AzureのLinux VMにEntra ID認証でSSHログインする方法｜az sshコマンドによるパスワードレス接続とAWS SSMとの比較

この記事のポイント

・AADLoginForLinux拡張機能をVMにインストールするだけで設定が完了する
・az ssh vm コマンドで証明書は自動発行されるため鍵ファイルの管理が不要
・アクセスはAzure RBACロール（Virtual Machine User Login）で制御できる
・AWSのSSM Session Managerと異なり、標準SSHプロトコルが使えるのが強み

# リソースグループの作成
az group create   --name rg-entra-ssh-demo   --location japaneast

# Entra ID認証対応のLinux VMを作成
az vm create   --resource-group rg-entra-ssh-demo   --name vm-entra-demo   --image Ubuntu2404   --assign-identity   --admin-username azureuser   --generate-ssh-keys   --size Standard_B2s

# AADLoginForLinux拡張機能を追加
az vm extension set   --publisher Microsoft.Azure.ActiveDirectory   --name AADSSHLoginForLinux   --resource-group rg-entra-ssh-demo   --vm-name vm-entra-demo

{
  "autoUpgradeMinorVersion": true,
  "name": "AADSSHLoginForLinux",
  "provisioningState": "Succeeded",
  "publisher": "Microsoft.Azure.ActiveDirectory",
  "type": "AADSSHLoginForLinux",
  "typeHandlerVersion": "1.0"
}

VM_RESOURCE_ID=$(az vm show   --resource-group rg-entra-ssh-demo   --name vm-entra-demo   --query id   --output tsv)

echo $VM_RESOURCE_ID
# /subscriptions/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/resourceGroups/rg-entra-ssh-demo/providers/Microsoft.Compute/virtualMachines/vm-entra-demo

# サインイン中のユーザーのオブジェクトIDを取得
MY_OBJECT_ID=$(az ad signed-in-user show   --query id   --output tsv)

# Virtual Machine User Loginロールを割り当て
az role assignment create   --role "Virtual Machine User Login"   --assignee-object-id $MY_OBJECT_ID   --assignee-principal-type User   --scope $VM_RESOURCE_ID

{
  "principalId": "xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx",
  "principalType": "User",
  "roleDefinitionId": "/subscriptions/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/providers/Microsoft.Authorization/roleDefinitions/fb879df8-f326-4884-b1cf-06f3ad86be52",
  "roleDefinitionName": "Virtual Machine User Login",
  "scope": "/subscriptions/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/resourceGroups/rg-entra-ssh-demo/providers/Microsoft.Compute/virtualMachines/vm-entra-demo"
}

az extension add --name ssh

The installed extension 'ssh' is in preview.

az ssh vm   --resource-group rg-entra-ssh-demo   --vm-name vm-entra-demo

Welcome to Ubuntu 24.04.1 LTS (GNU/Linux 6.8.0-1021-azure x86_64)

 * Documentation:  https://help.ubuntu.com
 * Management:     https://landscape.canonical.com

Last login: Thu Sep 25 12:34:56 2026 from 203.0.113.xxx
azureuser@vm-entra-demo:~$

# 接続後のシェルで実行
whoami
# azureuser（または UPNベースの変換されたユーザー名）

id
# uid=1001(azureuser) gid=1001(azureuser) groups=1001(azureuser),4(adm),27(sudo)

echo $HOME
# /home/azureuser

# ロール割り当てが完了しているか確認
az role assignment list   --scope $VM_RESOURCE_ID   --query "[?roleDefinitionName=='Virtual Machine User Login']"   --output table

Principal                             RoleDefinitionName          Scope
------------------------------------  --------------------------  -------
xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx  Virtual Machine User Login  /subscriptions/...

az vm get-instance-view   --resource-group rg-entra-ssh-demo   --name vm-entra-demo   --query "instanceView.extensions[?name=='AADSSHLoginForLinux'].statuses"

# NSGの受信ルールを確認
az network nsg rule list   --resource-group rg-entra-ssh-demo   --nsg-name vm-entra-demoNSG   --output table   --query "[?destinationPortRange=='22' || destinationPortRange=='*']"