この記事は約10分で読めます。
この記事でわかること最近のAzureのアップデートにより、クラウドインフラの大きな強化が図られました。特に目玉となる強化として、コンテナ管理を自動化するAzure Kubernetes Service Automatic、AIエージェントの認証機構となるMicrosoft Entra Agent IDが追加されています。それぞれAzureの既存サービスの欠点を補っており、利便性をさらに高める強化となっています。
今回はAzure Kubernetes Service AutomaticとMicrosoft Entra Agent IDに注目し、それぞれの特徴や既存サービスとの違いを解説していきます。また、各サービスのメリットや役立つシーンも併せて紹介していますので、該当する既存サービスをご利用の方やこれから検討される方もご参考ください。
こちらもオススメ！
Azure Kubernetes Service Automatic
Azure Kubernetes Service Automaticとは
Azure Kubernetes Service Automatic（以下、AKS Automatic）は、Kubernetesのノード管理やスケーリングなどの運用タスクが自動的に行われる仕組みで、既存のAzure Kubernetes Service（以下、AKS）に追加された機能です。予め用意された推奨構成でクラスターを構築でき、セキュリティ設定や必要なツールが揃った状態ですぐにKubernetes環境を稼働できるようになっています。そのため、AKS Automaticは導入や運用のコストを下げた新しい選択肢となっています。
なお、従来の手動でのクラスター構築も選べるため、チームやプロジェクトの状況に応じて使い分けができます。
Azure Kubernetes Service Automaticのメリット
管理コストの削減
AKS Automaticを利用すると、最適化された構成や自動化によって管理コストの大幅な削減が期待できます。ノード自動プロビジョニングの機能が既定で働き、AKSのユーザーノードプールが自動作成される上に、垂直および水平のオートスケーリングが適用されます。また、クラスターやアプリケーションに対するベストプラクティスのセキュリティポリシーが適用されたり、ログやメトリック収集のツールが標準搭載されたりと多くの工程が省略されています。
さらに、マネージドシステムノードプールと呼ばれる機能を利用してクラスターを構築すると、システム用のノードプールのプロビジョニングやアップグレード、スケーリングなどの管理がAzure側で自動的に実行されるようになります。これにより、AKSのシステムノードプールの管理から解放され、AKSの導入に対するハードルは低くなります。
負荷増大への高速対応
AKS Automaticでは、急激な負荷増加に対して高速なオートスケーリングを実現します。最適化された構成によって、ポッドの起動準備が5分以内に完了することが99.9%保証されており、高速かつ安全な負荷対応を可能とします。細かな設定や管理コストを気にせずに、負荷の振れ幅の大きい要件に対して安定的な運用が期待できます。
Microsoft Entra Agent ID
Microsoft Entra Agent IDとは
Microsoft Entra Agent IDは、AIエージェントを安全に運用するために用意されたID認証機構です。AIエージェントはユーザーに代わって多くの仕事をこなしますが、不用意なリソースへのアクセスによって不慮のデータ損失の懸念があります。そこでMicrosoft Entra Agent IDでは、必要最低限の権限に抑えつつ、外部リソースの操作を逐一監視することでAIエージェントの安全性を高めます。
従来のMicrosoft Entra ID（以下、Entra ID）は、ユーザーの役割に応じてアクセス権限を与える仕組みですが、本人認証にはパスワード入力などのユーザー操作を必要とします。これをAIエージェントに適用するにも、事前の認証が必要だったり、余分な権限を与えてしまったりといった問題がありました。
Microsoft Entra Agent IDによって。Microsoft Entra IDに内包される仕組みであるため利便性はほとんど変わらず、これまで同様の柔軟なアクセス制御の管理が可能です。
Microsoft Entra Agent IDの仕組み
Microsoft Entra Agent IDでの認証は、AIエージェントの認証を司るオブジェクト「AIエージェントブループリント」と、実際に動作するAIエージェントに紐づくアカウント「エージェントID」が対になって構成されます。AIエージェントブループリントは権限や認証方法などの情報を有しており、これらの情報に基づいて各AIエージェントに対して個別のエージェントIDを生成する役割を持ちます。これらは親子関係にあり、エージェントIDの親であるAIエージェントブループリントが認証手続きを担うことで、各エージェントIDが認証情報を持つ必要がなくなるという分離構造になっています。
また、固有のエージェントIDを付与することでAIエージェントを識別して監査証跡を残せるようになり、不測の事態に対応しやすくしています。これは対話型エージェントのようなユーザー主導の使い方でも、トリガーで動作するような自律型エージェントの使い方でも、同じ認証機構のもとで対応することができます。
Microsoft Entra Agent IDの活用シーン
Microsoft Entra Agent IDでは、次の3つの異なるケースのAIエージェント活用をサポートします。
アシスタントツールとしてのAIエージェント
チャット等を通じて与えられたプロンプトを実行するAIエージェントでは、操作するユーザーの役割に応じて権限が与えられることが望まれます。このようなケースでは、ユーザーの認証情報がAIエージェントに伝達され、ユーザーの権限の範囲内でタスクをこなすように制限することができます。なお、AIエージェントを利用する前にユーザー認証が必要となります。
バックグラウンドで自律的に動作するAIエージェント
スケジュールやアラートなどのトリガーによって動作するAIエージェントでは、ユーザーは介在しないため独自の権限を割り当てることができます。ユーザーのように幅広い権限を持たせる必要がなく、最低限の権限で安全に実行させることができます。また、AIエージェントとして操作がなされたログが残るため、責任の所在が明確になります。
ユーザーのように振る舞うAIエージェント
ユーザーの代わりではなく、1人のユーザーとしてAIエージェントを動かす場合にも適用できます。メールボックスを持ったり、Teamsに参加したりなどユーザーのアカウントでしかできないようなことをAIエージェントで実現させたい場合に、エージェント用のユーザーアカウントを作成することができます。なお、エージェントのユーザーアカウントは、不正アクセスなどのセキュリティ侵害が起こらないよう厳しい制約が設けられています。
Microsoft Entra Agent IDの使い方
Microsoft Entra Agent IDを使って実際に認証を行ってみましょう。管理ポータルでエージェントIDを作成し、コードから認証する手順を紹介していきます。
エージェントIDの作成
Microsoft Entra管理センター（以下、Entra管理センター）にサインインし、「エージェント」のメニューをクリックします。
サイドメニューにある「Agent blueprints」をクリックし、「New agent blueprint」のリンクからブループリントの作成画面に進みましょう。
作成画面ではブループリント名を入力し、次の画面で管理者ユーザーを選びます。
作成できるとAgent blueprintsの一覧に追加されます。
エージェントIDの作成は、サイドメニューの「Agent identities」に遷移し、「New agent identity」のリンクから進めます。
親となるブループリントを選び、エージェントID名を入力し、次の画面で管理者ユーザーを選ぶことで作成できます。
最後に、アクセス確認用にシークレットを作成しましょう。サイドメニューの「Agent blueprints」の一覧から、先ほど作成したブループリントを選びましょう。
サイドメニューの「Credentials」に移り、「クライアントシークレット」タブを選び、「新しいクライアントシークレット」を作成しましょう。
作成したシークレットの値は非表示になってしまうため、メモして控えておきましょう。
SDKを使ったアプリケーションからの認証
作成したエージェントIDに対してPythonで認証してみましょう。まずは下記のPythonパッケージをインストールしておきましょう。
pip install azure-identity
pip install msgraph-sdk 続いて、下記のPythonコードを書き、IDなどの認証情報を自身の環境に書き換えましょう。テナントIDの部分には、Entra管理センターの「概要」から確認できるテナントIDを入力します。ブループリントIDの部分には、先ほど作成したブループリントのIDを入力します。クライアントシークレットの部分には、作成したシークレットの値を入力しましょう。
from azure.identity.aio import ClientSecretCredential
from msgraph import GraphServiceClient
credential = ClientSecretCredential(
"テナントID",
"ブループリントID",
"クライアントシークレット"
)
scopes = ['https://graph.microsoft.com/.default']
client = GraphServiceClient(credentials=credential, scopes=scopes)コードを書き替えたら実行してみましょう。実行できたら、Entra管理センターの認証ログを確認してみましょう。ブループリントの「Sign-in logs」にログが記載されていれば成功です。
まとめ
AzureのインフラサービスであるAzure Kubernetes ServiceとMicrosoft Entra IDに大きな機能追加が行われました。Azure Kubernetes Service Automaticは、Kubernetes運用のベストプラクティスに基づいて自動化された環境を提供し、複雑なコンテナ環境の導入や管理のハードルを下げています。また、Microsoft Entra Agent IDは、AIエージェント用の認証機構と監視機能を提供し、AIによる誤操作やセキュリティ侵害を防ぐ安全な運用をサポートします。どちらの機能も既存のサービスの不足分を補うアップデートで活用の幅が広がり、さらに利便性が向上しています。
お客様が運営するクラウドの監視・保守・運用業務を、ジードが代行いたします。
お客様のご要望に沿って、適切なクラウド選定から設計・構築までを行います。
Azure上で、AI ＋ 機械学習、分析、ブロックチェーン、IoTを開発します。