比較: Microsoft Entra SDK for Agent ID と In-Process Microsoft。Identity.Web

このガイドは、アプリケーションで認証を処理する際の Microsoft Entra SDK for Agent ID とインプロセスの Microsoft.Identity.Web ライブラリの違いを特定するのに役立ちます。 Microsoft。Identity.Web ライブラリは、パフォーマンスを最大化するために、.NET アプリケーションに直接統合されます。 Microsoft Entra SDK for Agent ID は個別のコンテナーとして実行され、HTTP API を介して任意のプログラミング言語をサポートします。 適切なアプローチの選択は、アプリケーションのアーキテクチャ、言語、デプロイ環境によって異なります。

アーキテクチャの違い

基本的な違いは、 認証ロジックが実行される場所にあります。 Microsoft。Identity.Web は、アプリケーション プロセス内で実行されます。 Microsoft Entra SDK for Agent ID は、アプリケーションと共に独立したサービスとして動作します。 このアーキテクチャの選択は、開発ワークフローや運用の複雑さなどの要因に影響します。

Microsoft.Identity.Web (インプロセス)

このコードスニペットは、Microsoft.Identity.Web が ASP.NET Core アプリケーションにどのように直接統合されるかを示しています。

// Startup configuration
services.AddMicrosoftIdentityWebApiAuthentication(Configuration)
    .EnableTokenAcquisitionToCallDownstreamApi()
    .AddDownstreamApi("Graph", Configuration.GetSection("DownstreamApis:Graph"))
    .AddInMemoryTokenCaches();

// Usage in controller
public class MyController : ControllerBase
{
    private readonly IDownstreamApi _downstreamApi;
    
    public MyController(IDownstreamApi downstreamApi)
    {
        _downstreamApi = downstreamApi;
    }
    
    public async Task<ActionResult> GetUserData()
    {
        var user = await _downstreamApi.GetForUserAsync<User>("Graph", 
            options => options.RelativePath = "me");
        return Ok(user);
    }
}

Microsoft Entra SDK for Agent ID (アウトオブプロセス)

このコード スニペットは、HTTP を使用して Node.js アプリケーションから Microsoft Entra SDK for Agent ID を呼び出す方法を示しています。 SDK の /DownstreamApi エンドポイントへの呼び出しは、 Authorization ヘッダーで OBO フローの受信トークンを渡すなど、トークンの取得とダウンストリーム API 呼び出しを処理します。

// Configuration
const SidecarUrl = process.env.SIDECAR_URL || "http://localhost:5000";

// Usage in application
async function getUserData(incomingToken: string) {
  const response = await fetch(
    `${SidecarUrl}/DownstreamApi/Graph?optionsOverride.RelativePath=me`,
    {
      headers: {
        'Authorization': `Bearer ${incomingToken}`
      }
    }
  );
  
  const result = await response.json();
  return JSON.parse(result.content);
}

機能の比較

各アプローチを使用するタイミング

Microsoft.Identity.WebとMicrosoft Entra SDK for Agent IDのどちらを選択するかは、アプリケーションの要件、アーキテクチャ、およびデプロイメント戦略によって異なります。 ニーズに応じて、一方のアプローチが他のアプローチよりも適している場合があります。 次のガイドラインは、情報に基づいた意思決定を行う際に役立ちます。

移行ガイダンス

AgentIDのためにMicrosoft.Identity.WebからMicrosoft Entra SDKへ移行

特定のシナリオでは、Microsoft.Identity.Web を使用する既存の .NET アプリケーションを、認証のために Microsoft Entra SDK for Agent ID を活用する形で移行したい場合があります。 移行の理由としては、複数言語アーキテクチャの採用、サービス間での認証の標準化、コンテナー化されたデプロイ モデルへの移行などがあります。

この変更を行う前に、慎重な検討と計画が必要です。 このセクションでは、アプリケーションの移行に役立つコード例を含む高度な移行パスを示します。

手順 1: SDK コンテナーをデプロイする

まず、SDK コンテナーをポッドに追加します。

# Before: Single ASP.NET Core container
containers:
- name: app
  image: myregistry/myapp:latest

# After: App + Microsoft Entra SDK for AgentID
containers:
- name: app
  image: myregistry/myapp:latest
  env:
  - name: SIDECAR_URL
    value: "http://localhost:5000"

- name: sidecar
  image: mcr.microsoft.com/entra-sdk/auth-sidecar:1.0.0
  env:
  - name: AzureAd__TenantId
    value: "your-tenant-id"
  - name: AzureAd__ClientId
    value: "your-client-id"

手順 2: 構成を移行する

次に、 appsettings.json から環境変数に構成を転送します。

Before (appsettings.json)

{
  "AzureAd": {
    "Instance": "https://login.microsoftonline.com/",
    "TenantId": "your-tenant-id",
    "ClientId": "your-client-id"
  },
  "DownstreamApis": {
    "Graph": {
      "BaseUrl": "https://graph.microsoft.com/v1.0",
      "Scopes": "User.Read Mail.Read", 
      "RelativePath": "/me"
    }
  }
}

After (Kubernetes ConfigMap / 環境変数)

apiVersion: v1
kind: ConfigMap
metadata:
  name: sidecar-config
data:
  AzureAd__Instance: "https://login.microsoftonline.com/"
  AzureAd__TenantId: "your-tenant-id"
  AzureAd__ClientId: "your-client-id"
  DownstreamApis__Graph__BaseUrl: "https://graph.microsoft.com/v1.0"
  DownstreamApis__Graph__Scopes: "User.Read Mail.Read"
  DownstreamApis__Graph__RelativePath: "/me"

手順 3: アプリケーション コードを更新する

Microsoft.Identity.Web へのインプロセス呼び出しのすべてのインスタンスを見つけ、エージェント ID エンドポイントに対する Microsoft Entra SDK への HTTP 呼び出しに置き換えます。

（IDownstreamApiを使用するC#の）前の状態：

public class UserController : ControllerBase
{
    private readonly IDownstreamApi _downstreamApi;
    
    public UserController(IDownstreamApi downstreamApi)
    {
        _downstreamApi = downstreamApi;
    }
    
    [HttpGet]
    public async Task<ActionResult<User>> GetMe()
    {
        var user = await _downstreamApi.GetForUserAsync<User>(
            "Graph",
            options => options.RelativePath = "me"
        );
        return Ok(user);
    }
}

After (HTTP クライアントを使用する任意の言語):

次のスニペットでは、/DownstreamApi エンドポイントを使用して Microsoft Entra SDK for Agent ID を呼び出してユーザー データを取得します。 例は、C# と TypeScript で提供されています。

public class UserController : ControllerBase
{
    private readonly HttpClient _httpClient;
    private readonly string _SidecarUrl;
    
    public UserController(IHttpClientFactory httpClientFactory, IConfiguration config)
    {
        _httpClient = httpClientFactory.CreateClient();
        _SidecarUrl = config["SIDECAR_URL"];
    }
    
    [HttpGet]
    public async Task<ActionResult<User>> GetMe()
    {
        var inboundAuthorizationHeader = Request.Headers["Authorization"].ToString();
        // this validates the inbound authorization header and calls the downstream API.
        // If you don't call a downstream API, Do validate the inbound authorization header 
        // (calling the /Validate endpoint)
        var request = new HttpRequestMessage(
            HttpMethod.Get,
            $"{_SidecarUrl}/DownstreamApi/Graph?optionsOverride.RelativePath=me"
        );
        request.Headers.Add("Authorization", inboundAuthorizationHeader);
        
        var response = await _httpClient.SendAsync(request);
        var result = await response.Content.ReadFromJsonAsync<SidecarResponse>();
        var user = JsonSerializer.Deserialize<User>(result.Content);
        return Ok(user);
    }
}

TypeScript

TypeScript には、次のように同じロジックを実装できます。

export async function getMe(incomingToken: string): Promise<User> {
  const SidecarUrl = process.env.SIDECAR_URL!;
  
  const response = await fetch(
    `${SidecarUrl}/DownstreamApi/Graph?optionsOverride.RelativePath=me`,
    {
      headers: {
        'Authorization': incomingToken
      }
    }
  );
  
  const result = await response.json();
  return JSON.parse(result.content) as User;
}

手順 4: Microsoft.Identity.Web の依存関係を削除する

以前の手順を完了したら、プロジェクトから Microsoft.Identity.Web の NuGet パッケージを削除して、アプリケーションを整理します。

<!-- Remove these from .csproj -->
<PackageReference Include="Microsoft.Identity.Web" Version="..." />
<PackageReference Include="Microsoft.Identity.Web.MicrosoftGraph" Version="..." />
<PackageReference Include="Microsoft.Identity.Web.DownstreamApi" Version="..." />

それでもアプリでトークンを検証する場合は、元の認証構成を削除する必要はありません。 代わりに、Microsoft Entra SDK for AgentID に検証を完全に委任できます。

// Remove from Program.cs or Startup.cs
services.AddMicrosoftIdentityWebApiAuthentication(Configuration)
    .EnableTokenAcquisitionToCallDownstreamApi()
    .AddDownstreamApi("Graph", Configuration.GetSection("DownstreamApis:Graph"))
    .AddInMemoryTokenCaches();

手順 5: テストと検証

1. 単体テスト: SDK への HTTP 呼び出しをモックするようにテストを更新します。
2. 統合テスト: ステージングで SDK 通信をテストします。
3. パフォーマンス テスト: HTTP オーバーヘッドへの影響を測定します。
4. セキュリティ テスト: トークンの処理とネットワーク ポリシーを検証します。

パフォーマンスに関する考慮事項

SDK のオーバーヘッド

Microsoft Entra SDK for Agent ID では、HTTP 通信のオーバーヘッドが発生します。

処理中のパフォーマンス

Microsoft.Identity.Web を使用すると、アプリケーションと同じプロセスで実行されるため、オーバーヘッドは最小限です。 これは、HTTP の制限なしに、マイクロ秒の待機時間と共有プロセス メモリを備えたネイティブ メソッド呼び出しを提供します。 パフォーマンスが重要な場合は、インプロセス統合が最適な選択肢です。 ただし、Microsoft Entra SDK for AgentID の柔軟性と言語に依存しない設計は、多くのシナリオでパフォーマンスのトレードオフを上回る可能性があります。

次の表は、インプロセスの使用状況とエージェント ID (アウトオブプロセス) のMicrosoft Entra SDK のパフォーマンスとコストの比較を示しています。

コストに関する考慮事項

コストの例

128 MiB/100m SDK 構成の 10 個のレプリカの場合:

サポートとメンテナンス

ハイブリッド アプローチ

同じアーキテクチャ内で両方のアプローチを組み合わせることができます。 最大のパフォーマンスを必要とする.NETサービスにはMicrosoft.Identity.Webを使用し、非.NETサービスまたは言語に依存しない認証パターンが必要な場合にはMicrosoft Entra SDK for Agent IDを使用します。 このハイブリッド戦略は、サービス エコシステム全体の一貫性と柔軟性を維持しながら、重要なパフォーマンスを最適化するのに役立ちます。

アーキテクチャの例を次に示します。

graph TB
    subgraph cluster["Kubernetes Cluster"]
        subgraph netpod["<b>.NET API Pod</b>"]
            netapi["<b>.NET API</b><br/>(Microsoft.Identity.Web)"]
            style netapi fill:#0078d4,stroke:#005a9e,stroke-width:2px,color:#fff
        end
        subgraph nodepod["<b>Node.js API Pod</b>"]
            nodeapi["<b>Node.js API</b>"]
            sidecar["<b>Microsoft Entra SDK for AgentID</b>"]
            style nodeapi fill:#68a063,stroke:#4a7c45,stroke-width:2px,color:#fff
            style sidecar fill:#f2711c,stroke:#d85e10,stroke-width:2px,color:#fff
        end
    end
    style cluster fill:#f0f0f0,stroke:#333,stroke-width:3px
    style netpod fill:#e8f4f8,stroke:#0078d4,stroke-width:2px
    style nodepod fill:#e8f4e8,stroke:#68a063,stroke-width:2px

関連するコンテンツ

• インストール ガイド
• 構成リファレンス
• ダウンストリーム API を呼び出す
• 概要