Azure サービスプリンシパル
AutoSSL で Azure サービスプリンシパルの資格情報を管理し、使う方法です。
概要
AutoSSL から Microsoft Entra ID 経由で Azure へリクエストを認証するには、Azure サービスプリンシパルの資格情報が必要です。サービスプリンシパルを追加すると、SSL 証明書のファイルを Azure Blob Storage へアップロードするなど、特定の操作を AutoSSL に委任できます。
設定パラメーター
| パラメーター | 説明 |
|---|---|
| テナント ID | Microsoft Entra ID（Azure AD）のテナント ID です。 |
| クライアント ID | サービスプリンシパルのアプリケーション（クライアント）ID です。 |
| クライアントシークレット | サービスプリンシパルのクライアントシークレットです。AutoSSL に保存する前に暗号化されます。 |
重要
あとから Client Secret を変更する場合は、シークレット全体を再度入力する必要があります。
サービスプリンシパルの作成方法
- Azure Portal にログインします。
- Microsoft Entra ID > App registrations > New registration を開きます。
- 名前（例:
AutoSSL）を入力し、Register をクリックします。 - 概要ページから Application (client) ID と Directory (tenant) ID をコピーします。
- Certificates & secrets > New client secret でシークレットを作成し、値をすぐにコピーします。
- テナント ID、クライアント ID、クライアントシークレットを AutoSSL に貼り付けます。
詳しくは Azure documentation on creating a service principal を参照してください。
セキュリティ上の推奨
- 最小権限: 対象リソースに必要な RBAC ロールだけをサービスプリンシパルに付与します（例: 特定のストレージアカウントまたはコンテナーに対する
Storage Blob Data Contributor）。 - 定期的なローテーション: クライアントシークレットを定期的にローテーションし、AutoSSL の値を更新します。
- 専用のサービスプリンシパル: 他のアプリケーションの資格情報を再利用せず、AutoSSL 専用のサービスプリンシパルを作成します。
対応しているデプロイ先
Azure サービスプリンシパルは、AutoSSL の次のデプロイプロバイダーで使われます。
- Azure Blob Storage: バージョン付きパスと latest パスで、証明書ファイルを BLOB コンテナーにアップロードします。