Microsoft Entra ID を使用して BLOB への SSH ファイル転送プロトコル (SFTP) アクセスを承認する

次の例に示すように、Azure CLI az sftp コマンドを使用して OpenSSH 証明書を生成します。

az login
az sftp cert --file ~/.ssh/my_cert.pub

セキュリティ上の理由から、証明書は 65 分間だけ有効です。 有効期限が切れた後、コマンドを再実行して新しい証明書を取得する必要があります。

必要に応じて、独自の SSH キー ペアを生成し、証明書をダウンロードするときに使用できます。

SSH キー ペアを生成する: Microsoft Entra ID では RSA 証明書のみがサポートされるため、RSA キーを使用する必要があります。

ssh-keygen -t rsa

次のキー ファイルが生成されます。

次のコマンドを使用して、生成されたキーを使用して SSH 証明書を生成します。

az login
az sftp cert --public-key-file ~/.ssh/id_rsa.pub --file ~/.ssh/my_cert.pub

サービス プリンシパルを使用している場合は、クライアント シークレットまたは証明書を使用してサインインできます。

証明書を使用してサインインするには、次のコマンドを使用します。

az login --service-principal -u <application_id_or_client_id> --tenant <tenant_id> --certificate <path_to_certificate>

クライアント シークレットを使用してサインインするには、次のコマンドを使用します。

az login --service-principal -u <application_id_or_client_id> -p <secret_value> --tenant <tenant_id>

認証後、同じコマンドを実行して証明書をダウンロードします。

az sftp cert --public-key-file ~/.ssh/id_rsa.pub --file ~/.ssh/my_cert.pub

Connect-AzAccount コマンドを使用して Azure サブスクリプションにサインインし、画面上の指示に従います。

Connect-AzAccount

次の例に示すように 、PowerShell Az.Sftp を使用して OpenSSH 証明書を生成します。

New-AzSftpCertificate -CertificatePath "$HOME\.ssh\my_cert.pub"

必要に応じて、次のコマンドを使用して、SSH キーを使用して OpenSSH 証明書を生成します。

New-AzSftpCertificate -PublicKeyFile "$HOME\.ssh\id_rsa.pub" -CertificatePath "$HOME\.ssh\my_cert.pub"

PowerShell モジュールの詳細については 、こちらをご覧ください。

using Microsoft.Identity.Client;
using Microsoft.Identity.Client.SSHCertificates;
using Newtonsoft.Json;
using System.Security.Cryptography;
using System.Text;
public class Program
{
    private const string AZURE_CLI_CLIENT_ID = "<your-azure-cli-client-id>";
    private const string MY_TENANT_ID = "<your-tenant-id>";
    public static async Task Main(string[] args)
    {
        var options = new PublicClientApplicationOptions
        {
            ClientId = AZURE_CLI_CLIENT_ID,
        };
        var app = PublicClientApplicationBuilder.CreateWithApplicationOptions(options)
            .WithTenantId(MY_TENANT_ID)
            .WithDefaultRedirectUri()
            .Build();
        var scopes = new string[]
        {
            "`<https://pas.windows.net/CheckMyAccess/Linux/.default>`",
        };
        var keyId = new byte[32];
        Random.Shared.NextBytes(keyId);
        var rsa = RSA.Create();
        var key = rsa.ExportParameters(includePrivateParameters: true);
        if (key.Modulus == null || key.Exponent == null)
            throw new InvalidOperationException("RSA key generation failed: Modulus or Exponent is null.");
        var localKey = new
        {
            kty = "RSA",
            n = Convert.ToBase64String(key.Modulus).Replace("+", "-").Replace("/", "_"),
            e = Convert.ToBase64String(key.Exponent).Replace("+", "-").Replace("/", "_"),
            kid = BitConverter.ToString(keyId).Replace("-", string.Empty).ToLower(),
        };
        var localKeyJson = JsonConvert.SerializeObject(localKey);
        Console.WriteLine("RSA Key:");
        Console.WriteLine(localKeyJson);
        Console.WriteLine();

        // Get SSH certificate

        AuthenticationResult result = await app.AcquireTokenInteractive(scopes)
            .WithSSHCertificateAuthenticationScheme(localKeyJson, localKey.kid)
            .ExecuteAsync();

        // Define output directory and certificate path

        var sshDir = Path.Combine(Environment.GetFolderPath(Environment.SpecialFolder.UserProfile), ".ssh", "entra");
        Directory.CreateDirectory(sshDir);
        var certPath = Path.Combine(sshDir, "id_rsa-cert.pub");

        // Remove read-only attribute if certificate already exists so it can be overwritten

        if (File.Exists(certPath))
        {
            File.SetAttributes(certPath, FileAttributes.Normal);
        }
        // Save the certificate
        var cert = `[$"ssh-rsa-cert-v01@openssh.com](mailto:$%22ssh-rsa-cert-v01@openssh.com)` {result.AccessToken}";
        await File.WriteAllTextAsync(certPath, cert);
        File.SetAttributes(certPath, FileAttributes.ReadOnly);
        // Dump certificate content to console
        Console.WriteLine("Cert");
        Console.WriteLine(cert);
        Console.WriteLine();
}
}

次のコマンドを使用して、前の手順で取得した OpenSSH 証明書を使用して接続します。

az sftp connect --storage-account <account_name> --certificate-file ~/.ssh/my_cert.pub

さらに、次のように 1 つのコマンドを使用して、OpenSSH 証明書を取得し、SFTP に接続できます。

az sftp connect
az sftp connect --storage-account <account_name>

コマンドの詳細については、 こちらを参照してください。

次のコマンドを使用して、前の手順で取得した OpenSSH 証明書を使用して接続します。

Connect-AzSftp -StorageAccount "<account_name>" -CertificateFile "$HOME\.ssh\my_cert.pub"

さらに、次のように 1 つのコマンドを使用して、OpenSSH 証明書を取得し、SFTP に接続できます。

Connect-AzAccount
Connect-AzSftp -StorageAccount "<account_name>"

コマンドの詳細については、 こちらを参照してください。

適用されません。