Azure CLIのインストールとログイン設定｜az loginとサービスプリンシパルで自動化に備える方法

この記事のポイント

・az ad sp create-for-rbacでサービスプリンシパルとシークレットを同時生成できる
・az login --service-principalで非対話ログインしてスクリプト自動化に備える
・AZURE_CLIENT_ID等の環境変数でCI/CDパイプラインから認証情報を参照できる
・本番VMにはManaged Identityへの移行を推奨（この記事で移行パスも押さえる）

# Microsoftリポジトリキーをインポート
$ sudo rpm --import https://packages.microsoft.com/keys/microsoft.asc

# Microsoftリポジトリ設定を追加
$ sudo dnf install -y https://packages.microsoft.com/config/rhel/9.0/packages-microsoft-prod.rpm

# Azure CLIをインストール
$ sudo dnf install -y azure-cli

# バージョン確認
$ az --version
azure-cli                         2.61.0
core                              2.61.0
telemetry                          1.1.0

# 公式インストールスクリプトで一括インストール
$ curl -sL https://aka.ms/InstallAzureCLIDeb | sudo bash

# バージョン確認
$ az --version
azure-cli                         2.61.0

# wingetでインストール（Windows 10/11）
> winget install -e --id Microsoft.AzureCLI

# バージョン確認
> az --version

$ az login

# ブラウザが自動で起動してMicrosoftアカウントのサインイン画面が表示される
# サインイン成功後、ターミナルにJSON形式でサブスクリプション情報が出力される
[
  {
    "cloudName": "AzureCloud",
    "homeTenantId": "xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx",
    "id": "xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx",
    "isDefault": true,
    "name": "my-azure-subscription",
    "state": "Enabled",
    "tenantId": "xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx",
    "user": {
      "name": "user@example.com",
      "type": "user"
    }
  }
]

$ az login --use-device-code

To sign in, use a web browser to open the page https://microsoft.com/devicelogin
and enter the code XXXXXXXX to authenticate.

# ログイン中のアカウントを確認
$ az account show
{
  "environmentName": "AzureCloud",
  "id": "xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx",
  "isDefault": true,
  "name": "my-azure-subscription",
  "state": "Enabled",
  "tenantId": "xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx",
  "user": {
    "name": "user@example.com",
    "type": "user"
  }
}

# 複数サブスクリプションがある場合は一覧を表示
$ az account list --output table
Name                   CloudName    SubscriptionId    TenantId    State    IsDefault
---------------------  -----------  ----------------  ----------  -------  -----------
my-azure-subscription  AzureCloud   xxxx-...          xxxx-...    Enabled  True
dev-subscription       AzureCloud   xxxx-...          xxxx-...    Enabled  False

# デフォルトサブスクリプションを切り替える
$ az account set --subscription dev-subscription

# サブスクリプションIDを変数に取得
$ SUBSCRIPTION_ID=$(az account show --query id -o tsv)

# サービスプリンシパルを作成（Contributorロール・サブスクリプション全体）
$ az ad sp create-for-rbac   --name myAutomationSP   --role Contributor   --scopes /subscriptions/${SUBSCRIPTION_ID}

# 出力例（passwordはこの1回限り。必ず安全な場所に保存すること）
{
  "appId": "xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx",
  "displayName": "myAutomationSP",
  "password": "xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx",
  "tenant": "xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx"
}

# 特定リソースグループのみに権限を限定する場合
$ az ad sp create-for-rbac   --name myAutomationSP   --role Contributor   --scopes /subscriptions/${SUBSCRIPTION_ID}/resourceGroups/rg-production

# 既存サービスプリンシパルのappIdを確認
$ az ad sp list --display-name myAutomationSP --query "[].{name:displayName, appId:appId}" -o table

# 新しいシークレットを生成（有効期限を2年に設定）
$ az ad sp credential reset   --id    --years 2

# サービスプリンシパルでログイン
$ az login --service-principal   --username    --password    --tenant 

# 成功時の出力（userのtypeが servicePrincipal になっていることを確認）
[
  {
    "cloudName": "AzureCloud",
    "id": "xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx",
    "isDefault": true,
    "name": "my-azure-subscription",
    "state": "Enabled",
    "tenantId": "xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx",
    "user": {
      "name": "xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx",
      "type": "servicePrincipal"
    }
  }
]

# ログイン確認
$ az account show --query user
{
  "name": "xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx",
  "type": "servicePrincipal"
}

# シークレットをファイルに保存し、権限を制限
$ echo "xxxxxxxxxxxxxxxxxxxxxx" > ~/.azure/sp-secret.txt
$ chmod 400 ~/.azure/sp-secret.txt

# @ファイルパスでシークレットを読み込んでログイン
$ az login --service-principal   --username    --password @~/.azure/sp-secret.txt   --tenant 

# 環境変数を設定してサービスプリンシパルでログイン
export AZURE_CLIENT_ID="xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx"
export AZURE_CLIENT_SECRET="xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx"
export AZURE_TENANT_ID="xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx"
export AZURE_SUBSCRIPTION_ID="xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx"

az login --service-principal   --username "${AZURE_CLIENT_ID}"   --password "${AZURE_CLIENT_SECRET}"   --tenant "${AZURE_TENANT_ID}"

az account set --subscription "${AZURE_SUBSCRIPTION_ID}"

# .github/workflows/azure-deploy.yml
steps:
  - name: Azure CLI ログイン
    run: |
      az login --service-principal         --username "${{ secrets.AZURE_CLIENT_ID }}"         --password "${{ secrets.AZURE_CLIENT_SECRET }}"         --tenant "${{ secrets.AZURE_TENANT_ID }}"
      az account set --subscription "${{ secrets.AZURE_SUBSCRIPTION_ID }}"

  - name: リソースグループ一覧表示（動作確認）
    run: az group list --output table

# まずサブスクリプションIDを正確に確認
$ az account show --query id -o tsv
xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx

# 確認したIDを使ってサービスプリンシパルを作成
$ az ad sp create-for-rbac   --name myAutomationSP   --role Contributor   --scopes /subscriptions/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx

# 現在のロール割り当てを確認
$ az role assignment list   --assignee    --output table

# Contributorロールを追加する
$ az role assignment create   --assignee    --role Contributor   --scope /subscriptions/${SUBSCRIPTION_ID}