Microsoft Entra で保護されたエンドポイントにイベントを配信する

[アーティクル]
02/02/2024

この記事では、Microsoft Entra ID を使用して、イベントサブスクリプションと Webhook エンドポイント間の接続をセキュリティで保護する方法について説明します。ここではデモンストレーションのために Azure portal を使用しますが、CLI、PowerShell、または SDK を使用してこの機能を有効にすることもできます。

重要

セキュリティの脆弱性に対処するために、2021 年 3 月 30 日にイベントサブスクリプションの作成または更新の一環として追加のアクセス確認が導入されました。サブスクライバークライアントのサービスプリンシパルは、所有者であるか、配信先のアプリケーションサービスプリンシパルのロールが割り当てられている必要があります。下記の新たな手順に従って、Microsoft Entra アプリケーションを再構成します。Microsoft Entra アプリケーションとサービスプリンシパルの概要については、Microsoft ID プラットフォーム (v2.0) の概要を参照してください。

シナリオ

この記事では、次の 2 つのシナリオを実装する方法を詳しく説明します。

イベントを、イベントサブスクリプションと同じ Microsoft Entra テナント内の Webhook に配信する。このシナリオでは、イベントサブスクリプションライターとして Microsoft Entra ユーザーまたは Microsoft Entra アプリケーションを使用できます。
イベントを、イベントサブスクリプションとは異なる Microsoft Entra テナント内の Webhook に配信する。このシナリオでは、イベントサブスクリプションライターとして Microsoft Entra アプリケーションのみを使用できます。

最初のシナリオでは、イベントサブスクリプションと Webhook の両方を含む 1 つのテナントですべての手順またはスクリプトを実行します。また、2 番目のシナリオでは、イベントサブスクリプションを含むテナントでいくつかの手順を実行し、Webhook を含むテナントでいくつかの手順を実行します。

同じ Microsoft Entra テナントの Webhook にイベントを配信する

次の図は、Event Grid イベントが、イベントサブスクリプションと同じテナント内の Webhook にどのように配信されるかを示しています。

同じテナント内にある Webhook への、イベントの安全な配信を示す画像。

このセクションには 2 つのサブセクションがあります。これらのシナリオを両方とも、または関心のある方だけをお読みください。

Microsoft Entra ID ユーザーを使用してイベントサブスクリプションを構成する
Microsoft Entra ID アプリケーションを使用してイベントサブスクリプションを構成する

Microsoft Entra ユーザーを使用してイベントサブスクリプションを構成する

このセクションでは、Microsoft Entra ユーザーを使用してイベントサブスクリプションを構成する方法について説明します。

Microsoft Entra (シングルテナント) で動作するように構成された Webhook 用の Microsoft Entra アプリケーションを作成します。
テナントで Azure Shell を開き、PowerShell 環境を選択します。

テナントに接続するために、 $webhookAadTenantId の値を変更します。

Variables:
- $webhookAadTenantId: Azure テナント ID

$webhookAadTenantId = "[REPLACE_WITH_YOUR_TENANT_ID]"
Connect-MgGraph -TenantId $webhookAadTenantId -Scopes "Application.ReadWrite.All, AppRoleAssignment.ReadWrite.All"

次のスクリプトを開き、$webhookAppObjectId と $eventSubscriptionWriterUserPrincipalName の値を実際の識別子に置き換えて更新し、スクリプトの実行を続けます。
- Variables:
  - $webhookAppObjectId: Webhook 用に作成された Microsoft Entra アプリケーション ID
  - $eventSubscriptionWriterUserPrincipalName: イベントサブスクリプションを作成するユーザーの Azure ユーザープリンシパル名
Note

$eventGridAppId の値を変更する必要はありません。このスクリプトでは、$eventGridRoleName に AzureEventGridSecureWebhookSubscriber が設定されます。このスクリプトを実行するには、Microsoft Entra アプリケーション管理者ロールのメンバーか、Microsoft Entra ID で Webhook アプリのサービスプリンシパルの所有者である必要があります。

次のエラーメッセージが表示された場合は、サービスプリンシパルに昇格する必要があります。セキュリティの脆弱性に対処するために、2021 年 3 月 30 日にイベントサブスクリプションの作成または更新の一環として追加のアクセス確認が導入されました。サブスクライバークライアントのサービスプリンシパルは、所有者であるか、配信先のアプリケーションサービスプリンシパルのロールが割り当てられている必要があります。
```
New-MgServicePrincipalAppRoleAssignment: Error occurred while executing NewServicePrincipalAppRoleAssignment
Code: Authorization_RequestDenied
Message: Insufficient privileges to complete the operation.
```
ポータルでイベントサブスクリプションを作成するときは、次の手順を実行します。
1. エンドポイントの種類として [Webhook] を選択します。
2. エンドポイントの URI を指定します。
3. [イベントサブスクリプションの作成] ページの上部にある [追加機能] タブを選択します。
4. [追加機能] タブで、次の手順を実行します。
  1. [Use Microsoft Entra authentication] (Microsoft Entra 認証を使用する) を選択し、テナント ID とアプリケーション ID を構成します。
  2. スクリプトの出力から Microsoft Entra のテナント ID をコピーし、[Microsoft Entra tenant ID] (Microsoft Entra テナント ID) フィールドに入力します。
  3. スクリプトの出力から Microsoft Entra のアプリケーション ID をコピーし、[Microsoft Entra Application ID] (Microsoft Entra アプリケーション ID) フィールドに入力します。アプリケーション ID を使用する代わりに、Microsoft Entra アプリケーション ID URI を使用できます。アプリケーション ID URI の詳細については、こちらの記事を参照してください。

Microsoft Entra アプリケーションを使用してイベントサブスクリプションを構成する

このセクションでは、Microsoft Entra アプリケーションを使用してイベントサブスクリプションを構成する方法について説明します。

Microsoft Entra (シングルテナント) で動作するように構成された Event Grid サブスクリプションライター用の Microsoft Entra アプリケーションを作成します。
Microsoft Entra アプリケーションのシークレットを作成し、値を保存します (この値は後で必要になります)。
Event Grid トピックの [アクセス制御 (IAM)] ページに移動し、Event Grid サブスクリプションライターアプリに Event Grid 共同作成者ロールを割り当てます。この手順を使用すると、Azure CLI を使用して、Microsoft Entra アプリケーションで Azure にログインしたときに Event Grid リソースにアクセスできるようになります。
Microsoft Entra (シングルテナント) で動作するように構成された Webhook 用の Microsoft Entra アプリケーションを作成します。
テナントで Azure Shell を開き、PowerShell 環境を選択します。

テナントに接続するために、 $webhookAadTenantId の値を変更します。

Variables:
- $webhookAadTenantId: Azure テナント ID

$webhookAadTenantId = "[REPLACE_WITH_YOUR_TENANT_ID]"
Connect-MgGraph -TenantId $webhookAadTenantId -Scopes "Application.ReadWrite.All, AppRoleAssignment.ReadWrite.All"

次のスクリプトを開き、$webhookAppObjectId と $eventSubscriptionWriterAppId の値を実際の識別子に置き換えて更新し、スクリプトの実行を続けます。
- Variables:
  - $webhookAppObjectId: Webhook 用に作成された Microsoft Entra アプリケーション ID
  - $eventSubscriptionWriterAppId: Event Grid サブスクリプションライターアプリの Microsoft Entra アプリケーション ID。
Note

$eventGridAppId の値を変更する必要はありません。このスクリプトでは、$eventGridRoleName に AzureEventGridSecureWebhookSubscriber が設定されます。このスクリプトを実行するには、Microsoft Entra アプリケーション管理者ロールのメンバーか、Microsoft Entra ID で Webhook アプリのサービスプリンシパルの所有者である必要があります。

コマンドを実行して、Event Grid サブスクリプションライター Microsoft Entra アプリケーションとしてサインインします。

az login --service-principal -u [REPLACE_WITH_EVENT_GRID_SUBSCRIPTION_WRITER_APP_ID] -p [REPLACE_WITH_EVENT_GRID_SUBSCRIPTION_WRITER_APP_SECRET_VALUE] --tenant [REPLACE_WITH_TENANT_ID]

次のコマンドを実行して、サブスクリプションを作成します。

az eventgrid system-topic event-subscription create --name [REPLACE_WITH_SUBSCRIPTION_NAME] -g [REPLACE_WITH_RESOURCE_GROUP] --system-topic-name [REPLACE_WITH_SYSTEM_TOPIC] --endpoint [REPLACE_WITH_WEBHOOK_ENDPOINT] --event-delivery-schema [REPLACE_WITH_WEBHOOK_EVENT_SCHEMA] --azure-active-directory-tenant-id [REPLACE_WITH_TENANT_ID] --azure-active-directory-application-id-or-uri [REPLACE_WITH_APPLICATION_ID_FROM_SCRIPT] --endpoint-type webhook

Note

このシナリオでは、システムトピックを使用します。 Azure CLI を使用してカスタムトピックまたはドメインのサブスクリプションを作成する場合は、CLI リファレンスを参照してください。

すべてが正しく構成されていれば、Event Grid トピックに Webhook サブスクリプションを正常に作成できます。

Note

この時点で、Event Grid はすべてのメッセージで Microsoft Entra ベアラートークンを Webhook クライアントに渡すようになっています。 Webhook で認証トークンを検証する必要があります。

異なる Microsoft Entra テナントの Webhook にイベントを配信する

別々の Microsoft Entra テナントにあるイベントサブスクリプションと Webhook エンドポイント間の接続をセキュリティで保護するには、このセクションで示すように Microsoft Entra ID アプリケーションを使用する必要があります。現時点では、Azure portal で Microsoft Entra ID ユーザーを使用してこの接続をセキュリティで保護することはできません。

Microsoft Entra ID と Webhook を使用したマルチテナントイベント

図に基づいて、次の手順に従って両方のテナントを構成します。

テナント A

テナント A で次の手順を実行します。

任意の Microsoft Entra (マルチテナント) で動作するように構成された Event Grid サブスクリプションライター用の Microsoft Entra アプリケーションを作成します。
Microsoft Entra アプリケーションのシークレットを作成し、値を保存します (この値は後で必要になります)。
Event Grid トピックの [アクセス制御 (IAM)] ページに移動します。 Event Grid サブスクリプションライターの Microsoft Entra アプリケーションに、Event Grid の共同作成者ロールを割り当てます。この手順では、Azure CLI を使用して、Microsoft Entra アプリケーションで Azure にサインインするときに、アプリケーションが Event Grid リソースにアクセスできるようにします。

テナント B

テナント B で次の手順を実行します。

Microsoft Entra (シングルテナント) で動作するように構成された Webhook 用の Microsoft Entra アプリケーションを作成します。
Azure Shell を開き、PowerShell 環境を選択します。

テナント B に接続するために、 $webhookAadTenantId の値を変更します。

Variables:

$webhookAadTenantId: テナント B の Azure テナント ID

$webhookAadTenantId = "[REPLACE_WITH_YOUR_TENANT_ID]"
Connect-MgGraph -TenantId $webhookAadTenantId -Scopes "Application.ReadWrite.All, AppRoleAssignment.ReadWrite.All"

次のスクリプトを開き、 $webhookAppObjectId と $eventSubscriptionWriterAppId の値を実際の識別子に置き換えて更新し、スクリプトの実行を続けます。
- Variables:
  - $webhookAppObjectId: Webhook 用に作成された Microsoft Entra アプリケーション ID
  - $eventSubscriptionWriterAppId: Event Grid サブスクリプションライターの Microsoft Entra アプリケーション ID
    
    Note
    
    $eventGridAppId の値を変更する必要はありません。このスクリプトでは、$eventGridRoleName に AzureEventGridSecureWebhookSubscriber が設定されます。このスクリプトを実行するには、Microsoft Entra アプリケーション管理者ロールのメンバーか、Microsoft Entra ID で Webhook アプリのサービスプリンシパルの所有者である必要があります。
次のエラーメッセージが表示された場合は、サービスプリンシパルに昇格する必要があります。セキュリティの脆弱性に対処するために、2021 年 3 月 30 日にイベントサブスクリプションの作成または更新の一環として追加のアクセス確認が導入されました。サブスクライバークライアントのサービスプリンシパルは、所有者であるか、配信先のアプリケーションサービスプリンシパルのロールが割り当てられている必要があります。
```
New-MgServicePrincipalAppRoleAssignment: Error occurred while executing NewServicePrincipalAppRoleAssignment
Code: Authorization_RequestDenied
Message: Insufficient privileges to complete the operation.
```

テナント A

テナント A に戻って、次の手順を実行します。

Azure Shell を開いたら、コマンドを実行して、Event Grid サブスクリプションライター Microsoft Entra アプリケーションとしてサインインします。
```
az login --service-principal -u [REPLACE_WITH_APP_ID] -p [REPLACE_WITH_SECRET_VALUE] --tenant [REPLACE_WITH_TENANT_ID]
```

次のコマンドを実行して、サブスクリプションを作成します。

az eventgrid system-topic event-subscription create --name [REPLACE_WITH_SUBSCRIPTION_NAME] -g [REPLACE_WITH_RESOURCE_GROUP] --system-topic-name [REPLACE_WITH_SYSTEM_TOPIC] --endpoint [REPLACE_WITH_WEBHOOK_ENDPOINT] --event-delivery-schema [REPLACE_WITH_WEBHOOK_EVENT_SCHEMA] --azure-active-directory-tenant-id [REPLACE_WITH_TENANT_B_ID] --azure-active-directory-application-id-or-uri [REPLACE_WITH_APPLICATION_ID_FROM_SCRIPT] --endpoint-type webhook

Note

このシナリオでは、Event Grid システムトピック使用しています。カスタムトピックや Event Grid ドメインのサブスクリプションを、Azure CLI を使用して作成する場合は、こちらを参照してください。

すべてが正しく構成されていれば、Event Grid トピックに Webhook サブスクリプションを正常に作成できます。

Note

この時点で、Event Grid はすべてのメッセージで Microsoft Entra ベアラートークンを Webhook クライアントに渡すようになっています。 Webhook で認証トークンを検証する必要があります。

次のステップ

概念情報の詳細については「WebHook イベント配信」を参照してください。
イベント配信の監視について詳しくは、「Event Grid メッセージ配信の監視」をご覧ください。
認証キーについて詳しくは、「Event Grid のセキュリティと認証」をご覧ください。
Azure Event Grid サブスクリプションの作成の詳細については、Event Grid サブスクリプションスキーマに関する記事を参照してください。

次の方法で共有

Microsoft Entra で保護されたエンドポイントにイベントを配信する

シナリオ

同じ Microsoft Entra テナントの Webhook にイベントを配信する

Microsoft Entra ユーザーを使用してイベントサブスクリプションを構成する

Microsoft Entra アプリケーションを使用してイベントサブスクリプションを構成する

異なる Microsoft Entra テナントの Webhook にイベントを配信する

テナント A

テナント B

テナント A

次のステップ

フィードバック

その他のリソース

次の方法で共有

Microsoft Entra で保護されたエンドポイントにイベントを配信する

シナリオ

同じ Microsoft Entra テナントの Webhook にイベントを配信する

Microsoft Entra ユーザーを使用してイベント サブスクリプションを構成する

Microsoft Entra アプリケーションを使用してイベント サブスクリプションを構成する

異なる Microsoft Entra テナントの Webhook にイベントを配信する

テナント A

テナント B

テナント A

次のステップ

フィードバック

その他のリソース

Microsoft Entra ユーザーを使用してイベントサブスクリプションを構成する

Microsoft Entra アプリケーションを使用してイベントサブスクリプションを構成する