クイックスタート: マネージドアプリケーションの定義を作成および発行する

[アーティクル]
09/22/2024

このクイックスタートでは、Azure Managed Applications の操作の概要を説明します。サービスカタログに格納され、組織のメンバーを対象としたマネージドアプリケーション定義を作成して発行します。

サービスカタログにマネージドアプリケーションを発行するには、次の操作を行う必要があります。

マネージドアプリケーションでデプロイするリソースを定義する Azure Resource Manager テンプレート (ARM テンプレート) を作成します。
マネージドアプリケーションをデプロイするときに、ポータルのユーザーインターフェイス要素を定義する。
必要な JSON ファイルを含む .zip パッケージを作成する。 .zip パッケージファイルには、サービスカタログのマネージドアプリケーション定義に対して 120 MB の制限があります。
マネージドアプリケーション定義を発行し、サービスカタログで使用できるようにする。

マネージドアプリケーション定義が 120 MB を超える場合、または組織のコンプライアンス上の理由から独自のストレージアカウントを使用する場合は、「クイックスタート: 独自のストレージを使用して Azure Managed Applications の定義を作成および発行する」を参照してください。

Bicep を使用してマネージドアプリケーション定義を開発できますが、Azure で定義を発行する前に ARM テンプレートの JSON に変換する必要があります。詳細については、Bicep を使用した Azure マネージドアプリケーション定義の作成と発行に関するクイックスタートを参照してください。

Bicep を使用して、サービスカタログからマネージドアプリケーション定義をデプロイすることもできます。詳細については、Bicep を使用した Azure マネージドアプリケーション定義のデプロイに関するクイックスタートを参照してください。

前提条件

このクイックスタートを実行するには、次のものが必要です。

アクティブなサブスクリプションおよび Microsoft Entra リソース (ユーザー、グループ、またはサービスプリンシパルなど) へのアクセス許可を持つ Azure アカウント。アカウントをお持ちでない場合は、開始する前に無料アカウントを作成してください。
Visual Studio Code と最新の Azure Resource Manager ツール拡張機能。 Bicep ファイルの場合は、Visual Studio Code 用の Bicep 拡張機能をインストールします。
最新バージョンの Azure PowerShell または Azure CLI をインストールします。

ARM テンプレートを作成する

各マネージアプリケーション定義には、mainTemplate.json というファイルが含まれています。このテンプレートは、デプロイする Azure リソースを定義し、通常の ARM テンプレートと同じ方法で定義します。

Visual Studio Code を開き、大文字と小文字を区別する名前 mainTemplate.json のファイルを作成して保存します。

次の JSON を追加し、ファイルを保存します。これは、App Service と App Service プランをデプロイするためのリソースを定義します。このテンプレートでは、従量課金制のコストが生じる App Service Basic プラン (B1) を使用します。詳細については、「Azure App Service on Linux の価格」を参照してください。

{
  "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#",
  "contentVersion": "1.0.0.0",
  "parameters": {
    "location": {
      "type": "string",
      "defaultValue": "[resourceGroup().location]"
    },
    "appServicePlanName": {
      "type": "string",
      "maxLength": 40,
      "metadata": {
        "description": "App Service plan name."
      }
    },
    "appServiceNamePrefix": {
      "type": "string",
      "maxLength": 47,
      "metadata": {
        "description": "App Service name prefix."
      }
    }
  },
  "variables": {
    "appServicePlanSku": "B1",
    "appServicePlanCapacity": 1,
    "appServiceName": "[format('{0}{1}', parameters('appServiceNamePrefix'), uniqueString(resourceGroup().id))]",
    "linuxFxVersion": "DOTNETCORE|8.0"
  },
  "resources": [
    {
      "type": "Microsoft.Web/serverfarms",
      "apiVersion": "2023-01-01",
      "name": "[parameters('appServicePlanName')]",
      "location": "[parameters('location')]",
      "sku": {
        "name": "[variables('appServicePlanSku')]",
        "capacity": "[variables('appServicePlanCapacity')]"
      },
      "kind": "linux",
      "properties": {
        "zoneRedundant": false,
        "reserved": true
      }
    },
    {
      "type": "Microsoft.Web/sites",
      "apiVersion": "2023-01-01",
      "name": "[variables('appServiceName')]",
      "location": "[parameters('location')]",
      "properties": {
        "serverFarmId": "[resourceId('Microsoft.Web/serverfarms', parameters('appServicePlanName'))]",
        "httpsOnly": true,
        "redundancyMode": "None",
        "siteConfig": {
          "linuxFxVersion": "[variables('linuxFxVersion')]",
          "minTlsVersion": "1.2",
          "ftpsState": "Disabled"
        }
      },
      "dependsOn": [
        "[resourceId('Microsoft.Web/serverfarms', parameters('appServicePlanName'))]"
      ]
    }
  ],
  "outputs": {
    "appServicePlan": {
      "type": "string",
      "value": "[parameters('appServicePlanName')]"
    },
    "appServiceApp": {
      "type": "string",
      "value": "[reference(resourceId('Microsoft.Web/sites', variables('appServiceName')), '2023-01-01').defaultHostName]"
    }
  }
}

ポータルエクスペリエンスを定義する

マネージドアプリケーションを作成するためのポータルエクスペリエンスは、発行者が定義します。ポータルのユーザーインターフェイスは、createUiDefinition.json ファイルによって生成されます。ドロップダウンやテキストボックスなどのコントロール要素を使用して、各パラメーターの入力をユーザーがどのように提供するかを定義します。

この例では、ユーザーインターフェイスによって、App Service 名プレフィックスと App Service プランの名前を入力するように求められます。 mainTemplate.json のデプロイ時に、appServiceName 変数は uniqueString 関数を使用して、名前のプレフィックスに 13 文字の文字列を追加し、名前が Azure 全体でグローバルに一意になるようにします。

Visual Studio Code を開き、大文字と小文字を区別する名前 createUiDefinition.json のファイルを作成して保存します。

次の JSON コードをファイルに追加し、保存します。

{
  "$schema": "https://schema.management.azure.com/schemas/0.1.2-preview/CreateUIDefinition.MultiVm.json#",
  "handler": "Microsoft.Azure.CreateUIDef",
  "version": "0.1.2-preview",
  "parameters": {
    "basics": [
      {}
    ],
    "steps": [
      {
        "name": "webAppSettings",
        "label": "Web App settings",
        "subLabel": {
          "preValidation": "Configure the web app settings",
          "postValidation": "Completed"
        },
        "elements": [
          {
            "name": "appServicePlanName",
            "type": "Microsoft.Common.TextBox",
            "label": "App Service plan name",
            "placeholder": "App Service plan name",
            "defaultValue": "",
            "toolTip": "Use alphanumeric characters or hyphens with a maximum of 40 characters.",
            "constraints": {
              "required": true,
              "regex": "^[a-z0-9A-Z-]{1,40}$",
              "validationMessage": "Only alphanumeric characters or hyphens are allowed, with a maximum of 40 characters."
            },
            "visible": true
          },
          {
            "name": "appServiceName",
            "type": "Microsoft.Common.TextBox",
            "label": "App Service name prefix",
            "placeholder": "App Service name prefix",
            "defaultValue": "",
            "toolTip": "Use alphanumeric characters or hyphens with minimum of 2 characters and maximum of 47 characters.",
            "constraints": {
              "required": true,
              "regex": "^[a-z0-9A-Z-]{2,47}$",
              "validationMessage": "Only alphanumeric characters or hyphens are allowed, with a minimum of 2 characters and maximum of 47 characters."
            },
            "visible": true
          }
        ]
      }
    ],
    "outputs": {
      "location": "[location()]",
      "appServicePlanName": "[steps('webAppSettings').appServicePlanName]",
      "appServiceNamePrefix": "[steps('webAppSettings').appServiceName]"
    }
  }
}

詳細については、CreateUiDefinition の概要に関するページを参照してください。

ファイルのパッケージ化

app.zip という名前のパッケージファイルに 2 つのファイルを追加します。 2 つのファイルは .zip ファイルのルートに配置する必要があります。これらのファイルがフォルダー内にある場合、マネージドアプリケーション定義を作成するときに、必要なファイルが存在しないことを示すエラーが発生します。

マネージドアプリケーションの定義をデプロイするときに使用できるように、app.zip を Azure ストレージアカウントにアップロードします。ストレージアカウント名は Azure 全体でグローバルに一意である必要があり、長さは小文字と数字のみで 3 から 24 文字にする必要があります。コマンドで、山かっこ (<>) を含むプレースホルダー <pkgstorageaccountname> を一意のストレージアカウント名に置き換えます。

Visual Studio Code で、新しい PowerShell ターミナルを開き、Azure サブスクリプションにサインインします。

Connect-AzAccount

コマンドを実行すると、既定のブラウザーが開き、Azure にサインインするよう求められます。詳細については、「Azure PowerShell を使用してサインインする」を参照してください。

New-AzResourceGroup -Name packageStorageGroup -Location westus

$pkgstorageparms = @{
  ResourceGroupName = "packageStorageGroup"
  Name = "<pkgstorageaccountname>"
  Location = "westus"
  SkuName = "Standard_LRS"
  Kind = "StorageV2"
  MinimumTlsVersion = "TLS1_2"
  AllowBlobPublicAccess = $true
  AllowSharedKeyAccess = $false
}

$pkgstorageaccount = New-AzStorageAccount @pkgstorageparms

$pkgstorageparms 変数は、PowerShell のスプラッティングを使用して、新しいストレージアカウントを作成するためにコマンド内で使用されるパラメーター値の読みやすさを向上させます。スプラッティングは、複数のパラメーター値を使用するその他の PowerShell コマンドでも使用されます。

ストレージアカウントを作成したら、ロールの割り当てストレージ BLOB データ共同作成者をストレージアカウントスコープに追加します。お使いの Microsoft Entra ユーザーアカウントにアクセスを割り当てます。 Azure のアクセスレベルによっては、管理者によって割り当てられた他のアクセス許可が必要になる場合があります。詳細については、「BLOB データへのアクセスのための Azure ロールの割り当て」と「Azure portal を使用した Azure ロールの割り当て」を参照してください。

ストレージアカウントにロールを追加した後は、Azure でアクティブになるまでに数分かかります。その後、コンテナーを作成しファイルをアップロードするために必要なコンテキストを作成できます。

$pkgstoragecontext = New-AzStorageContext -StorageAccountName $pkgstorageaccount.StorageAccountName -UseConnectedAccount

New-AzStorageContainer -Name appcontainer -Context $pkgstoragecontext -Permission blob

$blobparms = @{
  File = "app.zip"
  Container = "appcontainer"
  Blob = "app.zip"
  Context = $pkgstoragecontext
}

Set-AzStorageBlobContent @blobparms

Visual Studio Code で、新しい Bash ターミナルセッションを開き、Azure サブスクリプションにサインインします。 Git をインストールしている場合は、Git Bash を選択します。

az login

コマンドを実行すると、既定のブラウザーが開き、Azure にサインインするよう求められます。詳細については、「Azure CLI を使用してサインインする」を参照してください。

az group create --name packageStorageGroup --location westus

az storage account create \
  --name <pkgstorageaccountname> \
  --resource-group packageStorageGroup \
  --location westus \
  --sku Standard_LRS \
  --kind StorageV2 \
  --min-tls-version TLS1_2 \
  --allow-blob-public-access true \
  --allow-shared-key-access false

pkgstgacct=$(az storage account show \
  --resource-group packageStorageGroup \
  --name <pkgstorageaccountname> \
  --query name \
  --output tsv)

バックスラッシュ (\) は、コマンドのパラメーターの読みやすさを向上させるための行連結文字であり、多くの Azure CLI コマンドで使用されます。 pkgstgacct 変数には、その他のコマンドで使用されるストレージアカウント名が含まれています。

ストレージアカウントを作成したら、ロールの割り当てストレージ BLOB データ共同作成者をストレージアカウントスコープに追加します。お使いの Microsoft Entra ユーザーアカウントにアクセスを割り当てます。 Azure のアクセスレベルによっては、管理者によって割り当てられた他のアクセス許可が必要になる場合があります。詳細は、「BLOB データにアクセスするための Azure ロールを割り当てる」を参照してください。

ストレージアカウントにロールを追加した後は、Azure でアクティブになるまでに数分かかります。その後、コマンドで --auth-mode login パラメーターを使用してコンテナーを作成し、ファイルをアップロードできます。

az storage container create \
  --account-name $pkgstgacct \
  --name appcontainer \
  --auth-mode login \
  --public-access blob

az storage blob upload \
  --account-name $pkgstgacct \
  --container-name appcontainer \
  --auth-mode login \
  --name "app.zip" \
  --file "app.zip"

ストレージ認証の詳細については、「Azure CLI で BLOB データへのアクセスの承認方法を選択する」を参照してください。

マネージドアプリケーション定義の作成

このセクションでは、Microsoft Entra ID から ID 情報を取得し、リソースグループを作成して、マネージドアプリケーション定義をデプロイします。

グループ ID とロール定義 ID を取得する

次の手順として、顧客のリソースを管理するためのユーザー、セキュリティグループ、またはアプリケーションを選択します。この ID には、割り当てられているロールに従って、管理対象リソースグループに対するアクセス許可が付与されています。そのロールには、Azure の組み込みロール (所有者、共同作成者など) をどれでも使用できます。

この例ではセキュリティグループを使用しており、お使いの Microsoft Entra アカウントはそのグループのメンバーである必要があります。グループのオブジェクト ID を取得するには、山かっこ (<>) を含むプレースホルダー <managedAppDemo> をグループの名前に置き換えます。この変数の値は、マネージドアプリケーション定義をデプロイするときに使用します。

新しい Microsoft Entra グループを作成するには、「Microsoft Entra グループとグループメンバーシップの管理」にアクセスしてください。

$principalid=(Get-AzADGroup -DisplayName <managedAppDemo>).Id

次に、ユーザー、グループ、またはアプリケーションへのアクセス権を付与する Azure の組み込みロールのロール定義 ID を取得します。この変数の値は、マネージドアプリケーション定義をデプロイするときに使用します。

$roleid=(Get-AzRoleDefinition -Name Owner).Id

新しい Microsoft Entra グループを作成するには、「Microsoft Entra グループとグループメンバーシップの管理」にアクセスしてください。

principalid=$(az ad group show --group <managedAppDemo> --query id --output tsv)

roleid=$(az role definition list --name Owner --query [].name --output tsv)

マネージドアプリケーション定義を発行する

マネージドアプリケーション定義のリソースグループを作成します。

New-AzResourceGroup -Name appDefinitionGroup -Location westus

blob コマンドを実行して、パッケージの .zip ファイルの URL を保存するための変数を作成します。この変数は、マネージドアプリケーション定義を作成するコマンドで使用されます。

$blob = Get-AzStorageBlob -Container appcontainer -Blob app.zip -Context $pkgstoragecontext

$publishparms = @{
  Name = "sampleManagedApplication"
  Location = "westus"
  ResourceGroupName = "appDefinitionGroup"
  LockLevel = "ReadOnly"
  DisplayName = "Sample managed application"
  Description = "Sample managed application that deploys web resources"
  Authorization = "${principalid}:$roleid"
  PackageFileUri = $blob.ICloudBlob.StorageUri.PrimaryUri.AbsoluteUri
}

New-AzManagedApplicationDefinition @publishparms

コマンドが完了すると、リソースグループにマネージドアプリケーション定義が作成されます。

前の例で使用されているパラメーターは次のとおりです。

ResourceGroupName: マネージドアプリケーション定義が作成されるリソースグループの名前。
LockLevel: 管理対象リソースグループで lockLevel を指定すると、このリソースグループに対して問題となるような操作を顧客が実行できなくなります。現在サポートされているロックレベルは ReadOnly だけです。 ReadOnly を指定すると、顧客は管理対象リソースグループに存在するリソースの読み取りしか実行できません。管理対象リソースグループへのアクセス権が付与されている発行元 ID は、ロックレベルの対象外となります。
Authorization:管理対象リソースグループへのアクセス許可を付与する際に使うプリンシパル ID とロール定義 ID を記述します。
- "${principalid}:$roleid"、または変数 "${principalid}:${roleid}" ごとに中かっこを使用できます。
- 複数の値を区切るには、コンマを使用してください: "${principalid1}:$roleid1", "${principalid2}:$roleid2"。
PackageFileUri: 必要なファイルが含まれた .zip パッケージファイルの場所。

マネージドアプリケーション定義のリソースグループを作成します。

az group create --name appDefinitionGroup --location westus

blob=$(az storage blob url \
  --account-name $pkgstgacct \
  --container-name appcontainer \
  --auth-mode login \
  --name app.zip --output tsv)

az managedapp definition create \
  --name "sampleManagedApplication" \
  --location "westus" \
  --resource-group appDefinitionGroup \
  --lock-level ReadOnly \
  --display-name "Sample managed application" \
  --description "Sample managed application that deploys web resources" \
  --authorizations "$principalid:$roleid" \
  --package-file-uri "$blob"

コマンドが完了すると、リソースグループにマネージドアプリケーション定義が作成されます。

前の例で使用されているパラメーターは次のとおりです。

resource-group: マネージドアプリケーション定義が作成されるリソースグループの名前。
lock-level: 管理対象リソースグループで lockLevel を指定すると、このリソースグループに対して問題となるような操作を顧客が実行できなくなります。現在サポートされているロックレベルは ReadOnly だけです。 ReadOnly を指定すると、顧客は管理対象リソースグループに存在するリソースの読み取りしか実行できません。管理対象リソースグループへのアクセス権が付与されている発行元 ID は、ロックレベルの対象外となります。
authorizations:管理対象リソースグループへのアクセス許可を付与する際に使うプリンシパル ID とロール定義 ID を記述します。
- "$principalid:$roleid"、または、"${principalid}:${roleid}" のように中かっこを使用できます。
- 複数の引数を指定する場合は、空白で区切ります: "$principalid1:$roleid1" "$principalid2:$roleid2"。
package-file-uri: 必要なファイルが含まれた .zip パッケージファイルの場所。

Azure portal からマネージドアプリケーション定義を発行するには、次の手順を使用します。

ポータルの [ホーム] ページから [リソースの作成] を選択します。
[サービスカタログのマネージドアプリケーションの定義] を検索し、使用可能なオプションからそれを選択します。
[サービスカタログのマネージドアプリケーションの定義] ページから [作成] を選択します。
[基本] タブで、次の情報を入力して [次へ] を選択します。
- プロジェクトの詳細:
  - サブスクリプション名を選択します。
  - appDefinitionGroup という名前の新しいリソースグループを作成します。
- インスタンスの詳細:
  - [名前]: 「instance-name」のような名前を入力します。この名前は定義では使用されませんが、フォームには入力する必要があります。
  - リージョン: "米国西部"
- アプリケーションの詳細:
  - [名前]: sampleManagedApplication
  - [表示名]: "サンプルマネージドアプリケーション"
  - [説明]: "Web リソースをデプロイするサンプルマネージドアプリケーション"
[パッケージ] タブで、app.zip ファイルのパッケージファイル URI を入力します。
[Management settings] (管理設定) タブは無視します。
[認証およびロックレベル] タブで、次の情報を入力し、[確認 + 作成] を選択します。
- [ロックレベル]: [読み取り専用] を選択します。
- [メンバーの追加] を選択します。
  - [役割]: [所有者] を選択します。
  - [プリンシパルを選択する]: managedAppDemo のようなグループの名前を選択します。
  管理対象リソースグループで [ロックレベル] を指定すると、このリソースグループに対して問題となるような操作を顧客が実行できなくなります。 Read Only を指定すると、顧客は管理対象リソースグループに存在するリソースの読み取りしか実行できません。管理対象リソースグループへのアクセス権が付与されている発行元 ID は、ロックレベルの対象外となります。
[検証に成功しました] が表示されたら、[作成] を選択します。

デプロイが完了すると、リソースグループにマネージドアプリケーション定義が作成されます。

ユーザーが定義を確認できるようにする

自身がアクセスできるマネージアプリケーション定義に、組織の他のユーザーもアクセスできることを確認する必要があります。定義に対して閲覧者以上のロールをユーザーに付与してください。これらの人々は、このレベルのアクセス権をサブスクリプションまたはリソースグループから継承している場合があります。定義にアクセスできるユーザーを確認したり、ユーザーやグループを追加したりするには、「Azure portal を使用して Azure ロールを割り当てる」を参照してください。

リソースをクリーンアップする

これから定義をデプロイする場合は、記事にリンクしている「次の手順」セクションに進んで定義をデプロイします。

マネージドアプリケーションの定義が終了したら、作成した packageStorageGroup および appDefinitionGroup という名前のリソースグループを削除できます。

コマンドを実行すると、リソースグループを削除することを確認するメッセージが表示されます。

Remove-AzResourceGroup -Name packageStorageGroup

Remove-AzResourceGroup -Name appDefinitionGroup

このコマンドは確認を求めてから、リソースの削除中にコマンドプロンプトに戻ります。

az group delete --resource-group packageStorageGroup --no-wait

az group delete --resource-group appDefinitionGroup --no-wait

次のステップ

マネージドアプリケーション定義を発行しました。次の手順では、その定義のインスタンスをデプロイする方法を確認します。

クイックスタート: サービスカタログマネージドアプリケーションのデプロイ

次の方法で共有

クイックスタート: マネージドアプリケーションの定義を作成および発行する

前提条件

ARM テンプレートを作成する

ポータルエクスペリエンスを定義する

ファイルのパッケージ化

マネージドアプリケーション定義の作成

グループ ID とロール定義 ID を取得する

マネージドアプリケーション定義を発行する

ユーザーが定義を確認できるようにする

リソースをクリーンアップする

次のステップ

フィードバック

その他のリソース

次の方法で共有

クイック スタート: マネージド アプリケーションの定義を作成および発行する

前提条件

ARM テンプレートを作成する

ポータル エクスペリエンスを定義する

ファイルのパッケージ化

マネージド アプリケーション定義の作成

グループ ID とロール定義 ID を取得する

マネージド アプリケーション定義を発行する

ユーザーが定義を確認できるようにする

リソースをクリーンアップする

次のステップ

フィードバック

その他のリソース

クイックスタート: マネージドアプリケーションの定義を作成および発行する

ポータルエクスペリエンスを定義する

マネージドアプリケーション定義の作成

マネージドアプリケーション定義を発行する