Python と mssql-python ドライバーを使用して Azure SQL Database に接続してクエリを実行する

適用対象:Azure SQL Database

このクイックスタートでは、Azure SQL Database のデータベースにアプリケーションを接続し、Python と mssql-python ドライバーを使用してクエリを実行する方法について説明します。 mssql-python ドライバーには、Microsoft Entra 認証のサポートが組み込まれており、パスワードレス接続が簡単になります。パスワードレス接続について詳しくは、パスワードレスハブに関する記事を参照してください。

前提条件

Azure サブスクリプション。
Microsoft Entra 認証を使用して構成された Azure SQL Database。「クイックスタート: 単一データベースの作成 - Azure SQL Database」を使用して作成できます。または、 Microsoft Fabric で SQL データベースを使用することもできます。
Visual Studio Code と Python 拡張機能。
Python 3.10 以降。
パスワードレス認証用の Azure CLI (Windows、macOS、Linux で動作します)。

データベースを構成する

Azure SQL Database への安全なパスワードレス接続には、特定のデータベース構成が必要です。 Azure の論理サーバーで次の設定を確認し、ローカル環境とホスト環境の両方で Azure SQL Database に適切に接続します。

ローカル開発の接続の場合は、ローカルコンピューターの IP アドレスやその他の Azure サービスで接続できるように論理サーバーが構成されていることを確認します。
- お使いのサーバーの [ネットワーク] ページに移動します。
- [選択されたネットワーク] ラジオボタンを切り替えて、追加の構成オプションを表示します。
- [Add your client IPv4 address(xx.xx.xx.xx)] (クライアント IPv4 アドレスの追加 (xx.xx.xx.xx)) を選び、ローカルコンピューターの IPv4 アドレスからの接続を有効にするファイアウォール規則を追加します。または、[+ Add a firewall rule] (ファイアウォール規則の追加) を選び、選んだ特定の IP アドレスを入力することもできます。
- [Azure サービスおよびリソースにこのサーバーへのアクセスを許可する] チェックボックスがオンになっていることを確認します。
  警告
  
  [Azure サービスおよびリソースにこのサーバーへのアクセスを許可する] 設定を有効にすることは、運用環境のシナリオでは推奨されるセキュリティプラクティスではありません。実際のアプリケーションでは、より強力なファイアウォール制限や仮想ネットワーク構成など、より安全なアプローチを実装する必要があります。
  
  データベースセキュリティの構成について詳しくは、次のリソースを参照してください。
  - Azure SQL Database ファイアウォール規則を構成する。
  - プライベートエンドポイントを使用して仮想ネットワークを構成する。
また、サーバーでは Microsoft Entra 認証が有効になっており、Microsoft Entra 管理者アカウントが割り当てられている必要があります。ローカル開発接続の場合、Microsoft Entra 管理者アカウントは、ローカルで Visual Studio または Azure CLI にログインできるアカウントである必要があります。論理サーバーの Microsoft Entra ID ページで、サーバーで Microsoft Entra 認証が有効になっているかどうかを確認できます。
個人の Azure アカウントを使用している場合は、アカウントをサーバー管理者として割り当てるために、Microsoft Entra がセットアップされ、Azure SQL Database 用に構成されていることを確認してください。企業アカウントを使用している場合は、Microsoft Entra ID がおそらくすでに構成済みになっています。

プロジェクトを作成する

Visual Studio Code を使用して新しい Python プロジェクトを作成します。

Visual Studio Code を開き、プロジェクトの新しいフォルダーを作成し、そのディレクトリに変更します。
```
mkdir python-sql-azure
cd python-sql-azure
```

アプリ用の仮想環境を作成します。

Windows
macOS/Linux

py -m venv .venv
.venv\scripts\activate

python3 -m venv .venv
source .venv/bin/activate

app.py という名前の新しい Python ファイルを作成します。

mssql-python ドライバーをインストールする

Python を使って Azure SQL Database に接続するには、mssql-python ドライバーをインストールします。このドライバーには、Microsoft Entra 認証のサポートが組み込まれているため、手動でのトークン処理は不要です。このクイックスタートでは、API を作成して実行するために、fastapi、uvicorn、pydantic パッケージもインストールします。

注

macOS と Linux では、 mssql-pythonをインストールする前にシステムの依存関係が必要です。プラットフォーム固有の手順については、 mssql-python パッケージのインストールを参照してください。

次の行を含む requirements.txt ファイルを作成します。
```
mssql-python
fastapi
uvicorn[standard]
pydantic
python-dotenv
```
要件をインストールします。
```
pip install -r requirements.txt
```

ローカル接続文字列を構成する

ローカル開発の場合は、プロジェクトフォルダーに .env ファイルを作成して接続文字列を格納します。これにより、資格情報がコードとソース管理から除外されます。

プロジェクトフォルダーに、 .envという名前の新しいファイルを作成します。
接続文字列を使用して AZURE_SQL_CONNECTIONSTRING 変数を追加します。プレースホルダー <database-server-name> と <database-name> を実際の値に置き換えます。

mssql-python ドライバーには、Microsoft Entra 認証のサポートが組み込まれています。認証方法を指定するには、 Authentication パラメーターを使用します。

ActiveDirectoryDefault は、対話型ログインを必要とせずに、複数のソースから資格情報を自動的に検出します。これは、 ローカル開発に推奨されるオプションです。

最も信頼性の高いローカル開発エクスペリエンスを実現するには、まず Azure CLI でサインインします。

az login

次に、 .env ファイルで次の接続文字列形式を使用します。

AZURE_SQL_CONNECTIONSTRING=Server=<database-server-name>.database.windows.net;Database=<database-name>;Authentication=ActiveDirectoryDefault;Encrypt=yes;TrustServerCertificate=no;

ActiveDirectoryDefault は、次の順序で資格情報を評価します。

環境変数 (サービスプリンシパル資格情報の場合)
マネージド ID (Azure で実行されている場合)
Azure CLI ( az loginから)
Visual Studio (Windows のみ)
Azure PowerShell ( Connect-AzAccount から)

ヒント

運用アプリケーションの場合は、資格情報の検出の待機時間を回避するために、シナリオに固有の認証方法を使用します。

Azure App Service/Functions: ActiveDirectoryMSI (マネージド ID) を使用する
対話型ユーザーログイン: 使用 ActiveDirectoryInteractive
サービスプリンシパル: 使用 ActiveDirectoryServicePrincipal

Windows では、Microsoft Entra Interactive Authentication で Microsoft Entra 多要素認証テクノロジを使用して接続を設定できます。このモードでは、Azure 認証ダイアログが表示され、接続を完了するための資格情報を入力できます。

AZURE_SQL_CONNECTIONSTRING=Server=<database-server-name>.database.windows.net;Database=<database-name>;Authentication=ActiveDirectoryInteractive;Encrypt=yes;TrustServerCertificate=no;

ユーザー名とパスワードを使用して、SQL Server インスタンスに対して直接認証できます。

AZURE_SQL_CONNECTIONSTRING=Server=<database-server-name>.database.windows.net;Database=<database-name>;UID=<user-name>;PWD=<user-password>;Encrypt=yes;TrustServerCertificate=no;

警告

ユーザー名、パスワード、アクセスキーなどのシークレットを含む接続文字列を管理する場合は注意してください。これらのシークレットは、ソース管理にコミットしたり、意図しないユーザーがアクセスする可能性がある安全でない場所に配置したりしないでください。 .envを.gitignore ファイルに追加して、シークレットが誤ってコミットされるのを防ぎます。

Microsoft Fabric の SQL データベースに接続するには、同じ認証方法を使用します。サーバー名は Fabric 形式に従います。

Windows ドメイン参加済みマシンでは、ActiveDirectoryIntegratedを使用して、追加の手順なしでシームレスな認証を行います。

AZURE_SQL_CONNECTIONSTRING=Server=<workspace-guid>.database.fabric.microsoft.com,1433;Database=<database-name>;Encrypt=yes;TrustServerCertificate=no;Authentication=ActiveDirectoryIntegrated;

macOS、Linux、またはドメイン以外の Windows では、Azure CLI (ActiveDirectoryDefault) でサインインした後、az loginを使用します。

AZURE_SQL_CONNECTIONSTRING=Server=<workspace-guid>.database.fabric.microsoft.com,1433;Database=<database-name>;Encrypt=yes;TrustServerCertificate=no;Authentication=ActiveDirectoryDefault;

Fabric SQL データベースの接続文字列は、Fabric ポータルのデータベースの設定で確認できます。

接続文字列を作成するための詳細は、Azure portal から入手できます。

Azure SQL Server に移動し、[SQL データベース] ページを選んでデータベース名を検索して、データベースを選びます。
データベースで、[ 概要 ] ページに移動してサーバー名を取得します。

Azure SQL Database に接続するコードを追加する

プロジェクトフォルダーに app.py ファイルを作成して、サンプルコードを追加します。このコードでは、次のことを行う API が作成されます。

.envを使用して、python-dotenv ファイルから構成を読み込みます。
環境変数から Azure SQL Database の接続文字列を取得します。
起動時にデータベース内に Persons テーブルを作成します (テストシナリオ専用)。
データベースからすべての Person レコードを取得する関数を定義します。
データベースからす 1 つの Person レコードを取得する関数を定義します。
データベースに新しい Person レコードを追加する関数を定義します。

from os import getenv
from typing import Union
from dotenv import load_dotenv
from fastapi import FastAPI
from pydantic import BaseModel
from mssql_python import connect

load_dotenv()

class Person(BaseModel):
    first_name: str
    last_name: Union[str, None] = None

connection_string = getenv("AZURE_SQL_CONNECTIONSTRING")

app = FastAPI()

@app.get("/")
def root():
    print("Root of Person API")
    try:
        conn = get_conn()
        cursor = conn.cursor()

        # Table should be created ahead of time in production app.
        cursor.execute("""
            IF NOT EXISTS (SELECT * FROM sys.tables WHERE name = 'Persons')
            CREATE TABLE Persons (
                ID int NOT NULL PRIMARY KEY IDENTITY,
                FirstName varchar(255),
                LastName varchar(255)
            );
        """)

        conn.commit()
        conn.close()
    except Exception as e:
        # Table might already exist
        print(e)
    return "Person API"

@app.get("/all")
def get_persons():
    rows = []
    with get_conn() as conn:
        cursor = conn.cursor()
        cursor.execute("SELECT * FROM Persons")

        for row in cursor.fetchall():
            print(row.FirstName, row.LastName)
            rows.append(f"{row.ID}, {row.FirstName}, {row.LastName}")
    return rows

@app.get("/person/{person_id}")
def get_person(person_id: int):
    with get_conn() as conn:
        cursor = conn.cursor()
        cursor.execute("SELECT * FROM Persons WHERE ID = ?", (person_id,))

        row = cursor.fetchone()
        return f"{row.ID}, {row.FirstName}, {row.LastName}"

@app.post("/person")
def create_person(item: Person):
    with get_conn() as conn:
        cursor = conn.cursor()
        cursor.execute("INSERT INTO Persons (FirstName, LastName) VALUES (?, ?)",
                       (item.first_name, item.last_name))
        conn.commit()

    return item

def get_conn():
    """Connect using mssql-python with built-in Microsoft Entra authentication."""
    conn = connect(connection_string)
    conn.setautocommit(True)
    return conn

警告

サンプルコードでは生の SQL ステートメントが示されており、運用環境のコードではこれを使わないでください。代わりに、データベースにアクセスするためのより安全なオブジェクトレイヤーを生成する、SqlAlchemy のようなオブジェクトリレーショナルマッパー (ORM) パッケージを使ってください。

アプリをローカルで実行してテストする

アプリをローカルでテストする準備ができました。

Visual Studio Code で app.py ファイルを実行します。
```
uvicorn app:app --reload
```
アプリ用の Swagger UI ページ http://127.0.0.1:8000/docs で、POST メソッドを展開し、[Try it out] (試してみる) を選びます。

/redocを試して、API用に生成された別形式のドキュメントを確認することもできます。
姓と名の値を含むようにサンプル JSON を変更します。 [実行] を選択して、新しいレコードをデータベースに追加します。 API は正常な応答を返します。
Swagger UI ページで GET メソッドを展開し、[ 試してみる] を選択します。 [実行] を選択すると、先ほど作成した人物が返されます。

Azure App Service にデプロイする

アプリを Azure にデプロイする準備ができました。

Azure App Service の gunicorn で uvicorn を実行できるように、start.sh ファイルを作成します。 start.sh の内容は次の 1 行です。
```
gunicorn -w 4 -k uvicorn.workers.UvicornWorker app:app
```
az webapp up を使って、コードを App Service にデプロイします。 (オプション -dryrun を使うと、リソースを作成せずにコマンドの動作を確認できます)。
```
az webapp up \
    --resource-group <resource-group-name> \
    --name <web-app-name>         
```

az webapp config set コマンドを使って、start.sh ファイルを使うように App Service を構成します。

az webapp config set \
    --resource-group <resource-group-name> \
    --name <web-app-name> \
    --startup-file start.sh

az webapp identity assign コマンドを使って、App Service のシステム割り当てマネージド ID を有効にします。
```
az webapp identity assign \
    --resource-group <resource-group-name> \
    --name <web-app-name>
```
このクイックスタートでは、デモンストレーションのためにシステム割り当てマネージド ID を使用します。さらに広範なシナリオでは、ユーザー割り当てマネージド ID の方が効率的です。詳しくは、「マネージド ID のベストプラクティスに関する推奨事項」をご覧ください。 mssql-python でユーザー割り当てマネージド ID を使用する例については、「 Azure SQL Database でのパスワードレス接続を使用するための Python アプリケーションの移行」を参照してください。

App Service を Azure SQL Database に接続する

「データベースを構成する」セクションでは、Azure SQL Database サーバー用のネットワークと Microsoft Entra 認証を構成しました。このセクションでは、データベースの構成を完了し、データベースサーバーにアクセスするための接続文字列を使って App Service を構成します。

これらのコマンドを実行するには、SQL Server Management Studio (SSMS) や MSSQL 拡張機能を使用した Visual Studio Code など、Azure SQL Database に接続できる任意のツールまたは IDE を使用できます。「クイックスタート: Azure portal クエリエディターを使用して Azure SQL Database にクエリを実行する」の説明に従って、Azure portal を使用することもできます。

SQL コマンドを使ってユーザーを Azure SQL Database に追加し、パスワードレスアクセス用のユーザーとロールを作成します。
```
CREATE USER [<web-app-name>] FROM EXTERNAL PROVIDER
ALTER ROLE db_datareader ADD MEMBER [<web-app-name>]
ALTER ROLE db_datawriter ADD MEMBER [<web-app-name>]
```
詳細については、「包含データベースユーザー - データベースの可搬性を確保する」を参照してください。同じ原則を Azure VM に適用する例については、「チュートリアル:Windows VM のシステム割り当てマネージド ID を使用して Azure SQL にアクセスする」をご覧ください。割り当てられるロールについて詳しくは、「固定データベースロール」をご覧ください。

App Service のシステム割り当てマネージド ID をいったん無効にしてから有効にする場合は、ユーザーを削除して作成し直します。 DROP USER [<web-app-name>] コマンドを実行し、CREATE と ALTER コマンドを実行し直します。ユーザーを表示するには、SELECT * FROM sys.database_principals を使います。
az webapp config appsettings set コマンドを使って、接続文字列のためのアプリ設定を追加します。
```
az webapp config appsettings set \
    --resource-group <resource-group-name> \
    --name <web-app-name> \
    --settings AZURE_SQL_CONNECTIONSTRING="<connection-string>"
```
デプロイされたアプリの接続文字列は次のようになります。
```
Server=<database-server-name>.database.windows.net;Database=<database-name>;Authentication=ActiveDirectoryMSI;Encrypt=yes;TrustServerCertificate=no;
```
<database-server-name> と <database-name> では、実際の値を指定します。

パスワードレスの接続文字列には、ユーザー名またはパスワードは含まれません。代わりに、アプリが Azure で実行されている場合、mssql-python ドライバーは、 ActiveDirectoryMSI 認証モードを使用して、App Service のマネージド ID を使用して自動的に認証します。

デプロイされたアプリケーションをテストする

アプリの URL を参照して、Azure SQL Database への接続が動作していることをテストします。アプリの URL は、App Service の概要ページで確認できます。

https://<web-app-name>.azurewebsites.net

を URL に追加して Swagger UI を表示し、API メソッドをテストします。

おめでとうございます。これで、ローカル環境とホスト環境の両方で、アプリケーションを Azure SQL Database に接続することができました。

フィードバック

このページはお役に立ちましたか?

Last updated on 2026-02-05