【入門編】Azure App ServiceにおけるマネージドIDを用いた認証情報のハードコード排除 – アプリケーションセキュリティ & 安全な開発防御ガイド

こんにちは！セキュリティの世界へようこそ。
日々コードを書いていると、「データベースの接続情報」や「APIキー」をどこに書けばいいか、迷うことはありませんか？

多くの初心者がついやってしまいがちなのが、プログラムの中に直接パスワードを書き込む「ハードコード」です。でも、これって「家の鍵を玄関マットの下に隠している」のと同じくらい危険な状態なんです。泥棒（攻撃者）は、まず最初にそこを確認しますからね。

今回は、Azureの世界でその「鍵の管理」を卒業し、もっと賢く、もっと安全にシステムを守る「マネージドID」という仕組みについて、一緒に学んでいきましょう！

—

例えば、あなたが書いたプログラムをGitHubなどのリポジトリに上げたとき、そこにパスワードが書いてあったらどうなるでしょう。世界中の誰かがそのコードを見た瞬間、あなたのシステムへの入り口は丸見えになります。

攻撃者は、自動化されたツールを使って「GitHub上に公開されたAPIキー」を24時間体制で探しています。一度盗まれると、データベースを勝手に操作されたり、高額な課金が発生するサービスを悪用されたり……。まさに「鍵を落とした」のと同等の大惨事です。

—

そこで登場するのが「マネージドID」です。

これは、Azure App Service（あなたのアプリが動く場所）自体に、「このアプリは私（Azure）が保証する正規のアプリですよ」というデジタルな身分証明書を持たせる仕組みです。

これを使えば、パスワード（シークレット）をコードに書く必要は一切ありません。「パスワードを知っているから入れる」のではなく、「Azureが認めたアプリだから入れる」という、信頼ベースのアクセスに切り替えるのです。

—

具体的には、Azure Key Vaultという「金庫」にパスワードを保管し、あなたのアプリが「マネージドID」という身分証を提示して、金庫から必要な時だけ鍵を取り出す……という流れを作ります。

AzureポータルのApp Serviceの設定画面から「ID」メニューを開き、「システム割り当て済み」を「オン」にするだけです。これで、あなたのアプリに固有のIDが発行されます。

Key Vault（金庫）の設定画面で、「アクセス許可（アクセスポリシー）」を追加します。ここで、先ほど作成したアプリのIDに対して「シークレットの取得」権限だけを付与します。
ポイント：必要最小限の権限だけを渡すのがセキュリティの鉄則です。

コード内にはパスワードを一切書かず、以下のようなライブラリを使って「Azureさん、あの鍵を貸して！」と頼むだけです。

// C# (Azure.Identity) を使った例
using Azure.Identity;
using Azure.Security.KeyVault.Secrets;

// マネージドIDを使ってAzureに接続（パスワードは不要！）
var client = new SecretClient(
new Uri(“https://your-vault-name.vault.azure.net/”),
new DefaultAzureCredential());

// 金庫から名前を指定して鍵（シークレット）を取り出す
KeyVaultSecret secret = await client.GetSecretAsync(“YourSecretName”);

// この変数の中身を使ってデータベースに接続する
string dbPassword = secret.Value;

—

この仕組みの素晴らしいところは、たとえコードが流出しても、「パスワードがどこにも書かれていない」という点です。攻撃者があなたのコードを手に入れたとしても、そこには「金庫へアクセスする命令」があるだけで、肝心の鍵データは金庫（Key Vault）の中に隠されたままです。

また、もし「誰かが不正アクセスしているかも？」と思ったら、Azureの管理画面からそのIDの権限を即座に取り消せば、被害を最小限に食い止めることができます。

「こんな設定、面倒くさい……」と思うかもしれません。ですが、セキュリティは「面倒なこと」を「自動化された仕組み」に置き換えていく作業です。

今日から、パスワードをソースコードに書くのは終わりにしましょう。自分の書いたアプリが、より強固な守りに守られていると実感できれば、開発はもっと楽しく、もっと自信に満ちたものになるはずです。

もし分からないことがあれば、いつでもまた聞きに来てくださいね。一歩ずつ、一緒に強固なエンジニアリングを目指していきましょう！