AzureのService Principalをazコマンドで作成する方法｜Linux環境変数による認証設定と権限設計の実践

この記事のポイント

・ az ad sp create-for-rbac でSPを作成し認証情報を取得できる
・ スコープはサブスクリプション全体でなくリソースグループ単位に絞るのが基本
・ AZURE_CLIENT_ID / SECRET / TENANT_ID の3変数でスクリプト認証が完結する
・ az ad sp credential reset でパスワードローテーションが可能

# 現在のサブスクリプションIDを確認する
az account show --query id --output tsv

# 出力例
# a1b2c3d4-e5f6-7890-abcd-ef1234567890

# 複数サブスクリプションがある場合は一覧表示する
az account list --output table

# リソースグループ単位でSPを作成する（最小権限の原則）
az ad sp create-for-rbac   --name "myDeploySP"   --role Contributor   --scopes /subscriptions/a1b2c3d4-e5f6-7890-abcd-ef1234567890/resourceGroups/myRG

# 出力例（この情報はこの時点でしか表示されないため必ず保管する）
# {
#   "appId": "bbbbbbbb-bbbb-bbbb-bbbb-bbbbbbbbbbbb",
#   "displayName": "myDeploySP",
#   "password": "xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx",
#   "tenant": "cccccccc-cccc-cccc-cccc-cccccccccccc"
# }

# SP情報をappIdで確認する
az ad sp show   --id bbbbbbbb-bbbb-bbbb-bbbb-bbbbbbbbbbbb   --output table

# ロール割り当て一覧を確認する
az role assignment list   --assignee bbbbbbbb-bbbb-bbbb-bbbb-bbbbbbbbbbbb   --output table

# 出力例（role assignment list）
# Principal      Role         Scope
# -------------  -----------  -------------------------------------------
# myDeploySP     Contributor  /subscriptions/.../resourceGroups/myRG

# 認証情報を環境変数にセットする
export AZURE_CLIENT_ID="bbbbbbbb-bbbb-bbbb-bbbb-bbbbbbbbbbbb"
export AZURE_CLIENT_SECRET="xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx"
export AZURE_TENANT_ID="cccccccc-cccc-cccc-cccc-cccccccccccc"

# Service Principalとしてサインインする
az login   --service-principal   --username "$AZURE_CLIENT_ID"   --password "$AZURE_CLIENT_SECRET"   --tenant "$AZURE_TENANT_ID"

# ログインが成功したことを確認する
az account show --output table

#!/bin/bash
# /usr/local/bin/azure-daily-report.sh

# 環境変数を外部ファイルから読み込む（スクリプトに直書きしない）
source /etc/azure-sp.env

# Service Principalでサインインする（--output none で余分な出力を抑制）
az login   --service-principal   --username "$AZURE_CLIENT_ID"   --password "$AZURE_CLIENT_SECRET"   --tenant "$AZURE_TENANT_ID"   --output none

# VM一覧をTSVとして保存する
az vm list   --resource-group myRG   --output tsv   > /var/log/azure/vm-list-$(date +%Y%m%d).tsv

echo "Azure VM一覧を更新しました: $(date)"

# /etc/azure-sp.env（必ずchmod 600 /etc/azure-sp.envで保護する）
AZURE_CLIENT_ID="bbbbbbbb-bbbb-bbbb-bbbb-bbbbbbbbbbbb"
AZURE_CLIENT_SECRET="xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx"
AZURE_TENANT_ID="cccccccc-cccc-cccc-cccc-cccccccccccc"

# パスワードをリセットする（既存パスワードは無効化される）
az ad sp credential reset   --id bbbbbbbb-bbbb-bbbb-bbbb-bbbbbbbbbbbb

# 出力例（新しいpasswordを必ず保管してから/etc/azure-sp.envを更新する）
# {
#   "appId": "bbbbbbbb-bbbb-bbbb-bbbb-bbbbbbbbbbbb",
#   "password": "新しいランダムパスワードが表示される",
#   "tenant": "cccccccc-cccc-cccc-cccc-cccccccccccc"
# }

# SPを削除する（appIdで指定する）
az ad sp delete   --id bbbbbbbb-bbbb-bbbb-bbbb-bbbbbbbbbbbb

# スコープを問わず全ロール割り当てを表示する
az role assignment list   --assignee bbbbbbbb-bbbb-bbbb-bbbb-bbbbbbbbbbbb   --all   --output table