{"meta":{"title":"BYOK を使用した Azure マネージド ID","intro":"GitHub Copilot SDK の BYOK (独自のキーを持ち込む) では静的 API キーがサポートされていますが、Azureデプロイでは、有効期間の長いキーではなくマネージド ID (Microsoft Entra ID) が使用されることがよくあります。 GitHub Copilot SDK は、柔軟性を最大限に高めるために、Azure Identity SDK で構成するように設計されています。 Azure Identity SDK API を使用して、オンデマンドで新しいトークンをフェッチできるベアラー トークン プロバイダーコールバックを指定します。","product":"GitHub Copilot","breadcrumbs":[{"href":"/ja/copilot","title":"GitHub Copilot"},{"href":"/ja/copilot/how-tos","title":"方法"},{"href":"/ja/copilot/how-tos/copilot-sdk","title":"Copilot SDK"},{"href":"/ja/copilot/how-tos/copilot-sdk/setup","title":"Copilot SDK を設定する"},{"href":"/ja/copilot/how-tos/copilot-sdk/setup/azure-managed-identity","title":"Azure マネージド アイデンティティ"}],"documentType":"article"},"body":"# BYOK を使用した Azure マネージド ID\n\nGitHub Copilot SDK の BYOK (独自のキーを持ち込む) では静的 API キーがサポートされていますが、Azureデプロイでは、有効期間の長いキーではなくマネージド ID (Microsoft Entra ID) が使用されることがよくあります。 GitHub Copilot SDK は、柔軟性を最大限に高めるために、Azure Identity SDK で構成するように設計されています。 Azure Identity SDK API を使用して、オンデマンドで新しいトークンをフェッチできるベアラー トークン プロバイダーコールバックを指定します。\n\n\n\n\n\nこのガイドでは、Azure Identity SDK API を使用して、GitHub Copilot SDK を使用して Microsoft Foundry モデルで認証する方法について説明します。 ほとんどの言語では`DefaultAzureCredential`を使用します。Rust では、`DeveloperToolsCredential`をローカルで使用し、Azureで`ManagedIdentityCredential`します。\n\n## どのように機能するのか\n\nMicrosoft Foundry の OpenAI 互換エンドポイント (`https://.openai.azure.com/openai/v1/`) は、静的 API キーの代わりにMicrosoft Entra IDからベアラー トークンを受け入れます。 このガイドでは、GitHub Copilot SDK ランタイムが必要に応じて新しいトークンを要求できるように、トークン プロバイダーのコールバックを使用します。\n\nPythonを例として使用すると、フローは次のようになります。\n\n1. お使いの環境に合わせて `DefaultAzureCredential` を構成します。\n2. BYOK プロバイダーの構成の `bearer_token_provider` に、`DefaultAzureCredential` を使用して `https://ai.azure.com/.default` スコープのトークンを取得するコールバックを渡します。\n3. GitHub Copilot SDK は、そのコールバックを介してオンデマンドで新しいトークンを要求できるようにします。\n\n![図: 説明されたプロセスを示すシーケンス図。](/assets/images/help/copilot/copilot-sdk/setup-azure-managed-identity-diagram-0.png)\n\n## コードサンプル\n\n### Prerequisites\n\n言語のAzure ID パッケージと GitHub Copilot SDK パッケージをインストールします。\n\n
\n
.NET
\n\n\n\n```bash\ndotnet add package GitHub.Copilot.SDK\ndotnet add package Azure.Core\n```\n\n
\n\n
Go
\n\n\n\n```bash\ngo get github.com/github/copilot-sdk/go\ngo get github.com/Azure/azure-sdk-for-go/sdk/azidentity\n```\n\n
\n\n
Java
\n\n\n\n```xml\n\n com.github\n copilot-sdk-java\n ${copilot.sdk.version}\n\n\n\n com.azure\n azure-identity\n ${azure.identity.version}\n\n```\n\n
\n\n
Python
\n\n\n\n```bash\npip install github-copilot-sdk azure-identity\n```\n\n
\n\n
Rust
\n\n\n\n```bash\ncargo add github-copilot-sdk azure_identity azure_core\ncargo add tokio --features macros,rt-multi-thread\n```\n\n
\n\n
TypeScript
\n\n\n\n```bash\nnpm install @github/copilot-sdk @azure/identity\n```\n\n
\n\n
\n\n### トークン プロバイダーコールバックを使用する\n\nこの方法は、GitHub Copilot SDK ランタイムが、指定したコールバックを介してオンデマンドで新しいトークンを要求する場合に使用します。 Azure Identity SDK は、トークンのキャッシュと更新のタイミングを処理します。\n\n言語固有の実装を次に示します。\n\n
\n
.NET
\n\n\n\n```csharp\nusing Azure.Core;\nusing Azure.Identity;\nusing GitHub.Copilot;\n\nDefaultAzureCredential credential = new(\n DefaultAzureCredential.DefaultEnvironmentVariableName);\nawait using CopilotClient client = new();\nstring foundryUrl = Environment.GetEnvironmentVariable(\"FOUNDRY_RESOURCE_URL\")!;\n\nawait using CopilotSession session = await client.CreateSessionAsync(new SessionConfig\n{\n Model = \"gpt-5.5\",\n Provider = new ProviderConfig\n {\n Type = \"openai\",\n BaseUrl = $\"{foundryUrl}/openai/v1/\",\n BearerTokenProvider = async _ =>\n {\n AccessToken token = await credential.GetTokenAsync(\n new TokenRequestContext([\"https://ai.azure.com/.default\"]));\n return token.Token;\n },\n WireApi = \"responses\",\n },\n});\n\nAssistantMessageEvent? response = await session.SendAndWaitAsync(\n new MessageOptions { Prompt = \"Hello from Managed Identity!\" });\nConsole.WriteLine(response?.Data.Content);\n```\n\n
\n\n
Go
\n\n\n\n```golang\npackage main\n\nimport (\n \"context\"\n \"fmt\"\n \"log\"\n \"os\"\n \"time\"\n\n \"github.com/Azure/azure-sdk-for-go/sdk/azcore/policy\"\n \"github.com/Azure/azure-sdk-for-go/sdk/azidentity\"\n copilot \"github.com/github/copilot-sdk/go\"\n)\nfunc main() {\n opts := azidentity.DefaultAzureCredentialOptions{RequireAzureTokenCredentials: true}\n credential, err := azidentity.NewDefaultAzureCredential(&opts)\n if err != nil {\n log.Fatal(err)\n }\n\n getBearerToken := func(args copilot.ProviderTokenArgs) (string, error) {\n token, err := credential.GetToken(context.Background(), policy.TokenRequestOptions{\n Scopes: []string{\"https://ai.azure.com/.default\"},\n })\n if err != nil {\n return \"\", err\n }\n return token.Token, nil\n }\n\n client := copilot.NewClient(nil)\n if err := client.Start(context.Background()); err != nil {\n log.Fatal(err)\n }\n defer client.Stop()\n\n foundryURL := os.Getenv(\"FOUNDRY_RESOURCE_URL\")\n\n session, err := client.CreateSession(context.Background(), &copilot.SessionConfig{\n Model: \"gpt-5.5\",\n Provider: &copilot.ProviderConfig{\n Type: \"openai\",\n BaseURL: fmt.Sprintf(\"%s/openai/v1/\", foundryURL),\n BearerTokenProvider: getBearerToken,\n WireAPI: \"responses\",\n },\n })\n if err != nil {\n log.Fatal(err)\n }\n defer session.Disconnect()\n\n ctx, cancel := context.WithTimeout(context.Background(), 60*time.Second)\n defer cancel()\n\n response, err := session.SendAndWait(ctx, copilot.MessageOptions{\n Prompt: \"Hello from Managed Identity!\",\n })\n if err != nil {\n log.Fatal(err)\n }\n\n if response != nil {\n if data, ok := response.Data.(*copilot.AssistantMessageData); ok {\n fmt.Println(data.Content)\n }\n }\n}\n```\n\n
\n\n
Java
\n\n\n\n```java\nimport com.azure.core.credential.TokenRequestContext;\nimport com.azure.identity.AzureIdentityEnvVars;\nimport com.azure.identity.DefaultAzureCredentialBuilder;\nimport com.github.copilot.CopilotClient;\nimport com.github.copilot.generated.AssistantMessageEvent;\nimport com.github.copilot.rpc.BearerTokenProvider;\nimport com.github.copilot.rpc.MessageOptions;\nimport com.github.copilot.rpc.ProviderConfig;\nimport com.github.copilot.rpc.SessionConfig;\n\npublic class ManagedIdentityExample {\n public static void main(String[] args) throws Exception {\n var credential = new DefaultAzureCredentialBuilder()\n .requireEnvVars(AzureIdentityEnvVars.AZURE_TOKEN_CREDENTIALS)\n .build();\n BearerTokenProvider tokenProvider = providerArgs ->\n credential\n .getToken(new TokenRequestContext().addScopes(\"https://ai.azure.com/.default\"))\n .map(accessToken -> accessToken.getToken())\n .toFuture();\n String foundryUrl = System.getenv(\"FOUNDRY_RESOURCE_URL\");\n\n try (var client = new CopilotClient()) {\n client.start().get();\n\n var session = client.createSession(new SessionConfig()\n .setModel(\"gpt-5.5\")\n .setProvider(new ProviderConfig()\n .setType(\"openai\")\n .setBaseUrl(foundryUrl + \"/openai/v1/\")\n .setBearerTokenProvider(tokenProvider)\n .setWireApi(\"responses\")))\n .get();\n\n AssistantMessageEvent response = session\n .sendAndWait(new MessageOptions().setPrompt(\"Hello from Managed Identity!\"))\n .get();\n System.out.println(response.getData().content());\n\n session.disconnect().get();\n }\n }\n}\n```\n\n
\n\n
Python
\n\n\n\n```python\nimport asyncio\nimport os\n\nfrom azure.identity.aio import DefaultAzureCredential\nfrom copilot import CopilotClient\nfrom copilot.session import PermissionHandler, ProviderConfig\n\nasync def main():\n credential = DefaultAzureCredential(require_envvar=True)\n async def get_bearer_token(_args) -> str:\n token = await credential.get_token(\"https://ai.azure.com/.default\")\n return token.token\n\n foundry_url = os.environ[\"FOUNDRY_RESOURCE_URL\"]\n\n client = CopilotClient()\n await client.start()\n\n session = await client.create_session(\n on_permission_request=PermissionHandler.approve_all,\n model=\"gpt-5.5\",\n provider=ProviderConfig(\n type=\"openai\",\n base_url=f\"{foundry_url.rstrip('/')}/openai/v1/\",\n bearer_token_provider=get_bearer_token,\n wire_api=\"responses\",\n ),\n )\n\n response = await session.send_and_wait(\"Hello from Managed Identity!\")\n print(response.data.content)\n\n await client.stop()\n await credential.close()\n\nasyncio.run(main())\n```\n\n
\n\n
Rust
\n\n\n\n```rust\nuse std::sync::Arc;\n\nuse azure_core::credentials::TokenCredential;\nuse azure_identity::{DeveloperToolsCredential, ManagedIdentityCredential};\nuse github_copilot_sdk::{BearerTokenError, Client, ClientOptions, MessageOptions, ProviderTokenArgs};\nuse github_copilot_sdk::types::{ProviderConfig, SessionConfig};\n\nfn credential_for_environment() -> azure_core::Result> {\n match std::env::var(\"AZURE_TOKEN_CREDENTIALS\").as_deref() {\n Ok(\"ManagedIdentityCredential\") => Ok(ManagedIdentityCredential::new(None)?),\n _ => Ok(DeveloperToolsCredential::new(None)?),\n }\n}\n\n#[tokio::main]\nasync fn main() -> Result<(), Box> {\n let credential = credential_for_environment()?;\n let foundry_url = std::env::var(\"FOUNDRY_RESOURCE_URL\")?;\n\n let get_bearer_token = {\n let credential = credential.clone();\n move |_args: ProviderTokenArgs| {\n let credential = credential.clone();\n async move {\n let token = credential\n .get_token(&[\"https://ai.azure.com/.default\"], None)\n .await\n .map_err(|err| BearerTokenError::message(err.to_string()))?;\n Ok(token.token.secret().to_string())\n }\n }\n };\n\n let mut provider = ProviderConfig::default();\n provider.provider_type = Some(\"openai\".to_string());\n provider.base_url = format!(\"{}/openai/v1/\", foundry_url.trim_end_matches('/'));\n provider.bearer_token_provider = Some(Arc::new(get_bearer_token));\n provider.wire_api = Some(\"responses\".to_string());\n\n let mut config = SessionConfig::default();\n config.model = Some(\"gpt-5.5\".to_string());\n config.provider = Some(provider);\n\n let client = Client::start(ClientOptions::default()).await?;\n let session = client.create_session(config).await?;\n\n session\n .send_and_wait(MessageOptions::new(\"Hello from Managed Identity!\"))\n .await?;\n\n session.disconnect().await?;\n client.stop().await?;\n Ok(())\n}\n```\n\n
\n\n
TypeScript
\n\n\n\n```typescript\nimport { DefaultAzureCredential } from \"@azure/identity\";\nimport { CopilotClient } from \"@github/copilot-sdk\";\n\nconst credential = new DefaultAzureCredential({\n requiredEnvVars: [\"AZURE_TOKEN_CREDENTIALS\"],\n});\nconst getBearerToken = async () => {\n const tokenResponse = await credential.getToken(\"https://ai.azure.com/.default\");\n return tokenResponse.token;\n};\n\nconst client = new CopilotClient();\n\nconst session = await client.createSession({\n model: \"gpt-5.5\",\n provider: {\n type: \"openai\",\n baseUrl: `${process.env.FOUNDRY_RESOURCE_URL}/openai/v1/`,\n bearerTokenProvider: getBearerToken,\n wireApi: \"responses\",\n },\n});\n\nconst response = await session.sendAndWait({ prompt: \"Hello from Managed Identity!\" });\nconsole.log(response?.data.content);\n\nawait client.stop();\n```\n\n
\n\n
\n\n## 環境構成\n\n| 変数 | Description | Example |\n| ----------------------------------------------------------------------------------------------------------------------------------- | -------------------------------------- | ---------------------------------------- |\n| `AZURE_TOKEN_CREDENTIALS` | | |\n| **Azure**で実行する場合は、`ManagedIdentityCredential`に設定します。 | | |\n| **ローカルで**実行する場合は、`dev`または開発者ツールの資格情報名 (`AzureCliCredential` など) に設定します。 | `ManagedIdentityCredential` | |\n| `AZURE_CLIENT_ID` | | |\n| *省略可。* | | |\n| **Azure**で実行する場合は、`ManagedIdentityCredential`を使用するときに、ユーザー割り当てマネージド ID のクライアント ID に設定します。 設定されていない場合、Azureはシステム割り当てマネージド ID を使用します。 | `11111111-2222-3333-4444-555555555555` | |\n| `FOUNDRY_RESOURCE_URL` | Microsoft Foundry リソースの URL | `https://.openai.azure.com` |\n\nAPI キー環境変数は必要ありません。認証はAzure ID 資格情報によって処理されます。 .NET、Go、Java、Python、TypeScript では、`DefaultAzureCredential`は自動的に次をサポートします。\n\n* **マネージド ID** (システム割り当てまたはユーザー割り当て): Azureホストされているアプリの場合\n* **Azure CLI** (`az login`): ローカル開発用\n* **環境変数**（`AZURE_CLIENT_ID`、`AZURE_TENANT_ID`、`AZURE_CLIENT_SECRET`）: サービス プリンシパル用\n* **ワークロード アイデンティティ**: Kubernetes 向け\n\n.NET、Go、Java、Python、TypeScript では、`ManagedIdentityCredential` は、ユーザー割り当てマネージド ID を選択するために `AZURE_CLIENT_ID` を読み取ります。 Rust は、このガイドでは例外です。\n\nRust では、ローカル開発には `DeveloperToolsCredential` を使用し、Azure で実行する場合は `ManagedIdentityCredential` を使用します。 その他の言語については、完全な資格情報チェーンの `DefaultAzureCredential` ドキュメントを参照してください。\n\n* [.NET](https://aka.ms/azsdk/net/identity/credential-chains#defaultazurecredential-overview)\n* [Go](https://aka.ms/azsdk/go/identity/credential-chains#defaultazurecredential-overview)\n* [Java](https://aka.ms/azsdk/java/identity/credential-chains#defaultazurecredential-overview)\n* [Python](https://aka.ms/azsdk/python/identity/credential-chains#defaultazurecredential-overview)\n* [TypeScript](https://aka.ms/azsdk/js/identity/credential-chains#defaultazurecredential-overview)\n\n## このパターンを使用する場合\n\n| シナリオ | レコメンデーション |\n| --------------------------------------------------------------------- | --------- |\n| マネージド ID を使用した Azure でホストされるアプリ | |\n| ✅ このパターンを使用する | |\n| 既存のMicrosoft Entra サービス プリンシパルを持つアプリ | |\n| ✅ このパターンを使用する | |\n| `az login` を使用したローカル開発 | |\n| ✅ このパターンを使用する | |\n| 静的 API キーを使用する Azure 以外の環境 | |\n| [AUTOTITLE を](/ja/copilot/how-tos/copilot-sdk/auth/byok)使用する | |\n| 利用可能なGitHub Copilot サブスクリプション | |\n| [AUTOTITLE を](/ja/copilot/how-tos/copilot-sdk/setup/github-oauth)使用する | |\n\n## こちらも参照ください\n\n* [BYOK (独自のキーを持ち込む)](/ja/copilot/how-tos/copilot-sdk/auth/byok): 静的 API キーの構成\n* [バックエンド サービスのセットアップ](/ja/copilot/how-tos/copilot-sdk/setup/backend-services): サーバー側の展開"}