SQL Serverを使用して Django アプリを Azure App Service にデプロイする

この記事では、ODBC ドライバーの構成、環境ベースのシークレット、マネージド ID 認証など、mssql-django バックエンドを使用してAzure App Serviceする Django アプリケーションをデプロイする方法について説明します。

前提条件

Azure サブスクリプション
AzureからアクセスできるAzure SQL DatabaseまたはSQL Server インスタンス
mssql-django で設定された Django プロジェクト
Azure CLI インストール済み

Azure App Service上の ODBC ドライバー

Azure App Service Linux インスタンスには、Microsoft ODBC Driver for SQL Serverが含まれます。次のコマンドを実行して、インストールされているドライバーのバージョンを確認できます。

az webapp ssh --resource-group <your-rg> --name <your-app>
odbcinst -j

Note

Azure App Serviceには、通常、Linux プランに ODBC Driver 17 または 18 がプレインストールされています。 Windows アプリサービスプランには、ODBC ドライバーも含まれています。

シークレットに環境変数を使用する

settings.pyでデータベース資格情報をハードコーディングしないでください。環境変数を使用し、App Service アプリケーション設定として構成します。

import os

DATABASES = {
    "default": {
        "ENGINE": "mssql",
        "NAME": os.environ.get("DB_NAME", "<your-database>"),
        "USER": os.environ.get("DB_USER", ""),
        "PASSWORD": os.environ.get("DB_PASSWORD", ""),
        "HOST": os.environ.get("DB_HOST", "<your-server>.database.windows.net"),
        "PORT": os.environ.get("DB_PORT", "1433"),
        "OPTIONS": {
            "driver": "ODBC Driver 18 for SQL Server",
        },
    },
}

Tip

DB_NAMEやDB_HOSTなどの必要な値については、環境変数が不足している場合にアプリケーションが明確なos.environ["DB_NAME"]ですぐに失敗するように、KeyError (既定値なし) の使用を検討してください。

Azure App Serviceで環境変数を設定します。

az webapp config appsettings set \
    --resource-group <your-rg> \
    --name <your-app> \
    --settings DB_NAME=<your-database> DB_HOST=<your-server>.database.windows.net DB_USER=<your-username> DB_PASSWORD=<your-password>

マネージド ID 認証を使用する

運用環境のデプロイでは、資格情報の格納を回避するためにマネージド ID を使用します。 App Service でシステム割り当てマネージド ID を有効にします。

az webapp identity assign --resource-group <your-rg> --name <your-app>

マネージド ID に Azure SQL データベースへのアクセス権を付与します。

CREATE USER [<your-app-name>] FOR EXTERNAL PROVIDER;

ALTER ROLE db_datareader ADD MEMBER [<your-app-name>];
ALTER ROLE db_datawriter ADD MEMBER [<your-app-name>];
ALTER ROLE db_ddladmin ADD MEMBER [<your-app-name>];

Note

アプリケーションに必要なロールのみを付与します。 db_ddladmin固定データベースロールは、アプリケーションが移行を実行する場合にのみ必要です。読み取り専用ワークロードの場合は、 db_datareader で十分です。

サーバーがMicrosoft Entra専用認証用に構成されている場合、サーバーが ID 名を解決するためにMicrosoft Graphに到達できないため、FROM EXTERNAL PROVIDERはMsg 33130で失敗します。 CREATE USER [<your-app-name>] WITH SID = 0x<sid-hex>, TYPE = Eを使用してユーザーを手動で作成します。<sid-hex>は、オブジェクト ID ではなく、マネージド ID のアプリケーション (クライアント) ID から派生します。変換手順については、「Azure SQLで ID アクセスを許可する」を参照してください。

マネージド ID を使用するように settings.py を構成します。

import os

DATABASES = {
    "default": {
        "ENGINE": "mssql",
        "NAME": os.environ.get("DB_NAME", "<your-database>"),
        "HOST": os.environ.get("DB_HOST", "<your-server>.database.windows.net"),
        "PORT": "1433",
        "OPTIONS": {
            "driver": "ODBC Driver 18 for SQL Server",
            "extra_params": "Authentication=ActiveDirectoryMsi",
        },
    },
}

ManagedIdentityCredential でアクセストークンを使用する

または、azure.identity で TOKEN 設定を使用します:

注意事項

TOKEN値はプロセスの起動時に 1 回フェッチされ、60 分から 90 分後に期限切れになります。実行時間の長い App Service デプロイの場合は、トークン更新ロジックまたは有効期間の短いワーカーリサイクルも実装する場合にのみ、この方法を使用します。直接 ActiveDirectoryMsi パターンが環境内で動作する場合は、起動時のトークンの問題を回避します。

import os
from azure.identity import ManagedIdentityCredential

credential = ManagedIdentityCredential()
token = credential.get_token("https://database.windows.net/.default").token

DATABASES = {
    "default": {
        "ENGINE": "mssql",
        "NAME": os.environ.get("DB_NAME", "<your-database>"),
        "HOST": os.environ.get("DB_HOST", "<your-server>.database.windows.net"),
        "PORT": "1433",
        "TOKEN": token,
        "OPTIONS": {
            "driver": "ODBC Driver 18 for SQL Server",
        },
    },
}

Tip

DefaultAzureCredentialは、複数の資格情報の種類を自動的に試行するため、開発および共有コードベースに便利です。そのため、ノート PC、CI、および Azure で同じコードが動作します。ただし、適用されない資格情報の種類ごとに数秒のタイムアウトが追加され、起動速度が低下します。 App Service は常にマネージド ID を使用できるため、 ManagedIdentityCredential はプローブチェーンなしですぐに認証されます。要件ファイル (azure-identity) にpip install azure-identityをインストールします。

デプロイ中に移行を実行する

デプロイ後のスクリプトまたはスタートアップコマンドを追加して、移行を自動的に実行します。

az webapp config set \
    --resource-group <your-rg> \
    --name <your-app> \
    --startup-file "python manage.py migrate && gunicorn myproject.wsgi"

静的ファイルを収集する

運用環境の静的ファイル処理を構成します。

STATIC_URL = "/static/"
STATIC_ROOT = os.path.join(BASE_DIR, "staticfiles")

デプロイの一部として collectstatic を実行します。

python manage.py collectstatic --noinput

App Service にデプロイする

App Service では、次の 2 つの方法で Django アプリをホストできます。

組み込みの Linux Python イメージ: App Service はソースからコードをビルドし、Pythonランタイムを提供します。
カスタム Docker イメージ: イメージを自分でビルドし、コンテナーレジストリから参照します。

どちらのパスでも、システム割り当てマネージド ID を使用してAzure SQLに対する認証を行うことができますが、レシピは異なります。ご利用のデプロイに合ったタブを選択してください。

組み込みのPythonイメージ
カスタム Docker イメージ

組み込みの Linux Python イメージを使用すると、App Service の Oryx ビルダーによってrequirements.txtがインストールされ、gunicornの下で Django アプリが自動的に起動されます。ローカルのマネージド ID HTTP プロキシにより、Authentication=ActiveDirectoryMsi を ODBC 接続文字列から直接使用できるようになります。 settings.py」に示されているを使用します。

az webapp upを使用してコードをデプロイし、システム割り当てマネージド ID を有効にして、データベース環境変数を設定します。

az webapp up \
    --resource-group <your-rg> \
    --name <your-app> \
    --runtime "PYTHON:3.12" \
    --sku B1

az webapp identity assign --resource-group <your-rg> --name <your-app>

az webapp config appsettings set \
    --resource-group <your-rg> \
    --name <your-app> \
    --settings DB_NAME=<your-database> DB_HOST=<your-server>.database.windows.net

次に、「マネージド ID 認証を使用する」の説明に従って、SQL でマネージド ID アクセス権を付与します。

特定の ODBC ドライバーバージョン、追加のシステムパッケージ、またはランタイムを完全に制御する必要がある場合は、カスタムイメージを使用します。

App Service は、odbc ドライバーがIDENTITY_ENDPOINTが設定されるときに想定される標準の Azure Instance Metadata Service (IMDS) エンドポイントではなく、IDENTITY_HEADER169.254.169.254およびAuthentication=ActiveDirectoryMsi環境変数を介してアプリにマネージド ID を公開します。カスタムコンテナーでは、ODBC ドライバーの MSI モードは IMDS に到達できないため、ログインタイマーの有効期限が切れるまで接続がハングします。 Pythonでアクセストークンをフェッチし、mssql-django設定を使用してTOKENに渡します。 settings.py」に示されているパターンを使用します。

プロジェクトルートに Dockerfile を作成します。 Dockerfile は ODBC ドライバーをインストールし、ドライバーがMicrosoft Entra認証に必要な Kerberos ランタイムを保持し、gunicornでアプリを起動します。

FROM python:3.12-slim

# Install ODBC driver and runtime dependencies. libgssapi-krb5-2 is listed
# explicitly so apt-get --auto-remove keeps it after curl and gnupg2 are
# purged; msodbcsql18 needs it at runtime for Microsoft Entra authentication.
RUN apt-get update && apt-get install -y --no-install-recommends \
    curl \
    gnupg2 \
    unixodbc-dev \
    libgssapi-krb5-2 \
    && curl -fsSL https://packages.microsoft.com/keys/microsoft.asc | gpg --dearmor -o /usr/share/keyrings/microsoft-prod.gpg \
    && curl -fsSL https://packages.microsoft.com/config/debian/12/prod.list > /etc/apt/sources.list.d/mssql-release.list \
    && apt-get update \
    && ACCEPT_EULA=Y apt-get install -y --no-install-recommends msodbcsql18 \
    && apt-get purge -y --auto-remove curl gnupg2 \
    && rm -rf /var/lib/apt/lists/*

WORKDIR /app
COPY requirements.txt .
RUN pip install --no-cache-dir -r requirements.txt

COPY . .
RUN python manage.py collectstatic --noinput

EXPOSE 8000
CMD ["gunicorn", "myproject.wsgi", "--bind", "0.0.0.0:8000", "--timeout", "180"]

カスタムコンテナーは Oryx の自動インストールを取得しないため、gunicornにazure-identityとrequirements.txtを一覧表示します。

Django
mssql-django
gunicorn
azure-identity

RUN python manage.py collectstatic --noinput中にdocker buildを成功させるには、ランタイム環境変数を設定する前に、settings.pyをインポート可能にする必要があります。 DB_NAMEではなくDB_HOSTでos.environ.get(..., "")とos.environ[...]を読み取り、「STATIC_ROOT」に示すようにが構成されていることを確認します。

Important

2 つの一般的な省略は、誤解を招くエラーとして表面化します。

libgssapi-krb5-2しないと、Can't open lib '/opt/microsoft/msodbcsql18/lib64/libmsodbcsql-18.x.so.x.x' : file not found ファイルが存在する場合でも、最初のデータベース呼び出しは.soで失敗します。ドライバーローダーは、推移的な依存関係が見つからないと報告しています。
gunicornでrequirements.txtしないと、コンテナーは exec: "gunicorn": executable file not found in $PATH で開始できません。

その他のコンテナーエラーについては、「トラブルシューティング」を参照してください。

イメージをビルド、プッシュ、デプロイします。

# Create a container registry (one time)
az acr create --resource-group <your-rg> --name <your-acr> --sku Basic --admin-enabled true

# Build and push the image
az acr build --registry <your-acr> --image mydjango:latest .

# Create an App Service plan for containers
az appservice plan create --name <your-plan> --resource-group <your-rg> --is-linux --sku B1

# Create a web app using the container image
az webapp create \
    --resource-group <your-rg> \
    --plan <your-plan> \
    --name <your-app> \
    --container-image-name <your-acr>.azurecr.io/mydjango:latest

# Enable system-assigned managed identity
az webapp identity assign --resource-group <your-rg> --name <your-app>

# Configure database environment variables
az webapp config appsettings set \
    --resource-group <your-rg> \
    --name <your-app> \
    --settings DB_NAME=<your-database> DB_HOST=<your-server>.database.windows.net

次に、「マネージド ID 認証を使用する」の説明に従って、SQL でマネージド ID アクセス権を付与します。

Docker Compose を使用したローカル開発

ローカルでの開発とテストの場合は、Docker Compose を使用して、SQL Server コンテナーと共に Django アプリを実行します。

# docker-compose.yml
services:
  db:
    image: mcr.microsoft.com/mssql/server:2022-latest
    environment:
      ACCEPT_EULA: "Y"
      MSSQL_SA_PASSWORD: "<password>"  # Must meet SQL Server complexity requirements
    ports:
      - "1433:1433"

  web:
    build: .
    ports:
      - "8000:8000"
    environment:
      DB_HOST: db
      DB_NAME: mydb
      DB_USER: sa
      DB_PASSWORD: "<password>"
    depends_on:
      - db

Tip

SQL Server コンテナーは、アプリケーションデータベースを自動的に作成しません。コンテナーを開始した後、データベースを作成し、移行を実行します。

docker compose exec db /opt/mssql-tools18/bin/sqlcmd -S localhost -U sa -P "<password>" -No -Q "CREATE DATABASE mydb"
docker compose exec web python manage.py migrate

SQL Server コンテナーイメージには、ACCEPT_EULA=Yと強力な SA パスワードが必要です。運用環境では、SQL Server の資格情報ではなく、マネージド ID を使用して Azure SQL Database を使用します。「マネージド ID 認証を使用する」を参照してください。

フィードバック

このページはお役に立ちましたか?

Last updated on 2026-07-01