Azure Data Explorer で Microsoft Entra アプリケーションの登録を作成する

Microsoft Entra アプリケーション認証 は、ユーザーが存在せずに Azure Data Explorer にアクセスする必要がある無人サービスやスケジュールされたフローなどのアプリケーションに使用されます。 Web アプリなどのアプリケーションを使用して Azure Data Explorer データベースに接続している場合は、サービス プリンシパル認証を使用して認証を行う必要があります。 この記事では、Microsoft Entra サービス プリンシパルを作成して登録し、Azure Data Explorer データベースへのアクセスを承認する方法について詳しく説明します。

Microsoft Entra アプリケーションの登録を作成する

Microsoft Entra アプリケーション認証では、Microsoft Entra ID を使用してアプリケーションを作成して登録する必要があります。 Microsoft Entra テナントでアプリケーションの登録が作成されると、サービス プリンシパルが自動的に作成されます。

アプリの登録は、Azure portal で作成することも、Azure CLI を使用してプログラムで作成することもできます。 シナリオに合ったタブを選択します。

アプリケーションの委任されたアクセス許可を構成する - 省略可能

アプリケーションが呼び出し元ユーザーの資格情報を使用してデータベースにアクセスする必要がある場合は、アプリケーションの委任されたアクセス許可を構成します。 たとえば、Web API を構築していて、API を 呼び出すユーザーの資格情報を使用して認証する場合 します。

承認されたデータ リソースへのアクセスのみが必要な場合は、このセクションをスキップして、データベースへのサービス プリンシパル アクセスの に進むことができます。

1. App の登録の API アクセス許可 ブレードを参照します。

2. [アクセス許可の追加] を選択します。

3. [所属する組織で使用している API] を選択します。

4. [Azure Data Explorer] を検索して、選択します。

   

5. [ 削除されたアクセス許可で、 user_impersonation ボックスを選択します。

6. [アクセス許可の追加] を選択します.

   

サービス プリンシパルにデータベースへのアクセス権を付与する

アプリケーションの登録が作成されたら、対応するサービス プリンシパルにデータベースへのアクセス権を付与する必要があります。 次の例では、ビューアーのアクセス権を付与します。 その他のロールについては、「 管理データベースのアクセス許可を参照してください。

1. の手順でコピーしたアプリケーション ID とテナント ID の値を使用。

2. クエリ エディターで次のコマンドを実行し、プレースホルダー値 ApplicationID と TenantID を実際の値に置き換えます。

   .add database <DatabaseName> viewers ('aadapp=<ApplicationID>;<TenantID>') '<Notes>'
   

   次に例を示します。

   .add database Logs viewers ('aadapp=1234abcd-e5f6-g7h8-i9j0-1234kl5678mn;9876abcd-e5f6-g7h8-i9j0-1234kl5678mn') 'App Registration'
   

   最後のパラメーターは、データベースに関連付けられているロールに対してクエリを実行するときに、メモとして表示される文字列です。

   Note

   アプリケーション登録を作成した後、参照できるようになるまで数分の遅延が発生する可能性があります。 アプリケーションが見つからないというエラーが表示された場合は、しばらくしてからやり直してください。

ロールの詳細については、「 Role ベースのアクセス制御」を参照してください。

アプリケーション資格情報を使用してデータベースにアクセスする

アプリケーション資格情報を使用して、 client ライブラリを使用してプログラムでデータベースにアクセス。

. . .
string applicationClientId = "<myClientID>";
string applicationKey = "<myApplicationKey>";
string authority = "<myApplicationTenantID>";
. . .
var kcsb = new KustoConnectionStringBuilder($"https://{clusterName}.kusto.windows.net/{databaseName}")
    .WithAadApplicationKeyAuthentication(
        applicationClientId,
        applicationKey,
        authority);
var client = KustoClientFactory.CreateCslQueryProvider(kcsb);
var queryResult = client.ExecuteQuery($"{query}");

詳細については、「アプリで Microsoft Authentication Library (MSAL) を使用して認証する方法.NET Core Web アプリで Azure Key Vault を使用する方法を参照してください。

トラブルシューティング

無効なリソース エラー

アプリケーションを使用してユーザーまたはアクセス用のアプリケーションを認証する場合は、サービス アプリケーションの委任されたアクセス許可を設定する必要があります。 アプリケーションがアクセスのためにユーザーまたはアプリケーションを認証できることを宣言します。 そうしないと、認証が試行されたときに、次のようなエラーが発生します。

AADSTS650057: Invalid resource. The client has requested access to a resource which is not listed in the requested permissions in the client's application registration...

手順に従って、アプリケーションの委任されたアクセス許可を 構成する必要があります。

ユーザーの同意の有効化に関するエラー

Microsoft Entra テナント管理者は、テナント ユーザーがアプリケーションに同意できないようにするポリシーを適用する場合があります。 この状況では、ユーザーがアプリケーションにサインインしようとすると、次のようなエラーが発生します。

AADSTS65001: The user or administrator has not consented to use the application with ID '<App ID>' named 'App Name'

テナント内のすべてのユーザーに同意を付与するか、特定のアプリケーションに対してユーザーの同意を有効にするには、Microsoft Entra 管理者に連絡する必要があります。

関連するコンテンツ

• Kusto の接続文字列
• リソースにアクセスできる Microsoft Entra アプリケーションとサービス プリンシパルを作成する