マネージド ID を使用してAzure Storageに接続する (Azure AI 検索)

メモ

Azure AI 検索は、Azure ポータル、REST API、およびAzure SDKから使用できます。また、Foundry IQ は、エンタープライズコンテンツを、Microsoft Foundry ポータルのエージェントの再利用可能なアクセス許可に対応したナレッジベースに変換するマネージドナレッジレイヤーです。

この記事では、接続文字列で資格情報を指定するのではなく、マネージド ID を使用してAzure Storage アカウントへの検索サービス接続を構成する方法について説明します。

システム割り当てマネージド ID またはユーザー割り当てマネージド ID を使用できます。マネージド ID はログインMicrosoft Entraであり、Azure Storageへのアクセスにはロールの割り当てが必要です。

前提条件

Azure AI 検索、Basic レベル以上、マネージド ID付き。

メモ

ストレージがネットワークで保護され、検索サービスと同じリージョンにある場合は、システム割り当てマネージド ID と、信頼されたサービスとして接続するか、リソースインスタンスルールを使用して接続するかのいずれかのネットワークオプションを使用する必要があります。

Azure Storageでロールの割り当てを作成する

Azure ポータルにサインインし、ストレージアカウントを見つけます。
[アクセス制御 (IAM)] を選択します。
[ 追加] を選択し、[ ロールの割り当て] を選択します。

ジョブ機能ロールの一覧から、検索サービスに必要なロールを選択します。

タスク	ロールの割り当て
インデクサーを使用した BLOB インデックス作成	ストレージ BLOB データリーダーを追加
インデクサーを使用した ADLS Gen2 インデックス作成	ストレージ BLOB データリーダーを追加
インデクサーを使用したテーブルインデックス作成	ストレージテーブルデータリーダーを追加
インデクサーを使用したファイルインデックス作成	閲覧者とデータアクセスを追加
ナレッジストアに書き込む	オブジェクトとファイルのプロジェクション用にストレージ BLOB データ共同作成者を追加し、テーブルプロジェクション用に Reader と Data Access を追加します。
エンリッチメントキャッシュへの書き込み (プレビュー)	ストレージ BLOB データ共同作成者と、ストレージテーブルデータ共同作成者を追加
デバッグセッションの状態を保存する	ストレージ BLOB データ共同作成者を追加

[ 次へ] を選択します。
[ マネージド ID] を 選択し、[メンバー] を選択 します。
システム割り当てマネージド ID またはユーザー割り当てマネージド ID でフィルター処理します。以前に検索サービス用に作成したマネージド ID が表示されます。お持ちでない場合は、「マネージド ID を使用するように検索を構成する」を参照してください。既に設定しているが使用できない場合は、数分待ちます。
ID を選択し、ロールの割り当てを保存します。

接続文字列でマネージド ID を指定する

ロールの割り当てを完了したら、そのロールの下で動作するAzure Storageへの接続を設定できます。

インデクサーは、外部データソースへの接続にデータソースオブジェクトを使用します。このセクションでは、データソース接続文字列でシステム割り当てマネージド ID またはユーザー割り当てマネージド ID を指定する方法について説明します。その他の接続文字列例については、マネージド ID に関する記事を参照してください。

ヒント

Azure ポータルでAzure Storageへのデータソース接続を作成し、システムまたはユーザー割り当てマネージド ID のいずれかを指定し、JSON 定義を表示して、接続文字列がどのように作成されているかを確認できます。

システムによって割り当てられたマネージド ID

システム割り当てマネージド ID が既に構成されており、Azure Storageにロールの割り当てが必要です。

システム割り当てマネージド ID を使用して行われた接続の場合、データソース定義に対する唯一の変更は、 credentials プロパティの形式です。

ResourceIdを含む接続文字列を、アカウントキーまたはパスワードなしで指定します。 ResourceIdには、ストレージアカウントのサブスクリプション ID、ストレージアカウントのリソースグループ、ストレージアカウント名を含める必要があります。

POST https://[service name].search.windows.net/datasources?api-version=2026-04-01

{
    "name" : "blob-datasource",
    "type" : "azureblob",
    "credentials" : { 
        "connectionString" : "ResourceId=/subscriptions/00000000-0000-0000-0000-00000000/resourceGroups/MY-DEMO-RESOURCE-GROUP/providers/Microsoft.Storage/storageAccounts/MY-DEMO-STORAGE-ACCOUNT/;" 
    },
    "container" : { 
        "name" : "my-container", "query" : "<optional-virtual-directory-name>" 
    }
}

ユーザー割り当てマネージド ID

ユーザー割り当てマネージド ID が既に構成され検索サービスに関連付けられている必要があり、ID にはAzure Storageに対するロールの割り当てが必要です。

ユーザー割り当てマネージド ID を介して行われる接続では、システム割り当てマネージド ID と同じ資格情報と、ユーザー割り当てマネージド ID のコレクションを含む追加の ID プロパティが使用されます。データソースの作成時に指定する必要があるユーザー割り当てマネージド ID は 1 つだけです。

次の例に示す構文を使用して、 identity を指定します。 userAssignedIdentityをユーザー割り当てマネージド ID に設定します。

POST https://[service name].search.windows.net/datasources?api-version=2026-04-01

{
    "name" : "blob-datasource",
    "type" : "azureblob",
    "credentials" : { 
        "connectionString" : "ResourceId=/subscriptions/00000000-0000-0000-0000-00000000/resourceGroups/MY-DEMO-RESOURCE-GROUP/providers/Microsoft.Storage/storageAccounts/MY-DEMO-STORAGE-ACCOUNT/;" 
    },
    "container" : { 
        "name" : "my-container", "query" : "<optional-virtual-directory-name>" 
    },
    "identity" : { 
        "@odata.type": "#Microsoft.Azure.Search.DataUserAssignedIdentity",
        "userAssignedIdentity" : "/subscriptions/00000000-0000-0000-0000-00000000/resourcegroups/MY-DEMO-RESOURCE-GROUP/providers/Microsoft.ManagedIdentity/userAssignedIdentities/MY-DEMO-USER-MANAGED-IDENTITY" 
    }
}

リモートサービスの接続情報とアクセス許可は、インデクサーの実行中に実行時に検証されます。インデクサーが成功した場合、接続構文とロールの割り当ては有効です。詳細については、「インデクサー、スキル、またはドキュメントを実行またはリセットする」を参照してください。

ストレージアカウント内のネットワークで保護されたデータへのアクセス

Azureストレージアカウントは、ファイアウォールと仮想ネットワークを使用してさらにセキュリティ保護できます。ストレージアカウントがファイアウォールまたは仮想ネットワークで保護されている場合、そのコンテンツをインデックス化する方法については、Azure Storage に対するインデクサー接続を信頼されたサービスとして設定するを参照してください。

フィードバック

このページはお役に立ちましたか?

Last updated on 2026-07-03

マネージド ID を使用してAzure Storageに接続する (Azure AI 検索)

前提 条件