チュートリアル: .NET Web アプリからAzure サービスにアクセスする

マネージド ID を使用して Azure App Service で実行されている、サインインしているユーザーではなく、Web アプリから Azure Storage などの Azure サービスにアクセスする方法について説明します。 このチュートリアルでは、例としてAzure Storageに接続する方法について説明します。

このチュートリアルを使用して、マネージド ID をサポートしているすべてのサービス (次の図の B) に安全にアクセスできます。

• Azure Storage
• Azure SQL Database
• Azure Key Vault

Web アプリから、Azure Storage、Azure SQL Database、Azure Key Vault などの Azure サービスへのセキュリティで保護されたアクセスを追加する必要があります。 共有キーを使用することもできますが、その場合、シークレットを作成、デプロイ、および管理できるユーザーの運用上のセキュリティについて配慮する必要があります。 また、ハッカーがスキャン方法を知っているGitHubにキーをチェックインすることもできます。 Web アプリにデータへのアクセスを許可するより安全な方法では、マネージド ID を使用します。

Microsoft Entra IDのマネージド ID を使用すると、App Service は、アプリの資格情報を必要とせずに、ロールベースのアクセス制御 (RBAC) を介してリソースにアクセスできます。 マネージド ID を Web アプリに割り当てると、Azure によって証明書の作成と配布が行われます。 シークレットまたはアプリの資格情報の管理について心配する必要はありません。

このチュートリアルでは、以下の内容を学習します。

Azure アカウントがない場合は、開始する前に free アカウントを作成します。

前提条件

• Azure App Service で実行されている Web アプリケーション:

  • .NET クイックスタート
  • JavaScript のクイック スタート

アプリでマネージド ID を有効にする

Visual Studioを使用して Web アプリを作成して発行すると、アプリでマネージド ID が有効になりました。

1. アプリ サービスの左側のメニューで [ ID] を選択し、[ システム割り当て済み] を選択します。 [Status](状態) が [オン] に設定されていることを確認します。

   そうでない場合は、[ オン] を選択し、[ 保存] を選択します。 システム割り当てマネージド ID を有効にするには、確認ダイアログで [ はい] を選択します。 マネージド ID が有効になると、状態が [オン] に設定され、オブジェクト ID が使用可能になります。

   

2. この手順により、 [認証/承認] ペインで作成されたアプリ ID とは異なる新しいオブジェクト ID が作成されます。 システム割り当てマネージド ID のオブジェクト ID をコピーしておきます。 この情報は後で必要になります。

ストレージ アカウントとBlob Storage コンテナーを作成する

これで、ストレージ アカウントとBlob Storageコンテナーを作成する準備ができました。

すべてのストレージ アカウントは、Azure リソース グループに属している必要があります。 リソース グループは、Azure サービスの論理コンテナーです。 ストレージ アカウントを作成するときは、新しいリソース グループを作成するか、既存のリソース グループを使用できます。 この記事では、新しいリソース グループを作成する方法を示します。

汎用 v2 ストレージ アカウントは、BLOB、ファイル、キュー、テーブル、ディスクなど、すべてのAzure Storage サービスへのアクセスを提供します。 ここで説明する手順では汎用 v2 ストレージ アカウントを作成しますが、作成手順はどの種類のストレージ アカウントでも似ています。

Azure Storage内の BLOB はコンテナーに編成されます。 このチュートリアルの後半で BLOB をアップロードする前に、まずコンテナーを作成する必要があります。

Connect-AzAccount

$resourceGroup = "securewebappresourcegroup"
$location = "<location>"
$storageName="securewebappstorage"
$containerName = "securewebappblobcontainer"

$storageAccount = New-AzStorageAccount -ResourceGroupName $resourceGroup `
  -Name $storageName `
  -Location $location `
  -SkuName Standard_RAGRS `
  -Kind StorageV2

$ctx = $storageAccount.Context

New-AzStorageContainer -Name $containerName -Context $ctx -Permission blob

az login

az storage account create \
    --name securewebappstorage \
    --resource-group securewebappresourcegroup \
    --location <location> \
    --sku Standard_ZRS \
    --encryption-services blob

storageId=$(az storage account show -n securewebappstorage -g securewebappresourcegroup --query id --out tsv)

az ad signed-in-user show --query objectId -o tsv | az role assignment create \
    --role "Storage Blob Data Contributor" \
    --assignee @- \
    --scope $storageId

az storage container create \
    --account-name securewebappstorage \
    --name securewebappblobcontainer \
    --auth-mode login

ストレージ アカウントへのアクセスを許可する

BLOB の作成、読み取り、または削除を行う前に、ストレージ アカウントへのアクセスを Web アプリに許可する必要があります。 前のセクションでは、App Service で実行されている Web アプリをマネージド ID で構成しました。 Azure RBAC を使用すると、任意のセキュリティ プリンシパルと同様に、マネージド ID に別のリソースへのアクセス権を付与できます。

ストレージ BLOB データ共同作成者ロールは、システム割り当てマネージド ID で表される Web アプリに、BLOB コンテナーとデータへの読み取り、書き込み、削除のアクセス権を付与します。

$resourceGroup = "securewebappresourcegroup"
$webAppName="SecureWebApp20201102125811"
$storageName="securewebappstorage"

$spID = (Get-AzWebApp -ResourceGroupName $resourceGroup -Name $webAppName).identity.principalid
$storageId= (Get-AzStorageAccount -ResourceGroupName $resourceGroup -Name $storageName).Id
New-AzRoleAssignment -ObjectId $spID -RoleDefinitionName "Storage Blob Data Contributor" -Scope $storageId

spID=$(az resource list -n SecureWebApp20201102125811 --query [*].identity.principalId --out tsv)

storageId=$(az storage account show -n securewebappstorage -g securewebappresourcegroup --query id --out tsv)

az role assignment create --assignee $spID --role 'Storage Blob Data Contributor' --scope $storageId

BLOB ストレージにアクセス

DefaultAzureCredential クラスは、Azure Storageへの要求を承認するコードのトークン資格情報を取得するために使用されます。 DefaultAzureCredential クラスのインスタンスを作成します。これは、マネージド ID を使用し、トークンを取得してサービス クライアントにアタッチします。 次のコード例では、認証済みのトークン資格情報を取得し、それを使用して、新しい BLOB をアップロードするサービス クライアント オブジェクトを作成します。

サンプル アプリケーションの一部としてこのコードを確認するには、GitHub の サンプルを参照してください。

クライアント ライブラリ パッケージをインストールする

Blob Storage NuGet パッケージをインストールして、Blob Storageを操作し、Azure Identity クライアント ライブラリ for .NET NuGet パッケージをインストールしてMicrosoft Entra資格情報で認証します。 Visual Studioの .NET Core コマンド ライン インターフェイスまたは Package Manager コンソールを使用して、クライアント ライブラリをインストールします。

.NET Core コマンド ライン

1. コマンド ラインを開き、プロジェクト ファイルが含まれているディレクトリに切り替えます。

2. インストール コマンドを実行します。

   dotnet add package Azure.Storage.Blobs
   
   dotnet add package Azure.Identity
   

Package Manager コンソール

1. Visual Studioでプロジェクトまたはソリューションを開き、Tools>NuGet Package Manager>Package Manager Console コマンドを使用してコンソールを開きます。

2. インストール コマンドを実行します。

   Install-Package Azure.Storage.Blobs
   
   Install-Package Azure.Identity
   

.NET例

using System;
using Azure.Storage.Blobs;
using Azure.Storage.Blobs.Models;
using System.Collections.Generic;
using System.Threading.Tasks;
using System.Text;
using System.IO;
using Azure.Identity;

// Some code omitted for brevity.

static public async Task UploadBlob(string accountName, string containerName, string blobName, string blobContents)
{
    // Construct the blob container endpoint from the arguments.
    string containerEndpoint = string.Format("https://{0}.blob.core.windows.net/{1}",
                                                accountName,
                                                containerName);

    // Get a credential and create a client object for the blob container.
    BlobContainerClient containerClient = new BlobContainerClient(new Uri(containerEndpoint),
                                                                    new DefaultAzureCredential());

    try
    {
        // Create the container if it doesn't exist.
        await containerClient.CreateIfNotExistsAsync();

        // Upload text to a new block blob.
        byte[] byteArray = Encoding.ASCII.GetBytes(blobContents);

        using (MemoryStream stream = new MemoryStream(byteArray))
        {
            await containerClient.UploadBlobAsync(blobName, stream);
        }
    }
    catch (Exception e)
    {
        throw e;
    }
}

リソースをクリーンアップする

このチュートリアルを完了し、Web アプリや関連リソースが不要になった場合は、作成したリソースをクリーンアップします。

リソース グループを削除します

1. Azure portal で、Azure portal メニューから [リソース グループ] を選択し、App Service と App Service プランを含むリソース グループを選択します。

2. [リソース グループの削除] を選択して、リソース グループとすべてのリソースを削除します。

   

3. 確認するリソース グループの名前を入力します。

このプロセスの実行には数分かかる場合があります。

次の手順

このチュートリアルでは、次の作業を行う方法を学びました。