは、ユーザー割り当てマネージド ID にのみ使用されます。

システムマネージド ID の例:

{
  "@odata.type": "#Microsoft.Skills.Text.AzureOpenAIEmbeddingSkill",
  "description": "Connects a deployed embedding model.",
  "resourceUri": "https://url.openai.azure.com/",
  "deploymentId": "text-embedding-ada-002",
  "modelName": "text-embedding-ada-002",
  "inputs": [
    {
      "name": "text",
      "source": "/document/content"
    }
  ],
  "outputs": [
    {
      "name": "embedding"
    }
  ]
}

システム割り当てマネージド ID 用に構成されたベクトライザーの例を次に示します。ベクトライザーは検索インデックス内で指定されます。

 "vectorizers": [
    {
      "name": "my_azure_open_ai_vectorizer",
      "kind": "azureOpenAI",
      "azureOpenAIParameters": {
        "resourceUri": "https://url.openai.azure.com",
        "deploymentId": "text-embedding-ada-002",
        "modelName": "text-embedding-ada-002"
      }
    }
  ]

ユーザー割り当てマネージド ID の例:

"apiKey" が空で、かつ有効な "authIdentity" が指定されている場合は、ユーザー割り当てマネージド ID が使用されます。

{
  "@odata.type": "#Microsoft.Skills.Text.AzureOpenAIEmbeddingSkill",
  "description": "Connects a deployed embedding model.",
  "resourceUri": "https://url.openai.azure.com/",
  "deploymentId": "text-embedding-ada-002",
  "modelName": "text-embedding-ada-002",
  "inputs": [
    {
      "name": "text",
      "source": "/document/content"
    }
  ],
  "outputs": [
    {
      "name": "embedding"
    }
  ],
  "authIdentity": {
    "@odata.type": "#Microsoft.Azure.Search.DataUserAssignedIdentity",
    "userAssignedIdentity": "/subscriptions/<subscription_id>/resourcegroups/<resource_group>/providers/Microsoft.ManagedIdentity/userAssignedIdentities/<user-assigned-managed-identity-name>"
   }
}

ユーザー割り当てマネージド ID 用に構成されたベクトライザーの例を次に示します。ベクトライザーは検索インデックス内で指定されます。

 "vectorizers": [
    {
      "name": "my_azure_open_ai_vectorizer",
      "kind": "azureOpenAI",
      "azureOpenAIParameters": {
        "resourceUri": "https://url.openai.azure.com",
        "deploymentId": "text-embedding-ada-002",
        "modelName": "text-embedding-ada-002"
        "authIdentity": {
            "@odata.type": "#Microsoft.Azure.Search.DataUserAssignedIdentity",
            "userAssignedIdentity": "/subscriptions/<subscription_id>/resourcegroups/<resource_group>/providers/Microsoft.ManagedIdentity/userAssignedIdentities/<user-assigned-managed-identity-name>"
          }
      }
    }
  ]

ファイアウォールアクセスを確認する

Azure リソースがファイアウォールの背後にある場合は、検索サービスからと Azure portal からの要求を許可する受信規則があることを確認します。

Azure Blob Storage または Azure Data Lake Storage Gen2 への同じリージョン接続の場合は、システムマネージド ID と信頼されたサービスの例外を使用します。必要に応じて、要求を許可するようにリソースインスタンスルールを構成できます。
その他のすべてのリソースと接続については、Azure AI 検索からの要求を許可する IP ファイアウォール規則を構成します。詳細については、「Azure ネットワークセキュリティ機能によって保護されたコンテンツへのインデクサーのアクセス」に関する記事を参照してください。

次の方法で共有

マネージド ID を使用して接続するように検索サービスを構成する

[前提条件]

サポートされているシナリオ

システム マネージド ID を作成する

ユーザー割り当てマネージド ID を作成する

ロールを割り当てる

接続文字列の例

モデルの接続例

ファイアウォール アクセスを確認する

こちらも参照ください

フィードバック

その他のリソース

システムマネージド ID を作成する

ファイアウォールアクセスを確認する