マネージド ID アクセスをアプリケーションロールに割り当てる

2025-04-30

Azure リソースのマネージド ID により、Microsoft Entra ID の ID が Azure サービスに提供されます。それらが動作するためにコード内の資格情報は必要ありません。この ID は、Microsoft Entra 認証をサポートするサービスへの認証を行うために、Azure サービスによって使用されます。アプリケーションロールによってロールベースのアクセス制御の形式が提供され、サービスで承認規則を実装できます。

注

アプリケーションが受け取るトークンは、基になるインフラストラクチャによってキャッシュされます。これは、マネージド ID のロールに対して変更を加える際、処理にかなりの時間がかかる可能性があることを意味します。詳細については、「承認にマネージド ID を使用する制限事項」を参照してください。

この記事では、 Microsoft Graph PowerShell SDK または Azure CLI を使用して、別のアプリケーションによって公開されるアプリケーションロールにマネージド ID を割り当てる方法について説明します。

前提条件

Azure リソースのマネージド ID に慣れていない場合は、Azure リソースのマネージド ID の概要に関するページを参照してください。
システム割り当てマネージド ID とユーザー割り当てマネージド ID の違いを確認します。
Azure アカウントをまだお持ちでない場合は、続行する前に無料アカウントにサインアップしてください。

PowerShell を使用してマネージド ID アクセスを別のアプリケーションのアプリロールに割り当てる

サンプルスクリプトを実行するには、次の 2 つのオプションがあります。

コードブロックの右上隅にある [試してみる] ボタンを使用して開くことができる Azure Cloud Shell を使用します。
最新バージョンの Microsoft Graph PowerShell SDK をインストールして、スクリプトをローカルで実行します。

Azure VM などの Azure リソースでマネージド ID を有効にします。
マネージド ID のサービスプリンシパルのオブジェクト ID を調べます。

システム割り当てマネージド ID の場合、Azure portal のリソースの [ID] ページでオブジェクト ID を見つけることができます。次の PowerShell スクリプトを使用して、オブジェクト ID を調べることもできます。手順 1 で作成したリソースのリソース ID が必要です。リソースの [プロパティ ] ページの Azure portal で使用できます。
```
$resourceIdWithManagedIdentity = '/subscriptions/{my subscription ID}/resourceGroups/{my resource group name}/providers/Microsoft.Compute/virtualMachines/{my virtual machine name}'
(Get-AzResource -ResourceId $resourceIdWithManagedIdentity).Identity.PrincipalId
```
ユーザー割り当てマネージド ID の場合、Azure portal のリソースの [概要 ] ページでマネージド ID のオブジェクト ID を見つけることができます。次の PowerShell スクリプトを使用して、オブジェクト ID を調べることもできます。ユーザー割り当てのマネージド ID のリソース ID が必要になります。
```
$userManagedIdentityResourceId = '/subscriptions/{my subscription ID}/resourceGroups/{my resource group name}/providers/Microsoft.ManagedIdentity/userAssignedIdentities/{my managed identity name}'
(Get-AzResource -ResourceId $userManagedIdentityResourceId).Properties.PrincipalId
```
マネージド ID から要求を送信するサービスを表す新しいアプリケーション登録を作成します。
- マネージド ID に対してアプリロールの付与を公開している API またはサービスのサービスプリンシパルが Microsoft Entra テナントに既にある場合は、このステップをスキップします。たとえば、マネージド ID アクセスを Microsoft Graph API に付与する場合です。
サービスアプリケーションのサービスプリンシパルのオブジェクト ID を調べます。これは、 Microsoft Entra 管理センターを使用して確認できます。
- Microsoft Entra 管理センターにサインインします。左側のナビゲーションブレードで、 Entra ID>Enterprise アプリを選択します。次に、アプリケーションを見つけて 、オブジェクト ID を探します。
- 次の PowerShell スクリプトを使用して、サービスプリンシパルのオブジェクト ID を表示名で検索することもできます。
```
$serverServicePrincipalObjectId = (Get-MgServicePrincipal -Filter "DisplayName eq '$applicationName'").Id
```
注

アプリケーションの表示名は一意ではないため、取得したサービスプリンシパルが適切なアプリケーションのものであることを確認する必要があります。

前の手順で作成したアプリケーションにアプリロールを追加します。ロールは、Azure portal または Microsoft Graph を使用して作成できます。

たとえば、 Graph エクスプローラーで次のクエリを実行して、アプリロールを追加できます。

PATCH /applications/{id}/

{
    "appRoles": [
        {
            "allowedMemberTypes": [
                "User",
                "Application"
            ],
            "description": "Read reports",
            "id": "00001111-aaaa-2222-bbbb-3333cccc4444",
            "displayName": "Report reader",
            "isEnabled": true,
            "value": "report.read"
        }
    ]
}

アプリロールをマネージド ID に割り当てます。アプリロールを割り当てるには、次の情報が必要です。
- managedIdentityObjectId: マネージド ID のサービスプリンシパルのオブジェクト ID。前のステップで確認しました。
- serverServicePrincipalObjectId: サーバーアプリケーションのサービスプリンシパルのオブジェクト ID。ステップ 4 で確認しました。
- appRoleId: サーバーアプリによって公開されるアプリロールの ID。ステップ 5 で生成しました。この例では、アプリロール ID は 00000000-0000-0000-0000-000000000000 です。
- 次の PowerShell コマンドを実行して、ロールの割り当てを追加します。
```
New-MgServicePrincipalAppRoleAssignment `
    -ServicePrincipalId $serverServicePrincipalObjectId `
    -PrincipalId $managedIdentityObjectId `
    -ResourceId $serverServicePrincipalObjectId `
    -AppRoleId $appRoleId
```

完全なサンプルスクリプト

このスクリプトの例は、Azure Web アプリのマネージド ID をアプリロールに割り当てる方法を示したものです。

# Install the module.
# Install-Module Microsoft.Graph -Scope CurrentUser

# Your tenant ID (in the Azure portal, under Azure Active Directory > Overview).
$tenantID = '<tenant-id>'

# The name of your web app, which has a managed identity that should be assigned to the server app's app role.
$webAppName = '<web-app-name>'
$resourceGroupName = '<resource-group-name-containing-web-app>'

# The name of the server app that exposes the app role.
$serverApplicationName = '<server-application-name>' # For example, MyApi

# The name of the app role that the managed identity should be assigned to.
$appRoleName = '<app-role-name>' # For example, MyApi.Read.All

# Look up the web app's managed identity's object ID.
$managedIdentityObjectId = (Get-AzWebApp -ResourceGroupName $resourceGroupName -Name $webAppName).identity.principalid

Connect-MgGraph -TenantId $tenantId -Scopes 'Application.Read.All','Application.ReadWrite.All','AppRoleAssignment.ReadWrite.All','Directory.AccessAsUser.All','Directory.Read.All','Directory.ReadWrite.All'

# Look up the details about the server app's service principal and app role.
$serverServicePrincipal = (Get-MgServicePrincipal -Filter "DisplayName eq '$serverApplicationName'")
$serverServicePrincipalObjectId = $serverServicePrincipal.Id
$appRoleId = ($serverServicePrincipal.AppRoles | Where-Object {$_.Value -eq $appRoleName }).Id

# Assign the managed identity access to the app role.
New-MgServicePrincipalAppRoleAssignment `
    -ServicePrincipalId $serverServicePrincipalObjectId `
    -PrincipalId $managedIdentityObjectId `
    -ResourceId $serverServicePrincipalObjectId `
    -AppRoleId $appRoleId

CLI を使用してマネージド ID アクセスを別のアプリケーションのアプリロールに割り当てる

Azure Cloud Shell で Bash 環境を使用します。詳細については、「 Azure Cloud Shell の概要」を参照してください。
CLI 参照コマンドをローカルで実行する場合は、Azure CLI をインストールします。 Windows または macOS で実行している場合は、Docker コンテナーで Azure CLI を実行することを検討してください。詳細については、「 Docker コンテナーで Azure CLI を実行する方法」を参照してください。
- ローカルインストールを使用している場合は、 az login コマンドを使用して Azure CLI にサインインします。認証プロセスを完了するには、ターミナルに表示される手順に従います。その他のサインインオプションについては、「 Azure CLI を使用した Azure への認証」を参照してください。
- 初回使用時にインストールを求められたら、Azure CLI 拡張機能をインストールします。拡張機能の詳細については、「 Azure CLI での拡張機能の使用と管理」を参照してください。
- az version を実行して、インストールされているバージョンと依存ライブラリを見つけます。最新バージョンにアップグレードするには、 az upgrade を実行します。

Azure 仮想マシンなどの Azure リソースでマネージド ID を有効にします。
マネージド ID のサービスプリンシパルのオブジェクト ID を調べます。
- システム割り当てマネージド ID の場合、Azure portal のリソースの [ID] ページでオブジェクト ID を見つけることができます。
- 次のスクリプトを使用してオブジェクト ID を調べることもできます。前の手順で作成したリソースのリソース ID が必要です。これは、リソースの [プロパティ ] ページの Azure portal で使用できます。
```
resourceIdWithManagedIdentity="/subscriptions/{my subscription ID}/resourceGroups/{my resource group name}/providers/Microsoft.Compute/virtualMachines/{my virtual machine name}"

oidForMI=$(az resource show --ids $resourceIdWithManagedIdentity --query "identity.principalId" -o tsv | tr -d '[:space:]')
echo "object id for managed identity is: $oidForMI"
```
- ユーザー割り当てマネージド ID の場合、Azure portal のリソースの [概要 ] ページでマネージド ID のオブジェクト ID を見つけることができます。次のスクリプトを使用してオブジェクト ID を調べることもできます。ユーザー割り当てのマネージド ID のリソース ID が必要になります。
```
userManagedIdentityResourceId="/subscriptions/{my subscription ID}/resourceGroups/{my resource group name}/providers/Microsoft.ManagedIdentity/userAssignedIdentities/{my managed identity name}"

oidForMI=$(az resource show --id $userManagedIdentityResourceId --query "properties.principalId" -o tsv | tr -d '[:space:]')
echo "object id for managed identity is: $oidForMI"
```
マネージド ID が要求を送信するサービスを表す新しいアプリケーション登録を作成します。
- マネージド ID に対してアプリロールの付与を公開している API またはサービスのサービスプリンシパルが Microsoft Entra テナントに既にある場合は、このステップをスキップします。
サービスアプリケーションのサービスプリンシパルのオブジェクト ID を調べます。これは、 Microsoft Entra 管理センターを使用して確認できます。
- Microsoft Entra 管理センターにサインインします。左側のナビゲーションブレードで、 Entra ID>Enterprise アプリを選択します。次に、アプリケーションを見つけて 、オブジェクト ID を探します。
- 次のスクリプトを使用して、サービスプリンシパルのオブジェクト ID を表示名で検索することもできます。
```
appName="{name for your application}"
serverSPOID=$(az ad sp list --filter "displayName eq '$appName'" --query '[0].id' -o tsv | tr -d '[:space:]')
echo "object id for server service principal is: $serverSPOID"
```
注

アプリケーションの表示名は一意ではないため、取得したサービスプリンシパルが適切なアプリケーションのものであることを確認する必要があります。

または、アプリケーション登録用の一意のアプリケーション ID でオブジェクト ID を見つけることができます。
```
appID="{application id for your application}"
serverSPOID=$(az ad sp list --filter "appId eq '$appID'" --query '[0].id' -o tsv | tr -d '[:space:]')
echo "object id for server service principal is: $serverSPOID"
```

前の手順で作成したアプリケーションにアプリロールを追加します。ロールは、Azure portal または Microsoft Graph を使用して作成できます。たとえば、次のようなアプリロールを追加できます。

{
    "allowedMemberTypes": [
        "Application"
    ],
    "displayName": "Read data from MyApi",
    "id": "00001111-aaaa-2222-bbbb-3333cccc4444",
    "isEnabled": true,
    "description": "Allow the application to read data as itself.",
    "value": "MyApi.Read.All"
}

アプリロールをマネージド ID に割り当てます。アプリロールを割り当てるには、次の情報が必要です。
- managedIdentityObjectId: マネージド ID のサービスプリンシパルのオブジェクト ID。ステップ 2 で確認しました。
- serverServicePrincipalObjectId: サーバーアプリケーションのサービスプリンシパルのオブジェクト ID。ステップ 4 で確認しました。
- appRoleId: サーバーアプリによって公開されるアプリロールの ID。ステップ 5 で生成しました。この例では、アプリロール ID は 00000000-0000-0000-0000-000000000000 です。

次のスクリプトを実行してロールの割り当てを追加します。この機能は Azure CLI では直接公開されておらず、ここでは代わりに、REST コマンドが使用されています。

roleguid="00000000-0000-0000-0000-000000000000"
az rest -m POST -u https://graph.microsoft.com/v1.0/servicePrincipals/$oidForMI/appRoleAssignments -b "{\"principalId\": \"$oidForMI\", \"resourceId\": \"$serverSPOID\",\"appRoleId\": \"$roleguid\"}"

次のステップ

Azure リソースのマネージド ID の概要
Azure VM でマネージド ID を有効にするには、「Azure VM で Azure リソースのマネージド ID を構成する」を参照してください。

次の方法で共有

マネージド ID アクセスをアプリケーション ロールに割り当てる

前提条件

PowerShell を使用してマネージド ID アクセスを別のアプリケーションのアプリ ロールに割り当てる

完全なサンプル スクリプト

CLI を使用してマネージド ID アクセスを別のアプリケーションのアプリ ロールに割り当てる

次のステップ

フィードバック

その他のリソース

マネージド ID アクセスをアプリケーションロールに割り当てる

PowerShell を使用してマネージド ID アクセスを別のアプリケーションのアプリロールに割り当てる

完全なサンプルスクリプト

CLI を使用してマネージド ID アクセスを別のアプリケーションのアプリロールに割り当てる