PowerShellとMicrosoft Graph自動化のためのEntra IDサービスプリンシパル認証：Key Vaultと証明書認証のベストプラクティス

Tech

[META-DATA] SKU_RESEARCHED: Azure Entra ID P1, Azure Key Vault Standard, Microsoft Graph SDK (PowerShell), Azure CLI 2.60.0+ COMPLIANCE: NIST SP 800-53, CIS Microsoft 365 Benchmarks BEST_PRACTICE: Well-Architected Framework (Security, Operational Excellence) TARGET_AUDIENCE: Senior Cloud Architects, DevOps Engineers SERVICE_NAME_UPDATE: Entra ID (formerly Azure AD) confirmed. [/META-DATA]

本記事はGeminiの出力をプロンプト工学で整理した業務ドラフト（未検証）です。

PowerShellとMicrosoft Graph自動化のためのEntra IDサービスプリンシパル認証：Key Vaultと証明書認証のベストプラクティス

【導入】

Entra IDの管理やレポート作成を自動化する際、スクリプト内に認証情報をハードコーディングするリスクを排除し、安全かつ継続的な運用を実現します。

【アーキテクチャ設計】

本設計は、セキュリティのベストプラクティスである「認証情報の分離」と「証明書ベース認証の利用」に基づいています。実行環境（例：Azure AutomationやAzure Function）は、Entra IDのサービスプリンシパル（アプリケーション登録）として振る舞い、Key Vaultに格納された証明書を使用してMicrosoft Graph APIにセキュアにアクセスします。

コンポーネント間の関係性は以下の通りです。

graph TD
    A["PowerShell Execution Environment(\"e.g., Automation Account\")"] -->|1. Request Certificate("Managed Identity")| B["Azure Key Vault"]
    B -->|2. Return Certificate (PFX)| A
    A -->|3. Get Access Token("Certificate Assertion")| C["Entra ID Token Endpoint"]
    C -->|4. Return JWT Token| A
    A -->|5. API Call("Bearer Token")| D["Microsoft Graph API"]
    D -->|6. Data/Action Result| A

解説:

  1. 実行環境（A）：認証情報を直接保持しません。Azure Key Vaultへのアクセスには、AzureリソースのマネージドID（推奨）または最小限のアクセス権を持つユーザーIDを使用します。

  2. Azure Key Vault (B)：サービスプリンシパルが使用する秘密鍵と公開鍵を含む証明書を安全に格納します。

  3. Entra ID (C)：証明書のアサーション（公開鍵の検証）に基づき、サービスプリンシパルに代わってMicrosoft Graphへのアクセスに必要なJWTトークンを発行します。

  4. Microsoft Graph (D)：発行されたトークンを検証し、許可されたスコープ（権限）内の処理を実行します。

【実装・デプロイ手順】

1. Entra ID アプリケーション登録と証明書の設定 (Azure CLI)

サービスプリンシパルを作成し、認証に用いる自己署名証明書（またはCA証明書）をEntra IDにアップロードします。

# 1. 変数定義

export APP_NAME="GraphAutomationSP"
export CERT_PASSWORD="<SecurePassword>"
export CERT_PATH="./graph_automation_cert.pfx"

# 2. 自己署名証明書を作成し、PFX形式でエクスポート (PowerShell環境で実行推奨)


# New-SelfSignedCertificate -Subject "CN=$APP_NAME" -KeyExportPolicy Exportable -CertStoreLocation Cert:\CurrentUser\My | Export-PfxCertificate -FilePath $CERT_PATH -Password (ConvertTo-SecureString $CERT_PASSWORD -AsPlainText -Force)

# 3. Entra IDにアプリケーションを登録し、Service Principalを作成

APP_ID=$(az ad app create --display-name $APP_NAME --query appId --output tsv)
az ad sp create --id $APP_ID

# 4. 作成した証明書をアプリケーションにアップロード


# Key Credentialとして公開鍵を登録する

az ad app credential set --id $APP_ID --certificate @$CERT_PATH --key-type AsymmetricKey --password $CERT_PASSWORD

echo "Application ID (Client ID): $APP_ID"

2. Microsoft Graph権限の付与 (Azure CLI)

アプリケーションが必要とする最小限のAPI権限（スコープ）をEntra IDのサービスプリンシパルに付与します。ここでは例として読み取り権限を設定します。

# 5. Microsoft Graph APIのサービスプリンシパルIDを取得

GRAPH_SP_ID=$(az ad sp list --display-name "Microsoft Graph" --query "[0].id" --output tsv)

# 6. 必要な権限スコープを定義 (例: User.Read.All)


# 重要な点: アプリケーション権限 (Application Permissions) を使用すること。

PERMISSION_NAME="User.Read.All" 

# 7. スコープIDを取得

PERMISSION_ID=$(az ad sp show --id $GRAPH_SP_ID --query "appRoles[?value=='$PERMISSION_NAME'].id" --output tsv)

# 8. アプリケーション登録に権限を追加

az ad app permission add --id $APP_ID --api $GRAPH_SP_ID --api-permissions "$PERMISSION_ID=Role"

# 9. 管理者による同意 (Admin Consent) を付与


# Entra ID管理者権限が必要です

az ad app permission grant --id $APP_ID --api $GRAPH_SP_ID --scope $PERMISSION_NAME
az ad app permission admin-consent --id $APP_ID

3. PowerShellによるKey Vaultからの証明書取得とGraph接続

実行環境（PowerShellセッション）でKey Vaultから証明書を取得し、それを使ってMicrosoft Graphに接続します。

# Prerequisites: Install-Module -Name Microsoft.Graph -Scope CurrentUser

# 1. 変数定義 (実際の環境に合わせて置換)

$TenantId = "YOUR_TENANT_ID"
$ClientId = "YOUR_APPLICATION_ID" # $APP_ID
$KeyVaultName = "your-secure-keyvault"
$CertificateName = "GraphAutomationCert" # Key Vaultにアップロードされた証明書名

# 2. Key Vaultから証明書を取得 (PFX形式で秘密鍵を含む)


# 注: Key Vaultへのアクセスには、実行環境が適切に認証されている必要があります (例: Managed Identity)

$certSecret = Get-AzKeyVaultSecret -VaultName $KeyVaultName -Name $CertificateName -AsPlainText
$certBytes = [System.Convert]::FromBase64String($certSecret)

# 3. 証明書オブジェクトをインポート (一時的にメモリに読み込む)

$cert = New-Object System.Security.Cryptography.X509Certificates.X509Certificate2($certBytes, $null, [System.Security.Cryptography.X509Certificates.X509KeyStorageFlags]::Exportable)

# 4. 証明書認証を使用してMicrosoft Graphに接続

Connect-MgGraph -TenantId $TenantId -ClientId $ClientId -Certificate $cert -Scopes "User.Read.All"

# 5. 接続テスト (例: ユーザー一覧の取得)

Write-Host "Connected to Microsoft Graph successfully."
Get-MgUser -Top 10 | Select-Object DisplayName, UserPrincipalName

【アイデンティティとセキュリティ】

最小特権の原則に基づく設計

コンポーネント セキュリティ設計 ベストプラクティス
サービスプリンシパル (SP) Microsoft Graphスコープの最小化 (User.Read.Allではなく、必要な特定のスコープのみ) 必要なAPI権限のみをApplication Permissionsで付与し、委任された権限（Delegated Permissions）は使用しない。
Azure Key Vault ネットワークアクセスの制限 プライベートエンドポイントを有効化し、VNet内部または特定のAzureリソース（Automation Accountなど）からのみアクセスを許可する。
実行環境 (Automation/Function) マネージドID (MI) の使用 Key Vaultへのアクセス認証には必ずシステム割り当てマネージドIDを使用し、ID/シークレットをコード内に含めない。MIにKey VaultのGet Secret/Certificate権限のみを付与する。
証明書のライフサイクル 証明書の期限設定 証明書は最大1年などの短期で発行し、有効期限が切れる前に自動的にローテーションする仕組みを導入する (例: Azure Key Vaultの通知機能)。
Entra ID 条件付きアクセス サービスプリンシパルによるGraph APIアクセスを、特定のロケーションやデバイスに制限する（必要に応じて）。

Entra ID 権限の具体例

権限 意味 必要な操作
User.Read.All テナント内のすべてのユーザー情報を読み取る ユーザー一覧の取得、プロパティの参照
Group.ReadWrite.All すべてのグループを作成、読み取り、更新、削除する グループの自動作成・管理

セキュリティ注意点: Directory.ReadWrite.All は広範な権限を持つため、使用は避けるべきです。必要な場合は、Entra IDカスタムロールを作成し、サービスプリンシパルに割り当てることを検討してください。

【運用・コスト最適化】

可観測性（Observability）

実行された自動化タスクの追跡とセキュリティ監査のために、以下のログ設計を必須とします。

  1. Entra ID 監査ログ（Audit Logs）：サービスプリンシパルによる認証試行（成功/失敗）と、Microsoft Graph経由で実行されたすべての変更操作を記録します。

  2. Key Vault 診断ログ：証明書へのアクセス試行をすべて記録します。不正アクセスや異常な頻度のアクセスを検出するために利用します。

  3. 実行環境ログ：

    • Azure Automation：Runbookの出力をLog Analyticsワークスペースに接続し、実行時間、エラー、カスタム出力を監視します。

    • Azure Functions：Application Insightsを使用して、スクリプトの実行パフォーマンスとエラー詳細を分析します。

コスト最適化

  • Azure Automation Account / Azure Functions：定型的なタスクはAzure Automationの消費ベースプラン（Free Tierまたは従量課金）を活用します。実行頻度や実行時間に応じて最も安価なオプションを選択します。

  • Azure Key Vault：ほとんどのユースケースではStandard SKUで十分です。HSM保護が必要な場合はPremium SKUを選択しますが、証明書の格納と取得のみであればStandardがコスト効率に優れています。

  • Log Analytics：ログの保持期間を短縮（監査要件を満たす最小限の期間）し、データインジェクション量を最適化することでコストを削減します。

【まとめ】

PowerShellによるMicrosoft Graphの自動化において、サービスプリンシパル認証を安全に実装するための3つの要点を示します。

  1. 認証情報の分離と証明書の使用：クライアントシークレットの使用を避け、Azure Key Vaultに格納した証明書ベースの認証（Certificate Assertion）を徹底します。これにより、認証情報漏洩リスクを劇的に低減できます。

  2. 最小特権とマネージドID：サービスプリンシパルには必要なMicrosoft Graphスコープのみを付与し、Key Vaultへのアクセスには実行環境のマネージドID（MI）を利用します。MIにはKey Vaultの「Get」権限のみを与え、攻撃対象領域を最小化します。

  3. 監査と監視の徹底（落とし穴への対策）：サービスプリンシパルは非常に強力な権限を持つため、Entra ID監査ログおよびKey Vault診断ログをLog Analyticsにルーティングし、定期的に異常なアクセスパターンがないか確認する運用体制を構築することが、自動化に伴うセキュリティリスクの落とし穴を防ぎます。

ライセンス：本記事のテキスト/コードは特記なき限り CC BY 4.0 です。引用の際は出典URL（本ページ）を明記してください。
利用ポリシー もご参照ください。

コメント

タイトルとURLをコピーしました