Microsoftは、開発者およびセキュリティ管理者向けの複数の重要なアップデートを発表しました。クラウドネイティブなアプリケーション開発を加速させる「Azure Developer CLI（以下、azd）」の拡張機能（Extension）フレームワークが一般提供（GA）のステータスに達したほか、CI/CDパイプラインのセキュリティを高める新たな接続パターンの提示、さらには急速に普及が進む自律型AIエージェントを安全に管理するためのセキュリティ指針の策定など、多角的な機能強化が行われています。これらの発表は、単なる個別ツールの改良にとどまらず、開発効率の向上と厳格なガバナンス統制を両立させるための包括的なプラットフォーム戦略の一環と位置づけられます。
何が発表されたのか
今回の発表における最大の注目点は、開発ライフサイクル全体をカバーするインフラストラクチャとセキュリティの統合です。具体的には、2026年8月（編集部注：動画内のブログ公開日基準）に以下の4つの柱がアップデートされました。
- azd拡張機能フレームワークの一般提供（GA）開始：個別開発だったデプロイフローの共通化・標準化が可能になりました。
- Cosmos DB接続における「パスワードレス（シークレットフリー）」パターンの確立：CI/CD環境から接続文字列を排除します。
- PostgreSQLの配置モデル比較ガイダンスの公開：マネージドサービスとセルフホストの意思決定基準を明確化しました。
- 自律型AIエージェントのセキュリティ統制指針の策定：Microsoft EntraやPurviewを組み合わせたエージェントの行動管理プロセスを導入します。
いずれのアップデートも、実験段階やプレビュー提供ではなく、実際のプロダクション環境で即座に適用可能な実用性の高い内容となっています。
発表された機能・アップデートの全容
Azure Developer CLI（azd）拡張機能フレームワークの一般提供（GA）とコンテナデプロイの強化
開発者がAzureリソースを迅速にプロビジョニングし、アプリケーションをデプロイするためのコマンドラインツール「azd」の拡張機能フレームワークが正式に一般提供（GA）となりました。これにより、azdは単なる初期セットアップ（ブートストラップ）ツールから、組織独自のデプロイ要件に合わせてカスタマイズ可能な「プログラム可能なプラットフォーム」へと進化しました。
プラットフォームエンジニアリングチームは、複雑なデプロイメントのオーケストレーションを独自のカスタムコードで作成することなく、拡張機能として標準化し、開発者全員に配布できるようになります。
また、コンテナデプロイに関する機能も大幅に強化されました。Azure Functionsにおいて、以下のリソースから直接コンテナデプロイを実行できるようになりました。
- ローカルのDockerfile
- 事前ビルド済みのコンテナイメージ
- Azure Container Registry（ACR）を利用したリモートビルド
特に注目すべきは「イメージパススルー（Image Pass-through）」機能の実装です。これにより、開発者のローカル環境にDockerやPodmanといったコンテナデーモンをインストールして起動しておく必要がなくなります。ローカルマシンのリソース消費を抑えつつ、リモートでの安全なコンテナビルドとデプロイを実現します。さらに、Bicepの参照関係から、レイヤードプロビジョニングの依存関係をazdが自動的に推論し、最適な順序でデプロイを実行する仕組みも導入されました。
シークレット不要のCI/CDパイプラインによるAzure Cosmos DB接続パターン
GitHub ActionsやAzure PipelinesといったCI/CDツールから、Azure Cosmos DBにデータをデプロイしたりスキーマを更新したりする際、従来の接続文字列やクライアントシークレットを環境変数に保存する手法は、漏洩リスクが常に付きまとっていました。Microsoftはこの課題に対し、シークレットを一切保持しない新しい接続パターンを公開しました。
このパターンでは、OpenID Connect（OIDC）トークンを利用した「Workload Identity Federation（ワークロードアイデンティティフェデレーション）」を採用しています。パイプラインが実行されると、一時的に発行される有効期限の短いOIDCトークンがMicrosoft Entra IDに送られ、Cosmos DBにアクセスするためのアクセストークンと交換されます。これにより、静的なパスワードをどこにも保存する必要がなくなります。
取材班の見立てでは、このアーキテクチャの優れた点は「コントロールプレーン」と「データプレーン」の権限分離が徹底されている点です。インフラを定義するAzureロールベースアクセス制御（RBAC）と、データベース内のデータを操作するCosmos DBデータプレーンのロール（Cosmos DB組み込みデータ共同作成者など）が明確に分けられています。これにより、認証が成功したのちに「データアクセス時に403エラーが発生する」といった初期設定時のトラブルを防ぎ、運用中のキーローテーションの手間を完全に排除できます。
PostgreSQLにおけるマネージドサービスとセルフホストの選択基準
データベースの運用をMicrosoftに委譲する「マネージドサービス（Azure Database for PostgreSQL Flexible ServerやAzure Horizon DB）」と、仮想マシン（VM）上で自前で運用する「セルフホスト」のどちらを選ぶべきかという議論に対し、包括的な比較指標が提示されました。
評価軸として、以下の5つの観点が挙げられています。
- 制御権（Control）：OSレベルのアクセスやカーネルパラメータの極端なカスタマイズが必要か。
- 回復性（Resilience）：ディザスタリカバリ（DR）や高可用性（HA）の自動化プロセスを自前で構築・検証する余裕があるか。
- セキュリティ（Security）：パッチ適用、脆弱性スキャン、保管時および移行時の暗号化を誰が担保するか。
- コスト（Cost）：インフラの直接コストだけでなく、運用管理者の人件費を含めた総所有コスト（TCO）。
- 運用（Operations）：バックアップの自動化、監視、オンコール体制の維持。
マネージドサービスを利用することで、データベース管理者は「差別化につながらない重労働（Undifferentiated Heavy Lifting）」であるパッチ適用やバックアップ、インフラ保守から解放され、クエリの最適化やデータモデルの設計といった、ビジネスに直接貢献するタスクに集中できるようになります。Microsoftは、データベースの選定は単にCPUやストレージの単価比較だけでなく、フェイルオーバーテストや監視運用にかかる時間コストも含めて総合的に判断すべきであると強く推奨しています。
Microsoft Securityにおける自律型AIエージェントの統制とセキュリティアップデート
生成AIの進化に伴い、人間に代わって判断し行動する「自律型AIエージェント（Autonomous Agents）」の業務利用が急速に拡大しています。しかし、エージェントが不適切なデータにアクセスしたり、意図しない書き込み処理を行ったりするリスクが指摘されています。Microsoftは、このAIエージェントのライフサイクルを安全に保護するためのセキュリティ統合管理指針を新たに発表しました。
この指針は「最小特権（Least Privilege）」と「可視化（Visibility）」の2軸で構成されています。具体的には以下の仕組みが導入されます。
- Microsoft Entra Tenant Governanceの一般提供（GA）：マルチテナント環境におけるアイデンティティの一元管理を可能にし、エージェントに付与された権限のドリフト（乖離）を監視します。
- Microsoft Purview自動ラベル付けのスケールアップ：1日あたり最大50万ファイルのスキャンに対応し、機密データがAIエージェントに誤って読み込まれるのを防ぎます。
- Microsoft Security Exposure Managementへのガイダンス追加：エージェントがユーザーの明確な同意なしに実行するアクションを検知・制御するための具体的なフレームワークを提供します。
これにより、AIエージェントが組織のデータにアクセスする際のセキュリティ境界が明確になり、プロダクション環境への安全な導入が可能となります。
