IoT Hub でのマネージド ID のサポート

マネージド ID は、Microsoft Entra ID で自動的に管理される ID を安全な方法で Azure サービスに提供します。 この機能により、開発者は ID を指定して資格情報を管理する必要がなくなります。 マネージド ID には、システム割り当てとユーザー割り当ての 2 種類があります。 IoT Hub では両方がサポートされます。

IoT Hub では、メッセージ ルーティング、ファイルのアップロード、デバイスの一括インポートおよびエクスポートなどの機能のために、IoT Hub を他の Azure サービスに接続するためにマネージド ID を使用できます。 この記事では、IoT ハブでさまざまな機能にシステム割り当ておよびユーザー割り当てのマネージド ID を使用する方法について説明します。

前提条件

• 「Azure リソース用マネージド ID とは?」のシステム割り当てとユーザー割り当てのマネージド ID の違いを理解する

• Azure サブスクリプション内の IoT ハブ。 ハブがまだない場合は、「IoT ハブの作成」の手順に従うことができます。

システム割り当てマネージド ID

{
  "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#",
  "contentVersion": "1.0.0.0",
  "parameters": 
    {
      "iotHubName": {
        "type": "string",
        "metadata": {
          "description": "Name of iothub resource"
        }
      },
      "skuName": {
        "type": "string",
        "defaultValue": "S1",
        "metadata": {
          "description": "SKU name of iothub resource, by default is Standard S1"
        }
      },
      "skuTier": {
        "type": "string",
        "defaultValue": "Standard",
        "metadata": {
          "description": "SKU tier of iothub resource, by default is Standard"
        }
      },
      "location": {
        "type": "string",
        "defaultValue": "[resourceGroup().location]",
        "metadata": {
          "description": "Location of iothub resource. Please provide any of supported-regions of iothub"
        }
      }
    },
  "resources": [
    {
      "type": "Microsoft.Resources/deployments",
      "apiVersion": "2020-10-01",
      "name": "createIotHub",
      "properties": {
        "mode": "Incremental",
        "template": {
          "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#",
          "contentVersion": "1.0.0.0",
          "resources": [
            {
              "type": "Microsoft.Devices/IotHubs",
              "apiVersion": "2021-03-31",
              "name": "[parameters('iotHubName')]",
              "location": "[parameters('location')]",
              "identity": {
                "type": "SystemAssigned"
              },
              "sku": {
              "name": "[parameters('skuName')]",
              "tier": "[parameters('skuTier')]",
              "capacity": 1
              }
            }
          ] 
        }
      }
    }
  ]
}

az deployment group create --name <deployment-name> --resource-group <resource-group-name> --template-file <template-file.json> --parameters iotHubName=<valid-iothub-name> skuName=<sku-name> skuTier=<sku-tier> location=<any-of-supported-regions>

az resource show --resource-type Microsoft.Devices/IotHubs --name <iot-hub-resource-name> --resource-group <resource-group-name>

ユーザー割り当てマネージド ID

{
  "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#",
  "contentVersion": "1.0.0.0",
  "parameters": {
    "iotHubName": {
      "type": "string",
      "metadata": {
        "description": "Name of iothub resource"
      }
    },
  "skuName": {
    "type": "string",
    "defaultValue": "S1",
    "metadata": {
      "description": "SKU name of iothub resource, by default is Standard S1"
    }
  },
  "skuTier": {
    "type": "string",
    "defaultValue": "Standard",
    "metadata": {
      "description": "SKU tier of iothub resource, by default is Standard"
    }
  },
  "location": {
    "type": "string",
    "defaultValue": "[resourceGroup().location]",
    "metadata": {
      "description": "Location of iothub resource. Please provide any of supported-regions of iothub"
    }
  }
},
  "variables": {
    "identityName": "[concat(parameters('iotHubName'), '-identity')]"
  },
  "resources": [
    {
      "type": "Microsoft.Resources/deployments",
      "apiVersion": "2020-10-01",
      "name": "createIotHub",
      "properties": {
        "mode": "Incremental",
        "template": {
          "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#",
          "contentVersion": "1.0.0.0",
          "resources": [
            {
              "type": "Microsoft.ManagedIdentity/userAssignedIdentities",
              "name": "[variables('identityName')]",
              "apiVersion": "2018-11-30",
              "location": "[resourceGroup().location]"
            },
            {
              "type": "Microsoft.Devices/IotHubs",
              "apiVersion": "2021-03-31",
              "name": "[parameters('iotHubName')]",
              "location": "[parameters('location')]",
              "identity": {
                "type": "UserAssigned",
                "userAssignedIdentities": {
                  "[resourceID('Microsoft.ManagedIdentity/userAssignedIdentities/',variables('identityName'))]": {}
                }
              },
              "sku": {
                "name": "[parameters('skuName')]",
                "tier": "[parameters('skuTier')]",
                "capacity": 1
              },
              "dependsOn": [
                "[resourceID('Microsoft.ManagedIdentity/userAssignedIdentities/',variables('identityName'))]"
              ]
            }
          ]
        }
      }
    }
  ]
}

az deployment group create --name <deployment-name> --resource-group <resource-group-name> --template-file <template-file.json> --parameters iotHubName=<valid-iothub-name> skuName=<sku-name> skuTier=<sku-tier> location=<any-of-supported-regions>

az resource show --resource-type Microsoft.Devices/IotHubs --name <iot-hub-resource-name> --resource-group <resource-group-name>

IoT Hub から他の Azure リソースへのエグレス接続

マネージド ID は、IoT Hub から他の Azure サービスへのエグレス接続に使用できます。 顧客所有のエンドポイント (ストレージ アカウント、イベント ハブ、サービス バス エンドポイントなど) への IoT Hub エグレス接続ごとに、使用するマネージド ID を選択できます。

マネージド ID を使用してメッセージ ルーティングを構成する

このセクションでは、例として、Event Hubs カスタム エンドポイントへのメッセージ ルーティングを使用します。 この例は、他のルーティング カスタム エンドポイントにも当てはまります。

1. Azure portal でご使用のイベント ハブに移動し、マネージド ID に適切なアクセス権を割り当てます。

2. [アクセス制御 (IAM)] を選択します。

3. [追加] > [ロールの割り当ての追加] の順に選択します。

   

4. [ロール] タブで、[Azure Event Hubs のデータ送信者] を選択します。

   注

   ストレージ アカウントの場合は、ロールとして [ストレージ BLOB データ共同作成者] を選択します ( [共同作成者] または [ストレージ アカウント共同作成者] では "ありません")。 サービス バスの場合は、[Azure Service Bus のデータ送信者] を選択します。

5. [メンバー] タブで、[マネージド ID] を選択し、[メンバーの選択] を選択します。

6. ユーザー割り当てマネージド ID の場合は、サブスクリプションを選択し、[ユーザー割り当てマネージド ID] を選択してから、ユーザー割り当てマネージド ID を選択します。

7. システム割り当てマネージド ID の場合は、サブスクリプションを選択し、[すべてのシステム割り当てマネージド ID] を選択してから、IoT Hub のリソース名を選択します。

8. [確認と 割り当て] タブで、 [確認と割り当て] を選択して ロールを割り当てます。

   ロールの割り当ての詳細については、「Azure portal を使用して Azure ロールを割り当てる」を参照してください。

9. 仮想ネットワーク経由でカスタム エンドポイントへの接続を制限する必要がある場合は、信頼された Microsoft ファースト パーティの例外を有効にして、IoT ハブに特定のエンドポイントへのアクセス権を付与する必要があります。 たとえば、イベント ハブ カスタムエンド ポイントを追加する場合、イベント ハブの [ファイアウォールと仮想ネットワーク] タブに移動し、[選択したネットワークからのアクセスを許可する] オプションを有効にします。 [ 例外 ] ボックスの一覧で、[ 信頼できる Microsoft サービスがイベント ハブにアクセスできるようにする] チェック ボックスをオンにし、[保存] を選択 します。 この要件は、ストレージ アカウントと Service Bus にも適用されます。 Azure Private Link を使用した仮想ネットワークに対する IoT Hub のサポートの詳細について説明します。

   注

   イベント ハブを IoT Hub のカスタム エンドポイントとして追加する前に、上記の手順を完了して、マネージ ID に適切なアクセスを割り当てる必要があります。 ロールの割り当てが反映されるまで数分待ちます。

10. 次に、IoT ハブに移動します。 ご使用のハブで、[メッセージ ルーティング] に移動し、[追加] を選択します。

11. [エンドポイント] タブで、次の情報を指定して、イベント ハブのエンドポイントを作成します。

    パラメーター	値
    [エンドポイントの種類]	[Event Hubs] を選択します。
    [エンドポイント名]	新しいエンドポイントの一意の名前を指定するか、[既存のものを選択] を選択して既存の Event Hubs エンドポイントを選択します。
    Event Hubs 名前空間	ドロップダウン メニューを使用して、サブスクリプション内の既存の Event Hubs 名前空間を選択します。
    イベント ハブのインスタンス	ドロップダウン メニューを使用して、名前空間内の既存のイベント ハブを選択します。
    認証の種類	[ユーザー割り当て] を選択し、ドロップダウン メニューを使用して、イベント ハブで作成した [ユーザー割り当て ID] を選択します。

    

12. [作成 + 次へ] を選択します。 ウィザードを続行して、このエンドポイントを指すルートを作成するか、ウィザードを閉じることができます。

既存のカスタム エンドポイントの認証の種類を変更できます。 エンドポイントを変更するには、次の手順を実行します。

1. IoT ハブで、左側のナビゲーション ペインの [メッセージ ルーティング] を選択し、[カスタム エンドポイント] を選択します。

2. 変更するカスタム エンドポイントのチェック ボックスをオンにし、[認証の種類の変更] を選択します。

3. このエンドポイントの新しい認証の種類を選択し、[保存] をクリックします。

マネージド ID を使用してファイルのアップロードを構成する

IoT Hub のファイルのアップロード機能を使用すると、デバイスで顧客所有のストレージ アカウントにファイルをアップロードできます。 ファイルのアップロードを機能させるには、IoT Hub でストレージ アカウントに接続する必要があります。 メッセージ ルーティングと同様に、Azure Storage アカウントへの IoT Hub エグレス接続のための優先する認証の種類とマネージド ID を選択できます。

1. Azure Portal のストレージ アカウントに移動します。

2. [アクセス制御 (IAM)] を選択します。

3. [追加] > [ロールの割り当ての追加] の順に選択します。

   

4. [ロール] タブで [ストレージ BLOB データ共同作成者] を選択します。 ([共同作成者] や [ストレージ アカウント共同作成者] は選択しないでください。)

5. [メンバー] タブで、[マネージド ID] を選択し、[メンバーの選択] を選択します。

6. ユーザー割り当てマネージド ID の場合は、サブスクリプションを選択し、[ユーザー割り当てマネージド ID] を選択してから、ユーザー割り当てマネージド ID を選択します。

7. システム割り当てマネージド ID の場合は、サブスクリプションを選択し、[すべてのシステム割り当てマネージド ID] を選択してから、IoT Hub のリソース名を選択します。

8. [確認と 割り当て] タブで、 [確認と割り当て] を選択して ロールを割り当てます。

   ロールの割り当ての詳細については、「Azure portal を使用して Azure ロールを割り当てる」を参照してください。

   仮想ネットワーク経由でストレージ アカウントへの接続を制限する必要がある場合は、信頼された Microsoft ファースト パーティの例外を有効にして、IoT ハブにストレージ アカウントへのアクセス権を付与する必要があります。 ご使用のストレージ アカウントのリソース ページで、[ファイアウォールと仮想ネットワーク] タブに移動し、[選択したネットワークからのアクセスを許可する] オプションを有効にします。 [ 例外 ] ボックスの一覧で、[ 信頼できる Microsoft サービスがこのストレージ アカウントにアクセスすることを許可する] チェック ボックスをオンにし、[保存] を選択 します。 Azure Private Link を使用した仮想ネットワークに対する IoT Hub のサポートの詳細について説明します。

   注

   マネージド ID を使用するファイルのアップロードのためにストレージ アカウントを IoT Hub に保存する前に、上記の手順を完了して、マネージド ID に適切なアクセスを割り当てる必要があります。 ロールの割り当てが反映されるまで数分待ちます。

9. ご使用の IoT Hub のリソース ページで、[ファイルのアップロード] タブに移動します。

10. 表示されたページで、BLOB ストレージで使用する予定のコンテナーを選択し、必要に応じて [ファイル通知の設定]、[SAS TTL]、[既定の TTL]、[最大配信回数] を構成します。 優先する認証の種類を選択し、[ 保存] を選択します。 この手順でエラーが発生した場合は、一時的にストレージ アカウントを設定して、すべてのネットワークからのアクセスを許可してから、再試行してください。 ファイルのアップロードの構成が完了したら、ストレージ アカウントでファイアウォールを構成できます。

    

    注

    ファイルのアップロードのシナリオでは、ハブとデバイスの両方がストレージ アカウントに接続する必要があります。 前の手順では、必要な認証の種類を使用して IoT ハブをストレージ アカウントに接続します。 SAS URI を使用してデバイスをストレージに接続する必要があります。 現在、SAS URI は接続文字列を使用して生成されます。 「IoT Hub を使用してファイルをアップロードする」の手順に従います。

マネージド ID を使用してデバイスの一括インポートとエクスポートを構成する

IoT Hub では、お客様が提供するストレージ BLOB との 間でデバイス情報を一括でインポートおよびエクスポート する機能がサポートされています。 この機能では、IoT Hub からストレージ アカウントへの接続が必要です。

1. Azure Portal のストレージ アカウントに移動します。

2. [アクセス制御 (IAM)] を選択します。

3. [追加] > [ロールの割り当ての追加] の順に選択します。

   

4. [ロール] タブで [ストレージ BLOB データ共同作成者] を選択します。 ([共同作成者] や [ストレージ アカウント共同作成者] は選択しないでください。)

5. [メンバー] タブで、[マネージド ID] を選択し、[メンバーの選択] を選択します。

6. ユーザー割り当てマネージド ID の場合は、サブスクリプションを選択し、[ユーザー割り当てマネージド ID] を選択してから、ユーザー割り当てマネージド ID を選択します。

7. システム割り当てマネージド ID の場合は、サブスクリプションを選択し、[すべてのシステム割り当てマネージド ID] を選択してから、IoT Hub のリソース名を選択します。

8. [確認と 割り当て] タブで、 [確認と割り当て] を選択して ロールを割り当てます。

   ロールの割り当ての詳細については、「Azure portal を使用して Azure ロールを割り当てる」を参照してください

インポートおよびエクスポートのジョブに REST API または SDK を使用する

インポートおよびエクスポート ジョブを作成するために Azure IoT REST API を使用できるようになりました。 要求本文で次のプロパティを指定する必要があります。

• storageAuthenticationType: 値を identityBased に設定します。
• inputBlobContainerUri: このプロパティは、インポート ジョブでのみ設定します。
• outputBlobContainerUri: このプロパティは、インポートとエクスポートの両方のジョブに対して設定します。
• identity: 値を、使用するマネージド ID に設定します。

Azure IoT Hub SDK では、サービス クライアントのレジストリ マネージャーでもこの機能がサポートされます。 次のコード スニペットでは、C# SDK を使用してインポート ジョブまたはエクスポート ジョブを開始する方法を示しています。

C# のコード スニペット

    // Create an export job
 
    JobProperties jobProperties = JobProperties.CreateForExportJob(
        outputBlobContainerUri: blobContainerUri,
        excludeKeysInExport: false,
        storageAuthenticationType: StorageAuthenticationType.IdentityBased,
        identity: new ManagedIdentity
        {
            userAssignedIdentity = userDefinedManagedIdentityResourceId
        });

    // Create an import job
    
    JobProperties jobProperties = JobProperties.CreateForImportJob(
        inputBlobContainerUri: blobContainerUri,
        outputBlobContainerUri: blobContainerUri,
        storageAuthenticationType: StorageAuthenticationType.IdentityBased,
        identity: new ManagedIdentity
        {
            userAssignedIdentity = userDefinedManagedIdentityResourceId
        });

Python のコード スニペット

# see note below
iothub_job_manager = IoTHubJobManager("<IoT Hub connection information>")

# Create an import job
result = iothub_job_manager.create_import_export_job(JobProperties(
    type="import",
    input_blob_container_uri="<input container URI>",
    output_blob_container_uri="<output container URI>",
    storage_authentication_type="identityBased",
    identity=ManagedIdentity(
        user_assigned_identity="<resource ID of user assigned managed identity>"
    )
))

# Create an export job
result = iothub_job_manager.create_import_export_job(JobProperties(
    type="export",
    output_blob_container_uri="<output container URI>",
    storage_authentication_type="identityBased",
    exclude_keys_in_export=True,
    identity=ManagedIdentity(
        user_assigned_identity="<resource ID of user assigned managed identity>"
    ) 
))

SDK のサンプル

• .NET SDK のサンプル
• Java SDK のサンプル
• Python SDK のサンプル

次のステップ

IoT Hub の機能の詳細については、次のリンクを参照してください。

• IoT Hub メッセージ ルーティングを使用して、デバイスからクラウドへのメッセージを Azure サービスに送信する
• IoT Hub を使用したファイルのアップロード
• IoT Hub デバイス ID の一括でのインポートおよびエクスポート