AzureのManaged IdentityでLinux VMから鍵なしにリソースへアクセスする方法｜資格情報を置かない認証設計

この記事のポイント

・Managed IdentityでVM自体をAzure ADのIDとして扱い、キーなしでリソースへアクセスできる
・az vm identity assignでシステム割り当てIDを有効化し、RBACロールを付与して権限を絞る
・VM内部の169.254.169.254（IMDSエンドポイント）でアクセストークンを自動取得する
・Key VaultはRBACモードで運用し「Key Vault Secrets User」ロールで最小権限を実現する

# リソースグループ名とVM名は自環境に合わせて変更してください
az vm identity assign \
  --resource-group rg-managed-id-demo \
  --name myLinuxVM

{
  "systemAssignedIdentity": "xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx",
  "userAssignedIdentities": {}
}

az vm create \
  --resource-group rg-managed-id-demo \
  --name myLinuxVM \
  --image RedHat:RHEL:9-lvm-gen2:latest \
  --size Standard_B2s \
  --admin-username azureuser \
  --generate-ssh-keys \
  --assign-identity

az vm show \
  --resource-group rg-managed-id-demo \
  --name myLinuxVM \
  --query identity.principalId \
  -o tsv

# 出力例（検証機）
xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx

# ストレージアカウントのリソースIDを取得する
STORAGE_ID=$(az storage account show \
  --resource-group rg-managed-id-demo \
  --name mystorageaccount2026 \
  --query id -o tsv)

# プリンシパルIDを変数に格納する
PRINCIPAL_ID=$(az vm show \
  --resource-group rg-managed-id-demo \
  --name myLinuxVM \
  --query identity.principalId -o tsv)

# Storage Blob Data ReaderロールをVMのManaged Identityに割り当てる
az role assignment create \
  --role "Storage Blob Data Reader" \
  --assignee $PRINCIPAL_ID \
  --scope $STORAGE_ID

# RHEL 9.4 の検証機内で実行（VMにSSHログイン後）
TOKEN=$(curl -s \
  'http://169.254.169.254/metadata/identity/oauth2/token?api-version=2018-02-01&resource=https://storage.azure.com/' \
  -H 'Metadata: true' | python3 -c "import sys,json; print(json.load(sys.stdin)['access_token'])")

# トークンの先頭50文字を確認する
echo $TOKEN | cut -c1-50
# 出力例: eyJ0eXAiOiJKV1QiLCJhbGciOiJSUzI1NiIsI...（省略）

# VM内のAzure CLIをManaged Identityで認証する
az login --identity

# 認証後はazコマンドを通常通り実行できる
az group list --output table

[ManagedIdentityCredential] Successfully obtained access token
Name                  Location     Status
--------------------  -----------  ---------
rg-managed-id-demo    japaneast    Succeeded

az identity create \
  --name myUserIdentity \
  --resource-group rg-managed-id-demo \
  --location japaneast

{
  "clientId": "aaaaaaaa-aaaa-aaaa-aaaa-aaaaaaaaaaaa",
  "id": "/subscriptions/xxxxxxxx-.../providers/Microsoft.ManagedIdentity/userAssignedIdentities/myUserIdentity",
  "location": "japaneast",
  "name": "myUserIdentity",
  "principalId": "bbbbbbbb-bbbb-bbbb-bbbb-bbbbbbbbbbbb",
  "resourceGroup": "rg-managed-id-demo",
  "tenantId": "cccccccc-cccc-cccc-cccc-cccccccccccc",
  "type": "Microsoft.ManagedIdentity/userAssignedIdentities"
}

# IDのリソースIDを取得する
IDENTITY_ID=$(az identity show \
  --name myUserIdentity \
  --resource-group rg-managed-id-demo \
  --query id -o tsv)

# VMに割り当てる
az vm identity assign \
  --resource-group rg-managed-id-demo \
  --name myLinuxVM \
  --identities $IDENTITY_ID

# ユーザー割り当てIDのclientIdを確認する
az identity show \
  --name myUserIdentity \
  --resource-group rg-managed-id-demo \
  --query clientId -o tsv

# aaaaaaaa-aaaa-aaaa-aaaa-aaaaaaaaaaaa

# client_idを指定してトークンを取得する（VM内から実行）
curl -s \
  "http://169.254.169.254/metadata/identity/oauth2/token?api-version=2018-02-01&resource=https://vault.azure.net/&client_id=aaaaaaaa-aaaa-aaaa-aaaa-aaaaaaaaaaaa" \
  -H "Metadata: true"

# Key VaultをRBACモードで作成する（--enable-rbac-authorization が重要）
az keyvault create \
  --name myDemoVault2026 \
  --resource-group rg-managed-id-demo \
  --location japaneast \
  --enable-rbac-authorization true

# テスト用シークレットを登録する
az keyvault secret set \
  --vault-name myDemoVault2026 \
  --name "DbConnectionString" \
  --value "Server=myserver.database.windows.net;Database=mydb;User Id=myuser;"

# Key VaultのリソースIDを取得する
VAULT_ID=$(az keyvault show \
  --name myDemoVault2026 \
  --resource-group rg-managed-id-demo \
  --query id -o tsv)

# VMのプリンシパルIDを取得する
PRINCIPAL_ID=$(az vm show \
  --resource-group rg-managed-id-demo \
  --name myLinuxVM \
  --query identity.principalId -o tsv)

# Key Vault Secrets UserロールをVMのManaged Identityに付与する
az role assignment create \
  --role "Key Vault Secrets User" \
  --assignee $PRINCIPAL_ID \
  --scope $VAULT_ID

# RHEL 9.4 検証機内で実行（VMにSSHログイン後）

# Step 1: Key Vault用のアクセストークンを取得する
TOKEN=$(curl -s \
  'http://169.254.169.254/metadata/identity/oauth2/token?api-version=2018-02-01&resource=https://vault.azure.net/' \
  -H 'Metadata: true' | python3 -c "import sys,json; print(json.load(sys.stdin)['access_token'])")

# Step 2: Key VaultのシークレットをREST APIで取得する
curl -s \
  "https://myDemoVault2026.vault.azure.net/secrets/DbConnectionString?api-version=7.4" \
  -H "Authorization: Bearer $TOKEN" | python3 -c "import sys,json; print(json.load(sys.stdin)['value'])"

Server=myserver.database.windows.net;Database=mydb;User Id=myuser;

az login --identity
az keyvault secret show \
  --vault-name myDemoVault2026 \
  --name DbConnectionString \
  --query value -o tsv

# Managed Identityの有効化状態を確認する（自分のPCから実行）
az vm show \
  --resource-group rg-managed-id-demo \
  --name myLinuxVM \
  --query identity

# ロールの付与状況を確認する（自分のPCから実行）
az role assignment list \
  --assignee $PRINCIPAL_ID \
  --scope $VAULT_ID \
  --output table

# Azure CLIのバージョンを確認する
az --version

# 必要に応じてアップデートする（RHEL / Rocky Linux の場合）
sudo dnf update azure-cli