Microsoft Entra ID を使用した認証と認可

[アーティクル]
12/06/2023

この記事では、Microsoft Entra ID を使用して Azure Event Grid の発行クライアントを認証する方法について説明します。

概要

Microsoft ID プラットフォームは、Microsoft Entra ID を ID プロバイダーとして使用するリソースとアプリケーションに対して、統合された認証とアクセス制御の管理を提供します。 Microsoft ID プラットフォームを使用して、アプリケーションでの認証と認可のサポートを提供します。これは OAuth 2.0 や OpenID Connect などのオープンスタンダードに基づいており、多くの認証シナリオをサポートするツールやオープンソースのライブラリを提供しています。また、多要素認証を必要としたり、特定の場所からのアクセスを許可するなどのポリシーを設定できる条件付きアクセスなどの高度な機能も備えています。

Microsoft Entra ID を使用することで向上するセキュリティ体制上の利点は、認証キーなどの資格情報をコードやリポジトリに格納する必要がないことです。代わりに、保護されたリソースへの認証時にアプリケーションから提示される Microsoft ID プラットフォームから取得する OAuth 2.0 アクセストークンに依存します。イベント発行アプリケーションを Microsoft Entra ID に登録して、自分で管理および使用しているアプリに関連付けられたサービスプリンシパルを取得できます。代わりに、システム割り当てまたはユーザー割り当てのマネージド ID を使用すると、ID ライフサイクルの一部がユーザーに代わって管理されるため、さらにシンプルな ID 管理モデルになります。

ロールベースのアクセス制御 (RBAC) を使用すると、特定のセキュリティプリンシパル (ユーザー、グループ、またはアプリの ID) が Azure リソース上で操作を実行するための特定の権限を持つように、権限を設定することができます。この方法では、Event Grid にイベントを送信するクライアントアプリケーションが使用するセキュリティプリンシパルには、RBAC ロール EventGrid データ送信者が関連付けられている必要があります。

セキュリティプリンシパル

Event Grid の発行クライアントの認証には、大きく分けて 2 つのカテゴリのセキュリティプリンシパルがあります。

マネージド ID。マネージド ID には、Azure リソース上で有効にしてそのリソースのみに関連付けられるシステム割り当てと、明示的に作成して名前を付けるユーザー割り当てがあります。ユーザー割り当てマネージド ID は、複数のリソースに関連付けることが可能です。
アプリケーションセキュリティプリンシパル。セキュリティプリンシパルの一種で、Microsoft Entra ID によって保護されているリソースにアクセスするアプリケーションを表します。

使用されるセキュリティプリンシパル、マネージド ID、またはアプリケーションセキュリティプリンシパルに関わらず、クライアントはその ID を使用して Microsoft Entra ID の前に認証を行い、Event Grid にイベントを送信するときに要求と一緒に送信される OAuth 2.0 アクセストークンを取得します。このトークンは暗号で署名され、Event Grid で受け取られた後、トークンが検証されます。例えば、対象ユーザー (トークンの意図する受信者) が Event Grid (https://eventgrid.azure.net) であることなどが確認されます。トークンには、クライアント ID に関する情報が含まれます。 Event Grid はその ID を受け取り、クライアントに EventGrid データ送信者というロールが割り当てられているか検証します。より正確には、Event Grid は、イベント発行要求の完了を許可する前に、ID に関連付けられた RBAC ロールで Microsoft.EventGrid/events/send/action のアクセス許可を持っていることを検証します。

Event Grid SDK を使用している場合、アクセストークンの取得をどのように実装するか、また Event Grid へのすべての要求にそれをどのように含めるかといった詳細については、Event Grid データプレーン SDK が行うため、ユーザーがこれについて心配する必要はありません。

Microsoft Entra 認証を使用するためのクライアント構成手順

トピック、ドメイン、またはパートナーの名前空間にイベントを送信する際に Microsoft Entra 認証を使用するようクライアントを構成するには、次の手順を実行します。

認証に使用するセキュリティプリンシパルを作成または使用します。マネージド ID またはアプリケーションサービスプリンシパルを使用することができます。
EventGrid データ送信者ロールをセキュリティプリンシパルに割り当て、セキュリティプリンシパルにアクセス許可を付与してイベントを発行します。
Event Grid SDK を使用して、Event Grid にイベントを発行します。

マネージド ID を使用して認証する

マネージド ID は、Azure リソースに関連付けられている ID です。マネージド ID は、Microsoft Entra 認証をサポートしている Azure リソースの使用時にアプリケーションが使用する ID を提供します。アプリケーションでは、仮想マシンや Azure App サービスなどのホスティングリソースのマネージド ID を使用して、Event Grid にイベントを発行する際に要求とともに提示される Microsoft Entra トークンを取得することができます。アプリケーションが接続されると、Event Grid によってマネージドエンティティのコンテキストがクライアントにバインドされます。マネージド ID に関連付けられると、Event Grid の発行クライアントは承認済みのすべての操作を実行できます。承認は、マネージドエンティティを Event Grid RBAC ロールに関連付けることで付与されます。

マネージド ID により、Microsoft Entra ID で自動的に管理される ID が Azure サービスに提供されます。他の認証方法とは異なり、ID 自体やアクセスする必要があるリソースに対して、アクセスキーや Shared Access Signatures (SAS) をアプリケーションコードや構成に格納して保護する必要はありません。

マネージド ID を使用してイベント発行クライアントを認証するには、まず、クライアントアプリケーションのホスティング Azure サービスを決定してから、その Azure サービスインスタンスでシステム割り当てまたはユーザー割り当てマネージド ID を有効にしてください。例えば、VM、Azure App Service、または Azure Functions でマネージド ID を有効にすることができます。

ホスティングサービスでマネージド ID を構成したら、その ID にイベントを発行するアクセス許可を割り当てます。

クライアントアプリケーションのセキュリティプリンシパルを使用して認証する

マネージド ID の他にも、別の ID オプションとして、クライアントアプリケーションのセキュリティプリンシパルを作成することもできます。その目的で、お使いのアプリケーションを Microsoft Entra ID に登録する必要があります。アプリケーションを登録することは、ID とアクセス管理の制御を Microsoft Entra ID に委任するという意思表示です。「アプリケーションを登録する」セクションと「クライアントシークレットの追加」セクションの手順に従います。開始前に前提条件を確認するようにしてください。

アプリケーションセキュリティプリンシパルを作成し、上記の手順に従ったら、その ID にイベントを発行するアクセス許可を割り当てます。

注意

ポータルでアプリケーションを登録すると、ホームテナントにアプリケーションオブジェクトとサービスプリンシパルが自動的に作成されます。または、Microsoft Graph を使用アプリケーションを登録することもできます。ただし、Microsoft Graph API を使用してアプリケーションを登録または作成する場合、サービスプリンシパルオブジェクトの作成は別の手順で行います。

セキュリティプリンシパルにアクセス許可を割り当ててイベントを発行する

イベントを Event Grid に発行するために使用する ID には、イベントを Event Grid に送信することを許可する Microsoft.EventGrid/events/send/action アクセス許可が付与されている必要があります。このアクセス許可は、組み込みの RBAC ロール Event Grid データ送信者に含まれています。このロールは、セキュリティプリンシパル、特定のスコープ (管理グループ、Azure サブスクリプション、リソースグループ、または特定の Event Grid トピックなど)、ドメイン、またはパートナー名前空間に割り当てることができます。 Azure ロールの割り当てに関するページの手順に従って EventGrid データ送信者ロールをセキュリティプリンシパルに割り当て、そのセキュリティプリンシパルを使用するアプリケーションにイベントを送信するためのアクセスを許可します。または、Microsoft.EventGrid/events/send/action アクセス許可を含むカスタムロールを定義し、そのカスタムロールをセキュリティプリンシパルに割り当てることもできます。

RBAC のアクセス許可の準備ができたので、これでイベントを Event Grid に送信するクライアントアプリケーションを構築することができるようになりました。

注意

Event Grid では、イベントの送信だけでなく、様々な RBAC ロールがサポートされています。詳細については、Event Grid の組み込みロールに関するページを参照してください。

Event Grid のクライアント SDK を使用してイベントを発行する

Event Grid データプレーン SDK を使用して、Event Grid にイベントを発行します。 Event Grid SDK では、Microsoft Entra 認証を含むすべての認証方法がサポートされています。

.NET SDK を使用して Event Grid にイベントを発行するサンプルコードを以下に示します。トピックエンドポイントの情報は、Azure portal で、Event Grid トピックの [概要] ページから取得できます。これは、https://<TOPIC-NAME>.<REGION>-1.eventgrid.azure.net/api/events という形式になっています。

ManagedIdentityCredential managedIdentityCredential = new ManagedIdentityCredential();
EventGridPublisherClient client = new EventGridPublisherClient( new Uri("<TOPIC ENDPOINT>"), managedIdentityCredential);


EventGridEvent egEvent = new EventGridEvent(
        "ExampleEventSubject",
        "Example.EventType",
        "1.0",
        "This is the event data");

// Send the event
await client.SendEventAsync(egEvent);

前提条件

Event Grid に対する認証を行うための前提条件は以下の通りです。

アプリケーションに SDK をインストールします。
- Java
- .NET
- JavaScript
- Python
Azure ID クライアントライブラリをインストールします。 Event Grid SDK では、認証に Azure ID クライアントライブラリを使用しています。
アプリケーションが送信するイベントの送信先のトピック、ドメイン、またはパートナー名前空間が作成されていること。

Microsoft Entra 認証を使用してイベントを発行する

イベントをトピック、ドメイン、またはパートナー名前空間に送信するには、次のようにクライアントを構築します。 Microsoft Entra 認証のサポートが初めて提供された API のバージョンは 2018-01-01 です。アプリケーションでは、その API バージョン、またはより新しいバージョンを使用します。

サンプル:

この C# スニペットでは、クライアントシークレットを持つアプリケーション (サービスプリンシパル) を使用して Event Grid パブリッシャークライアントを作成します。DefaultAzureCredential メソッドを有効にするには Azure.Identity ライブラリを追加する必要があります。公式 SDK を使用している場合は、SDK によってバージョンが処理されます。

Environment.SetEnvironmentVariable("AZURE_CLIENT_ID", "");
Environment.SetEnvironmentVariable("AZURE_TENANT_ID", "");
Environment.SetEnvironmentVariable("AZURE_CLIENT_SECRET", "");

EventGridPublisherClient client = new EventGridPublisherClient(new Uri("your-event-grid-topic-domain-or-partner-namespace-endpoint"), new DefaultAzureCredential());

詳細については、次の記事を参照してください。

キーと Shared Access Signature 認証の無効化

Microsoft Entra 認証は、アクセスキーや Shared Access Signature (SAS) トークン認証よりも優れた認証サポートを提供します。 Microsoft Entra 認証では、ID は Microsoft Entra ID プロバイダーに対して検証されます。 Microsoft Entra 認証を使用する場合、開発者がコード内のキーを処理する必要はありません。 Microsoft ID プラットフォームに組み込みのすべてのセキュリティ機能 (条件付きアクセスなど) の恩恵を受けることもでき、アプリケーションのセキュリティスタンスを向上させることができます。

Microsoft Entra 認証を使用すると決定したら、アクセスキーや SAS トークンに基づく認証を無効にできます。

Note

アクセスキーまたは SAS トークン認証は、ローカル認証の一種です。 Microsoft Entra ID に依存しないこのような種類の認証メカニズムについて話をする際に、"ローカル認証" という言葉を耳にすることがあります。ローカル認証を無効にするための API パラメーターは、適切には disableLocalAuth と呼ばれています。

Azure portal

新しいトピックを作成するときに、[トピックの作成] ページの [詳細設定] タブでローカル認証を無効にできます。

Screenshot showing the Advanced tab of Create Topic page when you can disable local authentication.

既存のトピックの場合は、次の手順に従ってローカル認証を無効にします:

トピックのEvent Grid トピックページに移動し、[ローカル認証] で [有効] を選択します
[ローカル認証] ポップアップウィンドウで、[無効] を選択し、[OK]を選択します。

Azure CLI

次の CLI コマンドは、ローカル認証が無効になっているカスタムトピックを作成する方法を示しています。ローカル認証の無効化機能は現在プレビューとして使用でき、これには API バージョン 2021-06-01-preview を使用する必要があります。

az resource create --subscription <subscriptionId> --resource-group <resourceGroup> --resource-type Microsoft.EventGrid/topics --api-version 2021-06-01-preview --name <topicName> --location <location> --properties "{ \"disableLocalAuth\": true}"

参考までに、作成または更新するトピックに応じて使用できるリソースの種類の値を以下に示します。

トピックの種類	リソースの種類
ドメイン	Microsoft.EventGrid/domains
パートナー名前空間	Microsoft.EventGrid/partnerNamespaces
カスタムトピック	Microsoft.EventGrid/topics

Azure PowerShell

PowerShell を使用している場合は、次のコマンドレットを使用して、ローカル認証を無効にしたカスタムトピックを作成します。


Set-AzContext -SubscriptionId <SubscriptionId>

New-AzResource -ResourceGroupName <ResourceGroupName> -ResourceType Microsoft.EventGrid/topics -ApiVersion 2021-06-01-preview -ResourceName <TopicName> -Location <Location> -Properties @{disableLocalAuth=$true}

注意

アクセスキーまたは Shared Access Signature 認証の使用に関する詳細については、キーまたは SAS トークンを使用してクライアントを発行する認証に関する記事を参照してください
この記事では、イベントを Event Grid に発行する (イベントイングレス) 際の認証について説明します。イベントを配信する際の Event Grid の認証 (イベントエグレス) については、イベンドハンドラーへのイベント配信の認証に関する記事を参照してください。

リソース

データプレーン SDK
- Java SDK: GitHub | サンプル | 以前の SDK バージョンからの移行ガイド
- .NET SDK: GitHub | サンプル | 以前の SDK バージョンからの移行ガイド
- Python SDK: GitHub | サンプル | 以前の SDK バージョンからの移行ガイド
- JavaScript SDK: GitHub | サンプル | 以前の SDK バージョンからの移行ガイド
Event Grid SDK ブログ
Azure ID クライアントライブラリ
- Java
- .NET
- Python
- JavaScript
マネージド ID について確認する
「App Service と Azure Functions でマネージド ID を使用する方法」を確認する
アプリケーションとサービスプリンシパルについて確認する
Microsoft ID プラットフォームにアプリケーションを登録する方法について説明します。
承認 (RBAC アクセス制御) のしくみについて説明します。
Event Grid データ送信者ロールを含め Event Grid の組み込み RBAC ロールについて確認します。 Event Grid のロールの一覧。
RBAC ロールを ID に割り当てる方法について説明します。
カスタム RBAC ロールを定義する方法について説明します。
Microsoft Entra ID のアプリケーションおよびサービスプリンシパルオブジェクトについて確認します。
「Microsoft ID プラットフォームアクセストークン」について説明します。
OAuth 2.0 認証コードフローと Microsoft ID プラットフォームについて説明します