例: Python 用 Azure ライブラリを使用して Azure Storage にアクセスする

DefaultAzureCredential は、事前構成済みの資格情報チェーンです。 これは、最も一般的な認証フローおよび開発者ツールのほか、多くの環境をサポートするように設計されています。 DefaultAzureCredential のインスタンスは、ランタイム環境、特定のよく知られている環境変数の値、(場合によっては) コンストラクターに渡されるパラメーターを組み合わせて、その情報に基づき、取得しようとしているトークンに対応する資格情報の種類を決定します。

次の手順では、アプリケーション サービス プリンシパルをアプリケーション ID として構成します。 アプリケーション サービス プリンシパルは、ローカル開発中の使用とオンプレミスでホストされるアプリでの使用の両方に適しています。 アプリケーション サービス プリンシパルを使用するように DefaultAzureCredential を構成するには、環境変数 AZURE_CLIENT_ID、AZURE_TENANT_ID、および AZURE_CLIENT_SECRET を設定します。

クライアント シークレットが構成されていることに注意してください。 これはアプリケーション サービス プリンシパルに必要ですが、シナリオによっては、環境変数にシークレットやパスワードを設定する必要のない資格情報を使用するように DefaultAzureCredential を構成することもできます。

たとえばローカル開発で、構成された環境変数を使用してトークンを取得できない場合、DefaultAzureCredential は、Azure CLI などの開発ツールに (既に) サインインしているユーザーを使用して、トークンを取得しようとします。Azure でホストされているアプリの場合は、マネージド ID を使用するように DefaultAzureCredential を構成することもできます。 いずれの場合も、アプリのコードに変更は必要なく、構成とランタイム環境のみが変わるだけです。

1. 次のコードを含んだ use_blob_auth.py という名前のファイルを作成します。 ステップは、コメントで説明しています。

   import os
   import uuid
   
   from azure.identity import DefaultAzureCredential
   
   # Import the client object from the SDK library
   from azure.storage.blob import BlobClient
   
   credential = DefaultAzureCredential()
   
   # Retrieve the storage blob service URL, which is of the form
   # https://<your-storage-account-name>.blob.core.windows.net/
   storage_url = os.environ["AZURE_STORAGE_BLOB_URL"]
   
   # Create the client object using the storage URL and the credential
   blob_client = BlobClient(
       storage_url,
       container_name="blob-container-01",
       blob_name=f"sample-blob-{str(uuid.uuid4())[0:5]}.txt",
       credential=credential,
   )
   
   # Open a local file and upload its contents to Blob Storage
   with open("./sample-source.txt", "rb") as data:
       blob_client.upload_blob(data)
       print(f"Uploaded sample-source.txt to {blob_client.url}")
   

   参照リンク:

   • DefaultAzureCredential (azure.identity)
   • BlobClient (azure.storage.blob)

2. AZURE_STORAGE_BLOB_URL という名前の環境変数を作成します。

   • cmd
   • bash

   set AZURE_STORAGE_BLOB_URL=https://pythonazurestorage12345.blob.core.windows.net
   

   「pythonazurestorage12345」をストレージアカウントの名前で置き換えます。

   AZURE_STORAGE_BLOB_URL 環境変数は、この例のみで使用します。 Azure ライブラリでは使用されません。

3. az ad sp create-for-rbac コマンドを使用して、アプリに対して新しいサービス プリンシパルを作成します。 このコマンドは、アプリのアプリ登録を同時に作成します。 サービス プリンシパルに、選択した名前を付けます。

   az ad sp create-for-rbac --name <service-principal-name>
   

   このコマンドの出力は次のようになります。 これらの値をメモするか、次の手順でこれらの値が必要になり、パスワード (クライアント シークレット) 値を再び表示できなくなるため、このウィンドウを開いたままにします。 ただし、必要に応じて、サービス プリンシパルや既存のパスワードを無効にせずに、後で新しいパスワードを追加できます。

   {
     "appId": "00001111-aaaa-2222-bbbb-3333cccc4444",
     "displayName": "<service-principal-name>",
     "password": "Aa1Bb~2Cc3.-Dd4Ee5Ff6Gg7Hh8Ii9_Jj0Kk1Ll2",
     "tenant": "aaaabbbb-0000-cccc-1111-dddd2222eeee"
   }
   

   Azure CLI コマンドは、 Azure Cloud Shell で、または Azure CLI がインストールされているワークステーション上で実行できます。

4. アプリケーション サービス プリンシパルの環境変数を作成します。

   前のコマンドの出力値を使用して、次の環境変数を作成します。 これらの変数は、アプリケーション サービス プリンシパルを使用するように DefaultAzureCredential に指示します。

   • AZURE_CLIENT_ID → アプリ ID の値です。
   • AZURE_TENANT_ID → テナント ID の値です。
   • AZURE_CLIENT_SECRET →アプリ用に生成されたパスワード/資格情報。
   • cmd
   • bash

   set AZURE_CLIENT_ID=00001111-aaaa-2222-bbbb-3333cccc4444
   set AZURE_TENANT_ID=aaaabbbb-0000-cccc-1111-dddd2222eeee
   set AZURE_CLIENT_SECRET=Aa1Bb~2Cc3.-Dd4Ee5Ff6Gg7Hh8Ii9_Jj0Kk1Ll2
   

5. コードを実行しようとします (意図的に失敗します)。

   python use_blob_auth.py
   

6. 「この要求には、このアクセス許可を使用して操作を実行する権限はありません」というエラーを確認します。このエラーは、使用しているローカル サービス プリンシパルに Blob コンテナーへのアクセス許可がまだないことが原因で表示されます。

7. Azure CLI コマンド az role assignment create を使用して、BLOB コンテナーに対する "ストレージ BLOB データ共同作成者" アクセス許可をサービス プリンシパルに付与します。

   az role assignment create --assignee <AZURE_CLIENT_ID> \
       --role "Storage Blob Data Contributor" \
       --scope "/subscriptions/<AZURE_SUBSCRIPTION_ID>/resourceGroups/PythonAzureExample-Storage-rg/providers/Microsoft.Storage/storageAccounts/pythonazurestorage12345/blobServices/default/containers/blob-container-01"
   

   --assignee 因数は、サービス プリンシパルを識別します。 <AZURE_CLIENT_ID> プレースホルダーをサービス プリンシパルのアプリ ID で置き換えます。

   --scope 引数は、対象となるロールの割り当て先を指定するものです。 この例では、[Storage Blob Data Contributor] ロールを、「blob-container-01」という名前のコンテナーのサービス プリンシパルに許可します。

   • PythonAzureExample-Storage-rg と pythonazurestorage12345 をお使いのストレージ アカウントとストレージ アカウントの正確な名前を含むリソース グループに置き換えます。 また、必要に応じて、BLOB コンテナーの名前を調整します。 間違った名前を使用すると、"Can not perform requested operation on nested resource. Parent resource 'pythonazurestorage12345' not found." (ネストされたリソースに対して要求された操作を実行できません。親リソース 'pythonazurestorage12345' が見つかりません) というエラーが表示されます。

   • <AZURE_SUBSCRIPTION_ID> プレース ホルダーをお使いの Azure サブスクリプション ID に置き換えます。 (az account show を実行する、出力の id プロパティからお使いのサブスクリプション ID を取得できます。)

   ヒント

   bash シェルを使用した際に、ロール割り当てコマンドが「接続アダプターが見つかりません」というエラーを返す場合、export MSYS_NO_PATHCONV=1 を設定して、パス変換を回避します。 詳しくは、こちらの issue を参照してください。

8. アクセス許可が反映されるまで 1、2 分待機した後、コードをもう一度実行して、今度は動作することを確認します。 アクセス許可のエラーが再度表示された場合は、もう少し待ってから、もう一度コードを試してください。

ロールの割り当てについて詳しくは、Azure CLI を使用してロールのアクセス許可を割り当てる方法に関するページを参照してください。

接続文字列にはストレージ アカウント アクセス キーが含まれており、それを使用して要求を認可します。 セキュリティで保護されていない場所でキーを公開しないように常に注意してください。

1. 次のコードを使用して、use_blob_conn_string.py という名前の Python ファイルを作成します。 ステップは、コメントで説明しています。

   import os
   import uuid
   
   # Import the client object from the SDK library
   from azure.storage.blob import BlobClient
   
   # Retrieve the connection string from an environment variable. Note that a
   # connection string grants all permissions to the caller, making it less
   # secure than obtaining a BlobClient object using credentials.
   conn_string = os.environ["AZURE_STORAGE_CONNECTION_STRING"]
   
   # Create the client object for the resource identified by the connection
   # string, indicating also the blob container and the name of the specific
   # blob we want.
   blob_client = BlobClient.from_connection_string(
       conn_string,
       container_name="blob-container-01",
       blob_name=f"sample-blob-{str(uuid.uuid4())[0:5]}.txt",
   )
   
   # Open a local file and upload its contents to Blob Storage
   with open("./sample-source.txt", "rb") as data:
       blob_client.upload_blob(data)
       print(f"Uploaded sample-source.txt to {blob_client.url}")
   

2. AZURE_STORAGE_CONNECTION_STRING という名前の環境変数を作成します。この値は、ストレージ アカウントの完全な接続文字列です。 (この環境変数は、さまざまな Azure CLI コメントでも使用されます)。az storage account show-connection-string コマンドを実行すると、ストレージ アカウントの接続文字列を取得できます。

   az storage account show-connection-string --resource-group PythonAzureExample-Storage-rg --name pythonazurestorage12345
   

   PythonAzureExample-Storage-rg と pythonazurestorage12345 をお使いのストレージ アカウントとストレージ アカウントの正確な名前を含むリソース グループに置き換えます。

   環境変数を設定するときは、引用符を含む出力内の connectionString プロパティの値全体を使用します。

3. コードを実行します。

   python use_blob_conn_string.py
   

既に述べたように、この方法はシンプルではありますが、接続文字列によって、ストレージ アカウント内のすべての操作が承認されます。 前のセクションで説明したように、運用環境のコードでは、具体的なアクセス許可を使用することをお勧めします。