SAS トークンと Azure CLI を使用してプライベートの Resource Manager テンプレートをデプロイするDeploy private Resource Manager template with SAS token and Azure CLI

テンプレートがストレージ アカウントに存在する場合は、テンプレートへのアクセスを制限し、デプロイ時に Shared Access Signature (SAS) トークンを設定できます。When your template resides in a storage account, you can restrict access to the template and provide a shared access signature (SAS) token during deployment. このトピックでは、Azure PowerShell と Resource Manager テンプレートを使用して、デプロイ時に SAS トークンを設定する方法について説明します。This topic explains how to use Azure PowerShell with Resource Manager templates to provide a SAS token during deployment.

ストレージ アカウントにプライベートのテンプレートを追加するAdd private template to storage account

SAS トークンを使用したデプロイの際に、テンプレートをストレージ アカウントに追加し、リンクできます。You can add your templates to a storage account and link to them during deployment with a SAS token.

重要

次の手順に従うことにより、テンプレートを含む BLOB はアカウントの所有者だけがアクセスできるようになります。By following the steps below, the blob containing the template is accessible to only the account owner. ただし、BLOB の SAS トークンを作成すると、その URI を持つ誰もが BLOB にアクセスできるようになります。However, when you create a SAS token for the blob, the blob is accessible to anyone with that URI. もし別のユーザーが URI を傍受した場合、そのユーザーは、テンプレートにアクセスできます。If another user intercepts the URI, that user is able to access the template. SAS トークンの使用はテンプレートへのアクセスを制限する有効な方法ですが、パスワードのような機密データをテンプレートに直接含めないでください。Using a SAS token is a good way of limiting access to your templates, but you should not include sensitive data like passwords directly in the template.

次の例では、プライベート ストレージ アカウントのコンテナーを設定し、テンプレートをアップロードします。The following example sets up a private storage account container and uploads a template:

az group create --name "ManageGroup" --location "South Central US"
az storage account create \
    --resource-group ManageGroup \
    --location "South Central US" \
    --sku Standard_LRS \
    --kind Storage \
    --name {your-unique-name}
connection=$(az storage account show-connection-string \
    --resource-group ManageGroup \
    --name {your-unique-name} \
    --query connectionString)
az storage container create \
    --name templates \
    --public-access Off \
    --connection-string $connection
az storage blob upload \
    --container-name templates \
    --file vmlinux.json \
    --name vmlinux.json \
    --connection-string $connection

デプロイ時に SAS トークンを指定するProvide SAS token during deployment

ストレージ アカウントにプライベートのテンプレートをデプロイするため、SAS トークンを生成してテンプレートの URI に含めます。To deploy a private template in a storage account, generate a SAS token and include it in the URI for the template. デプロイの完了に必要な時間を確保できるように有効期限を設定します。Set the expiry time to allow enough time to complete the deployment.

expiretime=$(date -u -d '30 minutes' +%Y-%m-%dT%H:%MZ)
connection=$(az storage account show-connection-string \
    --resource-group ManageGroup \
    --name {your-unique-name} \
    --query connectionString)
token=$(az storage blob generate-sas \
    --container-name templates \
    --name vmlinux.json \
    --expiry $expiretime \
    --permissions r \
    --output tsv \
    --connection-string $connection)
url=$(az storage blob url \
    --container-name templates \
    --name vmlinux.json \
    --output tsv \
    --connection-string $connection)
az group deployment create --resource-group ExampleGroup --template-uri $url?$token

リンクされたテンプレートでの SAS トークン使用例については、「 Azure Resource Manager でのリンクされたテンプレートの使用」を参照してください。For an example of using a SAS token with linked templates, see Using linked templates with Azure Resource Manager.

次の手順Next steps