entra-app-registration

Entra ID（旧 Azure AD）のアプリ登録を、手順を外さずに進めたいときです。

用語が多くて迷う作業

アプリ登録は用語が多くて迷う作業です。クライアント ID、テナント ID、リダイレクト URI、API のアクセス許可、サービスプリンシパル。どれがどれを指すのか分からないままポータルの画面を触ることになります。

最初に用語の対応表を出す

このスキルは最初に用語の対応表を出します。

• アプリ登録アプリが Microsoft の ID 基盤を使うための設定
• アプリケーション（クライアント）IDそのアプリの識別子
• テナント IDディレクトリの識別子
• クライアントシークレットアプリのパスワード（機密クライアントのみ）
• リダイレクト URI認証の応答が返る URL
• API のアクセス許可アプリが要求するスコープ
• サービスプリンシパル登録時にテナント側に作られる ID

ここが揃っているだけで、ポータルの画面が読めるようになります。

アプリの種類を先に決めさせる

手順に入る前に、4 種類のどれかを決めます。

• Web アプリケーションサーバー側のアプリ、API
• シングルページアプリ（SPA）React / Angular などの JavaScript
• モバイル・ネイティブデスクトップ、モバイル
• デーモン・サービスバックグラウンドの処理、API

種類で後続の設定が全部変わります。リダイレクト URI が必要か、どの OAuth のフローを使うか、シークレットが必要かがここで決まります。

サービス（デーモン）ならリダイレクト URI は不要、モバイルは http://localhost かカスタム URI スキーム、と明示されています。

IaC を勧める判断が具体的

手順の途中に、どの方法を選ぶべきかの判断が書かれています。

すでに IaC を使っている、アプリ登録を多数管理する必要がある、設定変更の細かい監査履歴が必要 — いずれかなら、IaC でアプリ登録を管理することを強く推奨する。

条件を 3 つ挙げてから勧めているのが良いところです。「ポータルでどうぞ」で終わらせず、Bicep の例を別ファイルで用意しています。

シークレットより証明書を勧める

資格情報の段階で、3 つの選択肢を並べています。

さらに末尾の「セキュリティの推奨」で、Azure 上で動くアプリならマネージド ID を使ってシークレットそのものを避ける、と書いています。

順序が正しいです。シークレットの作り方を教えてから、「そもそも作らない方法がある」に着地しています。

参照資料を 16 件に分けている

本文は 8,223 バイト（2026-10-05 確認）で、収録 470 件の中央値（7,922 バイト）とほぼ同じです。中身を薄くしたのではなく、分けています。下に並べたのは主なものです。references/sdk/ の 8 件は 1 行にまとめ、references/auth-best-practices.md は省いています。

• references/cli-commands.mdAzure CLI のコマンド一覧
• references/BICEP-EXAMPLE.bicepIaC の例
• references/oauth-flows.mdOAuth 2.0 の各フロー
• references/api-permissions.mdアクセス許可の考え方
• references/console-app-example.md実装例
• references/first-app-registration.md初回の手引き
• references/troubleshooting.mdよくある詰まり
• references/sdk/*.md言語ごとの SDK（Azure Identity の 5 言語、Key Vault の 2 件、Auth Events の 1 件）

必要になったものだけ読ませる作りです。 Rust の SDK を知りたい人だけが azure-identity-rust.md を読みます。

この分け方が効く理由は スキルを入れすぎて重くなる仕組みにまとめています。当サイトの収録では 470 件のうち 200 件が同じ方式を採っていて、このスキルはその中でも整理が行き届いているほうです。

description に「使わない場面」が書いてある

frontmatter の description がこうなっています。

USE FOR: アプリ登録の作成、Azure AD アプリの登録、OAuth の設定、認証の設定、API のアクセス許可の追加、サービスプリンシパルの生成、MSAL の例、コンソールアプリの認証、Entra ID の設定、Azure AD 認証。DO NOT USE FOR: Key Vault のシークレット（azure-keyvault-expiration-audit を使う）、Azure リソースの一般的なセキュリティ指針。

使わない場面を名指ししています。同じ公開元が 28 件のスキルを並べているので、どれが呼ばれるかを安定させる必要があります。書き方の型はSKILL.md の書き方にまとめています。

組で入れないと止まるものがある

この公開元には組で入れないと止まるものがあります。全体の役割分担は microsoft/azure-skills の地図にまとめています。

Entra ID を使っていないなら関係ない

他の ID 基盤（Auth0、Firebase Authentication、自前の認証）には使えません。自前で持つ側の考え方は better-auth-best-practices の側です。

Key Vault のシークレット管理は対象外

本文が明記しています。description は azure-keyvault-expiration-audit を使えと書いていますが、今のリポジトリでは独立したスキルではなく、azure-compliance の中の参照資料の名前です（2026-10-09 確認）。

既存の設定の監査には向かない

このスキルは新しく登録して設定する手順です。「いま入っているアクセス許可が過剰でないか」を見る作業ではありません。

テナントの権限が無いと途中で止まる

アプリ登録には権限が必要で、組織のテナントでは制限されていることがあります。手順を出させてから、実行は権限のある人に回す使い方が現実的です。

Azure 全体の準備をしたいなら別物

そちらは azure-prepare の側で、あちらは 165 件の参照資料を持つ大きいスキルです。

解析で見つかった記述

SKILL.md の解析では、シェルコマンドの実行の記述が見つかっています。外部通信とファイル操作の記述は見つかっていません。同梱ファイルは 16 件で、実行可能なスクリプトは含まれていません（参照資料と Bicep のテンプレート）。

テナントに対して書き込むコマンドが並ぶ

見つかったのは az コマンドです。az ad app create az ad app credential reset az ad sp create など、テナントに対して書き込むコマンドが並んでいます。解析結果は「そう書かれている」ことの列挙で、挙動の保証ではありません（スキルを入れる前に確認すること）。

シークレットの値がエージェントの出力に残る

クライアントシークレットの値は 1 回しか表示されません。本文もそう書いています。エージェントの出力に残ることになるので、会話のログをどこに置くかを先に決めてください。

Key Vault に入れる手順まで書かれていますが、そこへ至る経路に値が通ります。

アクセス許可は最小限にする

本文の例に User.ReadWrite.All や Directory.Read.All が並んでいます。説明のために並べてあるだけで、必要だという意味ではありません。本文の「セキュリティの推奨」にも「必要な API のアクセス許可だけを要求する」とあります。

参照資料の内容は当サイトでは検証していない

16 件のファイルは名前と件数を出していますが、中身の正しさは原本の担当です。Microsoft の公開元（license: MIT、metadata.author: Microsoft）ですが、当サイトが内容を保証するものではありません。

最初にどの参照資料を読ませればいいですか

初めてなら references/first-app-registration.md です。本文が「初回のアプリ登録を段階的に案内する」用途で名指ししています。

用途が決まっているなら、そこだけ読ませてください。

• CLI で進めたい → references/cli-commands.md
• IaC で管理したい → references/BICEP-EXAMPLE.bicep
• コードに組み込みたい → references/console-app-example.md
• 詰まった → references/troubleshooting.md

シークレットと証明書のどちらを選べばいいですか

本文は本番環境では証明書を勧めています。さらにAzure 上で動くアプリならマネージド IDで、シークレットそのものを持たない形を勧めています。

シークレットは期限が切れるので、回転の仕組みを先に決めないと本番で止まります。本文の「セキュリティの推奨」にも「期限を設定し、回転を自動化する」とあります。

エージェントにアプリ登録まで実行させてよいですか

手順を出させて、実行は分けたほうが安全です。az ad app create はテナントに実体を作ります。消し忘れたアプリ登録が残るのは、後から棚卸しの手間になります。

検証用のテナントがあるならそこで試してください。

MSAL はどの言語で使えますか

本文が挙げているのは 3 つです。

• .NET / C# … Microsoft.Identity.Client
• JavaScript / TypeScript … @azure/msal-browser、@azure/msal-node
• Python … msal

references/sdk/ には Java と Rust の Azure Identity もあります。

対応しているエージェントはどれですか

Claude Code と Codex です。公開元の README が Claude Code と Codex CLI それぞれへの入れ方を節に分けて案内しています（2026-10-09 確認）。当サイトは公開元が明記しているものだけを「対応」として表示する方針なので、このスキルのページには両方が対応として出ます（指標の意味と限界）。