演習 - 環境を設定する

Azure でリソース グループを使用するには、Visual Studio Code ターミナルから Azure アカウントにサインインします。 Azure CLI ツールがインストールされていることを確認してください。

1. [ターミナル] メニューで、[新しいターミナル] を選択します。 通常、ターミナル ウィンドウは画面の下半分に表示されます。

   ターミナル ウィンドウの右側に示されているように、通常、既定のシェルは pwsh です。

   

2. [起動プロファイル] ドロップダウン リストを選択し、[Azure Cloud Shell (Bash)] を選択します。

   

   新しいシェルが開きます。

Azure CLI を使用して Azure にサインインする

1. Visual Studio Code のターミナルで次のコマンドを実行して、Azure にサインインします。

   az login
   

2. 開いたブラウザーで、Azure アカウントにサインインします。

Azure でリソース グループを使用するには、Visual Studio Code ターミナルから Azure アカウントにサインインします。 Azure PowerShell がインストールされていることを確認します。

1. [ターミナル] メニューで、[新しいターミナル] を選択します。 通常、ターミナル ウィンドウは画面の下半分に表示されます。

   ターミナル ウィンドウの右側に示されているように、通常、既定のシェルは pwsh です。

   

2. [起動プロファイル] ドロップダウン リストを選択し、[Azure Cloud Shell (PowerShell)] を選択します。

   

   新しいシェルが開きます。

Azure PowerShell を使用して Azure にサインインする

1. Visual Studio Code のターミナルで次のコマンドを実行して、Azure にサインインします。

   Connect-AzAccount
   

2. 開いたブラウザーで、Azure アカウントにサインインします。

ワークロード ID を作成するため、Azure CLI コマンドでは jq を使って JSON 出力からのデータが解析されます。 jq をインストールしていない場合は、Azure Cloud Shell で Bash を使って、ワークロード ID、リソース グループ、ロールの割り当てを作成し、GitHub シークレットを準備できます。

1. 次のコードを実行して、GitHub ユーザー名とリポジトリ名の変数を定義します。 mygithubuser は必ず、この演習で前にメモした GitHub ユーザー名に置き換えてください。 また、正しい GitHub リポジトリ名を指定するようにしてください。

   githubOrganizationName='mygithubuser'
   githubRepositoryName='toy-website-environments'
   

2. テスト環境へのデプロイのワークロード ID を作成します。 ワークロード ID には 2 つのフェデレーション資格情報が必要です。1 つは、ワークフローが "検証" ジョブを実行するときに使用されます。このジョブは GitHub 環境に関連付けられていないためです。 2 つ目は、ワークフローが "デプロイ" ジョブを実行するときに使用されます。これは、"テスト" GitHub 環境に対して実行されます。

   testApplicationRegistrationDetails=$(az ad app create --display-name 'toy-website-environments-test')
   testApplicationRegistrationObjectId=$(echo $testApplicationRegistrationDetails | jq -r '.id')
   testApplicationRegistrationAppId=$(echo $testApplicationRegistrationDetails | jq -r '.appId')
   
   az ad app federated-credential create \
      --id $testApplicationRegistrationObjectId \
      --parameters "{\"name\":\"toy-website-environments-test\",\"issuer\":\"https://token.actions.githubusercontent.com\",\"subject\":\"repo:${githubOrganizationName}/${githubRepositoryName}:environment:Test\",\"audiences\":[\"api://AzureADTokenExchange\"]}"
   
   az ad app federated-credential create \
      --id $testApplicationRegistrationObjectId \
      --parameters "{\"name\":\"toy-website-environments-test-branch\",\"issuer\":\"https://token.actions.githubusercontent.com\",\"subject\":\"repo:${githubOrganizationName}/${githubRepositoryName}:ref:refs/heads/main\",\"audiences\":[\"api://AzureADTokenExchange\"]}"
   

3. 運用環境用に、同様のワークロード ID と連携する資格情報を作成する次のコードを実行します。

   productionApplicationRegistrationDetails=$(az ad app create --display-name 'toy-website-environments-production')
   productionApplicationRegistrationObjectId=$(echo $productionApplicationRegistrationDetails | jq -r '.id')
   productionApplicationRegistrationAppId=$(echo $productionApplicationRegistrationDetails | jq -r '.appId')
   
   az ad app federated-credential create \
      --id $productionApplicationRegistrationObjectId \
      --parameters "{\"name\":\"toy-website-environments-production\",\"issuer\":\"https://token.actions.githubusercontent.com\",\"subject\":\"repo:${githubOrganizationName}/${githubRepositoryName}:environment:Production\",\"audiences\":[\"api://AzureADTokenExchange\"]}"
   
   az ad app federated-credential create \
      --id $productionApplicationRegistrationObjectId \
      --parameters "{\"name\":\"toy-website-environments-production-branch\",\"issuer\":\"https://token.actions.githubusercontent.com\",\"subject\":\"repo:${githubOrganizationName}/${githubRepositoryName}:ref:refs/heads/main\",\"audiences\":[\"api://AzureADTokenExchange\"]}"
   

1. 次のコードを実行して、GitHub ユーザー名とリポジトリ名の変数を定義します。 mygithubuser は必ず、この演習で前にメモした GitHub ユーザー名に置き換えてください。 また、正しい GitHub リポジトリ名を指定するようにしてください。

   $githubOrganizationName = 'mygithubuser'
   $githubRepositoryName = 'toy-website-environments'
   

2. テスト環境用に、ワークロード ID を作成し、GitHub リポジトリに関連付ける次のコードを実行します。

   $testApplicationRegistration = New-AzADApplication -DisplayName 'toy-website-environments-test'
   New-AzADAppFederatedCredential `
      -Name 'toy-website-environments-test' `
      -ApplicationObjectId $testApplicationRegistration.Id `
      -Issuer 'https://token.actions.githubusercontent.com' `
      -Audience 'api://AzureADTokenExchange' `
      -Subject "repo:$($githubOrganizationName)/$($githubRepositoryName):environment:Test"
   New-AzADAppFederatedCredential `
      -Name 'toy-website-environments-test-branch' `
      -ApplicationObjectId $testApplicationRegistration.Id `
      -Issuer 'https://token.actions.githubusercontent.com' `
      -Audience 'api://AzureADTokenExchange' `
      -Subject "repo:$($githubOrganizationName)/$($githubRepositoryName):ref:refs/heads/main"
   

3. 次のコードを実行して、運用環境用として、同様のプロセスを実行します。

   $productionApplicationRegistration = New-AzADApplication -DisplayName 'toy-website-environments-production'
   New-AzADAppFederatedCredential `
      -Name 'toy-website-environments-production' `
      -ApplicationObjectId $productionApplicationRegistration.Id `
      -Issuer 'https://token.actions.githubusercontent.com' `
      -Audience 'api://AzureADTokenExchange' `
      -Subject "repo:$($githubOrganizationName)/$($githubRepositoryName):environment:Production"
   New-AzADAppFederatedCredential `
      -Name 'toy-website-environments-production-branch' `
      -ApplicationObjectId $productionApplicationRegistration.Id `
      -Issuer 'https://token.actions.githubusercontent.com' `
      -Audience 'api://AzureADTokenExchange' `
      -Subject "repo:$($githubOrganizationName)/$($githubRepositoryName):ref:refs/heads/main"
   

1. テスト環境のリソース グループを作成し、ワークロード ID にそれへのアクセス権を付与するには、Visual Studio Code ターミナルで次の Azure CLI コマンドを実行します。

   testResourceGroupResourceId=$(az group create --name ToyWebsiteTest --location eastus --query id --output tsv)
   
   az ad sp create --id $testApplicationRegistrationObjectId
   az role assignment create \
      --assignee $testApplicationRegistrationAppId \
      --role Contributor \
      --scope $testResourceGroupResourceId
   

2. 同様のプロセスを実行して、運用環境のリソース グループを作成します。

   productionResourceGroupResourceId=$(az group create --name ToyWebsiteProduction --location eastus --query id --output tsv)
   
   az ad sp create --id $productionApplicationRegistrationObjectId
   az role assignment create \
      --assignee $productionApplicationRegistrationAppId \
      --role Contributor \
      --scope $productionResourceGroupResourceId
   

1. テスト環境のリソース グループを作成し、ワークロード ID にそれへのアクセス権を付与するには、Visual Studio Code ターミナルで次の Azure PowerShell コマンドを実行します。

   $testResourceGroup = New-AzResourceGroup -Name ToyWebsiteTest -Location eastus
   
   New-AzADServicePrincipal -AppId $($testApplicationRegistration.AppId)
   New-AzRoleAssignment `
      -ApplicationId $($testApplicationRegistration.AppId) `
      -RoleDefinitionName Contributor `
      -Scope $($testResourceGroup.ResourceId)
   

2. 同様のプロセスを実行して、運用環境のリソース グループを作成します。

   $productionResourceGroup = New-AzResourceGroup -Name ToyWebsiteProduction -Location eastus
   
   New-AzADServicePrincipal -AppId $($productionApplicationRegistration.AppId)
   New-AzRoleAssignment `
      -ApplicationId $($productionApplicationRegistration.AppId) `
      -RoleDefinitionName Contributor `
      -Scope $($productionResourceGroup.ResourceId)
   

echo "AZURE_CLIENT_ID_TEST: $testApplicationRegistrationAppId"
echo "AZURE_CLIENT_ID_PRODUCTION: $productionApplicationRegistrationAppId"
echo "AZURE_TENANT_ID: $(az account show --query tenantId --output tsv)"
echo "AZURE_SUBSCRIPTION_ID: $(az account show --query id --output tsv)"

$azureContext = Get-AzContext
Write-Host "AZURE_CLIENT_ID_TEST: $($testApplicationRegistration.AppId)"
Write-Host "AZURE_CLIENT_ID_PRODUCTION: $($productionApplicationRegistration.AppId)"
Write-Host "AZURE_TENANT_ID: $($azureContext.Tenant.Id)"
Write-Host "AZURE_SUBSCRIPTION_ID: $($azureContext.Subscription.Id)"