Microsoft Entra ID を使用して Web PubSub リソースへのアクセスを認可する

[アーティクル]
08/18/2023

Azure Web PubSub Service では、Microsoft Entra ID を使用して Azure Web PubSub リソースへの要求を承認できます。

Microsoft Entra ID でロールベースのアクセス制御 (RBAC) を使用することで、セキュリティプリンシパル ^[1] にアクセス許可を付与できます。 Microsoft Entra は、このセキュリティプリンシパルを承認し、OAuth 2.0 トークンを返します。このトークンは、Web PubSub リソースが要求の承認に使用できます。

Web PubSub 要求の認可に Microsoft Entra ID を使用すると、アクセスキーによる認可と比較してセキュリティが強化され、使いやすさが向上します。可能な場合、必要最小限の特権でアクセスできるように、Web PubSub リソースで Microsoft Entra 認可を利用することをお勧めします。

[1] セキュリティプリンシパル: ユーザーやリソースグループ、アプリケーション、またはシステム割り当て ID やユーザー割り当て ID などのサービスプリンシパル。

Web PubSub の Microsoft Entra ID の概要

Microsoft Entra ID を使用する場合、Web PubSub リソースにアクセスするには認証が必要です。この認証には、次の 2 つの手順が含まれます。

最初に、Azure では、セキュリティプリンシパルを認証して OAuth 2.0 トークンを発行します。
次に、トークンが Web PubSub リソースに要求に追加されます。 Web PubSub サービスはトークンを使用して、サービスプリンシパルがリソースにアクセスできるかどうかを確認します。

Microsoft Entra ID を使用中のクライアント側の認証

ネゴシエーションサーバー/Function App は Web PubSub リソースとアクセスキーを共有し、Web PubSub サービスがアクセスキーによって生成されたクライアントトークンを使用してクライアント接続要求を認証できるようにします。

ただし、セキュリティを向上させるために Microsoft Entra ID を使用すると、アクセスキーが無効になることがよくあります。

この問題に対処するために、クライアントトークンを生成する REST API を開発しました。このトークンを使用して、Azure Web PubSub サービスに接続できます。

この API を使用するには、ネゴシエーションサーバーは、まず Azure から Microsoft Entra Token を取得してそれを認証する必要があります。サーバーは、 Microsoft Entra Token を使用して Web PubSub Auth API を呼び出し、 クライアントトークンを取得できます。その後、 クライアントトークン がクライアントに返されます。このトークンを使用して Azure Web PubSub サービスに接続できます。

Microsoft では、サポートされているプログラミング言語用のヘルパー関数 (GenerateClientAccessUri など) を提供しています。

アクセス権の Azure ロールを割り当てる

Microsoft Entra は、Azure ロールベースのアクセス制御を通じて、セキュリティで保護されたリソースへのアクセス権を承認します。 Azure Web PubSub では、Web PubSub リソースへのアクセスに使用される一般的なアクセス許可セットを含む一連の Azure 組み込みロールが定義されます。 Web PubSub リソースにアクセスするためのカスタムロールを定義することもできます。

リソースのスコープ

Azure RBAC ロールをセキュリティプリンシパルに割り当てる前に、プリンシパルに必要な適切なレベルのアクセス権を特定することが重要です。できる限り狭いスコープにロールを付与することをお勧めします。その下にあるリソースは、より広範なスコープを持つ Azure RBAC ロールを継承します。

Azure Web PubSub リソースへのアクセスのスコープは、次のレベルで指定できます (最も狭いスコープから順に示します)。

個々のリソース。

このスコープでは、ロールの割り当てはターゲットリソースにのみ適用されます。
リソースグループ。

このスコープでは、ロールの割り当てがリソースグループ内のすべてのリソースに適用されます。
サブスクリプション。

このスコープでは、ロールの割り当てがサブスクリプションにあるすべてのリソースグループ内のすべてのリソースに適用されます。
管理グループ。

このスコープでは、ロールの割り当てが、管理グループのすべてのサブスクリプションにあるすべてのリソースグループ内のすべてのリソースに適用されます。

Web PubSub リソース用の Azure 組み込みロール

Web PubSub Service Owner

データプレーンのアクセス許可へのフルアクセス (読み取り/書き込み REST API や認証 API を含む)。

このロールは、アップストリームサーバーを構築するために最も一般的に使用されています。
Web PubSub Service Reader

Web PubSub リソースへの読み取り専用 REST API アクセス許可を付与するために使用します。

これは、Web PubSub データプレーンの読み取り専用 REST API のみを呼び出す管理ツールを作成する場合に使用します。