Durable Task Scheduler のマネージド ID を構成する

ユーザー割り当てマネージド ID を作成する

az identity create -g RESOURCE_GROUP_NAME -n IDENTITY_NAME

作成された ID リソースに割り当て先を設定する

assignee=$(az identity show --name IDENTITY_NAME --resource-group RESOURCE_GROUP_NAME --query 'clientId' --output tsv) 

スコープを設定します。 最小特権アクセスには 、タスク ハブ スコープ を使用します。 スケジューラ スコープは、ID がスケジューラ内のすべてのタスク ハブにアクセスする必要がある場合にのみ使用します。

タスク ハブのスコープ (推奨)

scope="/subscriptions/SUBSCRIPTION_ID/resourceGroups/RESOURCE_GROUP_NAME/providers/Microsoft.DurableTask/schedulers/SCHEDULER_NAME/taskHubs/TASKHUB_NAME"

スケジューラ スコープ (すべてのタスク ハブ)

scope="/subscriptions/SUBSCRIPTION_ID/resourceGroups/RESOURCE_GROUP_NAME/providers/Microsoft.DurableTask/schedulers/SCHEDULER_NAME"

アクセス権を付与します。 次のコマンドを実行して、ロールの割り当てを作成し、アクセス権を付与します。

az role assignment create \
  --assignee "$assignee" \
  --role "Durable Task Data Contributor" \
  --scope "$scope"

想定される出力

次の出力例は、 スケジューラ レベルで Durable Task Data Contributor ロールが割り当てられた開発者 ID を示しています。

{
  "condition": null,
  "conditionVersion": null,
  "createdBy": "YOUR_DEVELOPER_CREDENTIAL_ID",
  "createdOn": "2024-12-20T01:36:45.022356+00:00",
  "delegatedManagedIdentityResourceId": null,
  "description": null,
  "id": "/subscriptions/YOUR_SUBSCRIPTION_ID/resourceGroups/YOUR_RESOURCE_GROUP/providers/Microsoft.DurableTask/schedulers/YOUR_DTS_NAME/providers/Microsoft.Authorization/roleAssignments/ROLE_ASSIGNMENT_ID",
  "name": "ROLE_ASSIGNMENT_ID",
  "principalId": "YOUR_DEVELOPER_CREDENTIAL_ID",
  "principalName": "YOUR_EMAIL",
  "principalType": "User",
  "resourceGroup": "YOUR_RESOURCE_GROUP",
  "roleDefinitionId": "/subscriptions/YOUR_SUBSCRIPTION/providers/Microsoft.Authorization/roleDefinitions/ROLE_DEFINITION_ID",
  "roleDefinitionName": "Durable Task Data Contributor",
  "scope": "/subscriptions/YOUR_SUBSCRIPTION/resourceGroups/YOUR_RESOURCE_GROUP/providers/Microsoft.DurableTask/schedulers/YOUR_DTS_NAME",
  "type": "Microsoft.Authorization/roleAssignments",
  "updatedBy": "YOUR_DEVELOPER_CREDENTIAL_ID",
  "updatedOn": "2024-12-20T01:36:45.022356+00:00"
}

ユーザー割り当てマネージド ID を作成する。

ポータルで Durable Task Scheduler リソースに移動します。

タスク ハブ名を選択します。

左側のメニューで [アクセス制御 (IAM)] を選択します。

[ 追加] を選択してロールの割り当てを追加します。

[永続タスク データ共同作成者] を検索して選択します。 次へを選択します。

[ メンバー ] タブの [ アクセスの割り当て] で、[ マネージド ID] を選択します。

[メンバー] で、[+ メンバーの選択] を選択します。

[ マネージド ID の選択 ] ウィンドウで、[ マネージド ID ] ドロップダウンを展開し、[ ユーザー割り当てマネージド ID] を選択します。

以前に作成したユーザーマネージド ID を選択し、[選択] を 選択します。

[ 確認と割り当て] を選択してロールの割り当てを完了します。

マネージド ID のリソース ID を取得します。

resource_id=$(az resource show --resource-group RESOURCE_GROUP_NAME --name IDENTITY_NAME --resource-type Microsoft.ManagedIdentity/userAssignedIdentities --query id --output tsv)

アプリに ID を割り当てます。

az functionapp identity assign --resource-group RESOURCE_GROUP_NAME --name FUNCTION_APP_NAME --identities "$resource_id"

az containerapp identity assign --resource-group RESOURCE_GROUP_NAME --name CONTAINER_APP_NAME --identities "$resource_id"

接続文字列に必要な情報を取得します。

スケジューラ エンドポイントを取得します。

az durabletask scheduler show --resource-group RESOURCE_GROUP_NAME --name SCHEDULER_NAME --query 'properties.endpoint' --output tsv

マネージド ID のクライアント ID を取得します。

az identity show --name IDENTITY_NAME --resource-group RESOURCE_GROUP_NAME --query 'clientId' --output tsv

アプリで両方の環境変数を設定します。

az functionapp config appsettings set \
  --resource-group RESOURCE_GROUP_NAME \
  --name FUNCTION_APP_NAME \
  --settings \
    DURABLE_TASK_SCHEDULER_CONNECTION_STRING="Endpoint=<SCHEDULER_ENDPOINT>;Authentication=ManagedIdentity;ClientID=<IDENTITY_CLIENT_ID>" \
    TASKHUB_NAME="<TASKHUB_NAME>"

az containerapp update \
  --resource-group RESOURCE_GROUP_NAME \
  --name CONTAINER_APP_NAME \
  --set-env-vars \
    DURABLE_TASK_SCHEDULER_CONNECTION_STRING="Endpoint=<SCHEDULER_ENDPOINT>;Authentication=ManagedIdentity;ClientID=<IDENTITY_CLIENT_ID>" \
    TASKHUB_NAME="<TASKHUB_NAME>"

接続文字列に必要な情報を取得します。

スケジューラ エンドポイントを取得するには、スケジューラ リソースの [概要] タブに移動し、[要点] セクションで [エンドポイント] を見つけます。

マネージド ID クライアント ID を取得するには、マネージド ID リソースの [概要] タブに移動し、[要点] セクションで [クライアント ID] を見つけます。

Azure ポータルでクライアント ID の場所を示す、マネージド ID の概要ページのスクリーンショット

ポータルでアプリに移動します。

左側のメニューで、 設定>Environment 変数を選択します。

DURABLE_TASK_SCHEDULER_CONNECTION_STRING値を持つ Endpoint=<SCHEDULER_ENDPOINT>;Authentication=ManagedIdentity;ClientID=<IDENTITY_CLIENT_ID> という名前の環境変数を追加します。

タスク ハブの名前を持つ TASKHUB_NAME という名前の環境変数を追加します。

[ 適用] を選択し、[ 確認] を選択して変数を保存します。