承認トークンを要求し、API を操作するために、アプリを登録する

1. アプリを登録するには、Azure portal で [Active Directory の概要] ページを開きます。

2. サイド バーから [アプリの登録] を選択します。

3. [新しい登録] を選択します

4. [アプリケーションの登録] ページで、アプリケーションの名前を入力します。

5. [登録] を選択します

6. アプリの概要ページで、[証明書とシークレット] を選択します

7. [アプリケーション (クライアント) ID] をメモしておきます。 これはトークンの HTTP 要求で使用されます。

8. [クライアント シークレット] タブで、[新しいクライアント シークレット] を選択します

9. [説明] に入力し、[追加]を選択します

10. クライアント シークレットの [値] をコピーして保存します。

    Note

    クライアント シークレットの値を表示できるのは、作成直後のみです。 ページを離れる前にシークレットを保存してください。

    

次のスクリプトを実行して、サービス プリンシパルとアプリを作成します。

az ad sp create-for-rbac -n <Service principal display name> 

応答は次のようになります。

{
  "appId": "00001111-aaaa-2222-bbbb-3333cccc4444",
  "displayName": "AzMonAPIApp",
  "password": "123456.ABCDE.~XYZ876123ABcEdB7169",
  "tenant": "aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e"
}

API を使用してアクセスするリソースのロールとスコープを追加する

az role assignment create --assignee <`appId`> --role <Role> --scope <resource URI>

次の CLI の例では、rg-001 リソース グループ内のすべてのリソースのサービス プリンシパルに Reader ロールを 割り当てます。

 az role assignment create --assignee 00001111-aaaa-2222-bbbb-3333cccc4444 --role Reader --scope '\/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/rg-001'

Azure CLI を使用してサービス プリンシパルを作成する方法の詳細については、「Azure CLI で Azure サービス プリンシパルを作成する」を参照してください。

次のサンプル スクリプトは、PowerShell を使用して Microsoft Entra サービス プリンシパルを作成する方法を示しています。 さらに詳細なチュートリアルについては、「リソースにアクセスするためのサービス プリンシパルを Azure PowerShell で作成する」を参照してください。

$subscriptionId = "{azure-subscription-id}"
$resourceGroupName = "{resource-group-name}"

# Authenticate to a specific Azure subscription.
Connect-AzAccount -SubscriptionId $subscriptionId

# Password for the service principal
$pwd = "{service-principal-password}"
$secureStringPassword = ConvertTo-SecureString -String $pwd -AsPlainText -Force

# Create a new Azure Active Directory application
$azureAdApplication = New-AzADApplication `
                        -DisplayName "My Azure Monitor" `
                        -HomePage "https://localhost/azure-monitor" `
                        -IdentifierUris "https://localhost/azure-monitor" `
                        -Password $secureStringPassword

# Create a new service principal associated with the designated application
New-AzADServicePrincipal -ApplicationId $azureAdApplication.ApplicationId

# Assign Reader role to the newly created service principal
New-AzRoleAssignment -RoleDefinitionName Reader `
                          -ServicePrincipalName $azureAdApplication.ApplicationId.Guid