Authentifizieren bei Azure-Ressourcen über lokale JavaScript-Apps
Apps, die außerhalb von Azure ausgeführt werden (z. B. lokal oder in einem Drittanbieter-Rechenzentrum), sollten einen Anwendungsdienstprinzipal verwenden, um sich beim Zugriff auf Azure-Ressourcen bei Azure zu authentifizieren. Anwendungsdienstprinzipalobjekte werden mithilfe des App-Registrierungsprozesses in Azure erstellt. Beim Erstellen eines Anwendungsdienstprinzipals werden eine Client-ID und ein geheimer Clientschlüssel für Ihre App generiert. Sie speichern die Client-ID, den geheimen Clientschlüssel und Ihre Mandanten-ID in Umgebungsvariablen, sodass das Azure SDK für JavaScript die Umgebungsvariablen verwendet, um Ihre App zur Laufzeit bei Azure zu authentifizieren.
Für jede Umgebung (z. B. Test, Phase, Produktion), in der die App ausgeführt wird, sollte eine andere App-Registrierung erstellt werden. Auf diese Weise können umgebungsspezifische Ressourcenberechtigungen für jeden Dienstprinzipal konfiguriert werden, und es wird sichergestellt, dass eine App, die in einer Umgebung bereitgestellt wird, nicht mit Azure-Ressourcen kommuniziert, die Teil einer anderen Umgebung sind.
1 - Registrieren der Anwendung in Azure AD
Eine App kann entweder mit dem Azure-Portal oder der Azure CLI bei Azure registriert werden.
Melden Sie sich beim Azure-Portal an, und führen Sie die folgenden Schritte aus.
| Anweisungen | Screenshot |
|---|---|
Im Azure-Portal:
|
|
| Wählen Sie auf der Seite „App-Registrierungen“ die Option + Neue Registrierung aus. | 
|
Füllen Sie auf der Seite Registrieren einer Anwendung das Formular wie folgt aus.
|
|
Auf der App-Registrierungsseite für Ihre App:
|
|
| Wählen Sie auf der Seite „Zertifikate und geheime Schlüssel“ + Neuer geheimer Clientschlüssel aus. | 
|
Das Dialogfeld Geheimer Clientschlüssel hinzufügen wird auf der rechten Seite der Seite angezeigt. In diesem Dialog:
WICHTIG: Legen Sie eine Erinnerung in Ihrem Kalender vor dem Ablaufdatum des Geheimnisses fest. Auf diese Weise können Sie vor Ablauf dieses Geheimnisses ein neues Geheimnis hinzufügen und Ihre Apps aktualisieren und eine Dienstunterbrechung in Ihrer App vermeiden. |
|
| Auf der Seite Zertifikate & Geheimnisse wird der Wert des geheimen Clientschlüssels angezeigt. Kopieren Sie diesen Wert an einen temporären Speicherort in einem Texteditor, da Sie ihn in einem zukünftigen Schritt benötigen. WICHTIG: Dieser Wert wird nur dieses eine Mal angezeigt. Sobald Sie diese Seite verlassen oder aktualisieren, können Sie diesen Wert nicht mehr anzeigen. Sie können einen weiteren geheimen Clientschlüssel hinzufügen, ohne den aktuellen geheimen Clientschlüssel ungültig zu machen, dieser Wert wird jedoch nicht mehr angezeigt. |
|
2: Zuweisen von Rollen zum Anwendungsdienstprinzipal
Als Nächstes müssen Sie bestimmen, welche Rollen (Berechtigungen) Ihre App für welche Ressourcen benötigt, und diese Rollen Ihrer App zuweisen. Rollen können in einem Ressourcen-, Ressourcengruppen- oder Abonnementbereich eine Rolle zugewiesen werden. In diesem Beispiel wird gezeigt, wie Sie Rollen für den Dienstprinzipal auf der Ebene der Ressourcengruppe zuweisen, da die meisten Anwendungen alle ihre Azure-Ressourcen in einer einzigen Ressourcengruppe zusammenfassen.
| Anweisungen | Screenshot |
|---|---|
| Suchen Sie die Ressourcengruppe für Ihre Anwendung, indem Sie über das Suchfeld oben im Azure-Portal nach dem Namen der Ressourcengruppe suchen. Navigieren Sie zu Ihrer Ressourcengruppe, indem Sie den Namen der Ressourcengruppe unter der Überschrift Ressourcengruppen im Dialogfeld auswählen. |
|
| Wählen Sie auf der Seite für die Ressourcengruppe im linken Menü Die Option Zugriffssteuerung (IAM) aus. | 
|
Klicken Sie auf der Seite Zugriffssteuerungseinstellungen:
|
|
Auf der Seite Rollenzuweisung hinzufügen werden alle Rollen aufgelistet, die der Ressourcengruppe zugewiesen werden können.
|
|
Auf der nächsten Seite Rollenzuweisung hinzufügen können Sie angeben, welchem Benutzer die Rolle zugewiesen werden soll.
|
|
Im Dialogfeld Mitglieder auswählen :
|
|
| Der Dienstprinzipal wird auf dem Bildschirm Rollenzuweisung hinzufügen als ausgewählt angezeigt. Wählen Sie Überprüfen und zuweisen aus, um zur letzten Seite zu gelangen, und wählen Sie erneut Überprüfen und zuweisen aus, um den Vorgang abzuschließen. |
|
3. Konfigurieren von Umgebungsvariablen für die Anwendung
Sie müssen die Umgebungsvariablen AZURE_CLIENT_ID, AZURE_TENANT_ID und AZURE_CLIENT_SECRET für den Prozess festlegen, der Ihre JavaScript-App ausführt, um die Anmeldeinformationen des Anwendungsdienstprinzipals zur Laufzeit für Ihre App verfügbar zu machen. Das DefaultAzureCredential-Objekt sucht in diesen Umgebungsvariablen nach den Dienstprinzipalinformationen.
AZURE_CLIENT_ID=<value>
AZURE_TENANT_ID=<value>
AZURE_CLIENT_SECRET=<value>
4 - Implementieren von DefaultAzureCredential in Ihrer Anwendung
Um Azure SDK-Clientobjekte für Azure zu authentifizieren, sollte Ihre Anwendung die DefaultAzureCredential-Klasse aus dem @azure/identity-Paket verwenden.
Fügen Sie Ihrer Anwendung zunächst das Paket @azure/identity hinzu.
npm install @azure/identity
Danach sollten Sie für jeden JavaScript-Code, der ein Azure SDK-Clientobjekt in Ihrer App erstellt, Folgendes ausführen:
- Importieren Sie die
DefaultAzureCredential-Klasse aus dem@azure/identity-Modul. - Erstellen eines
DefaultAzureCredential-Objekts - Übergeben Sie das
DefaultAzureCredential-Objekt an den Azure SDK-Clientobjektkonstruktor.
Ein Beispiel dafür wird im folgenden Codeausschnitt gezeigt.
// connect-with-default-azure-credential.js
import { BlobServiceClient } from '@azure/storage-blob';
import { DefaultAzureCredential } from '@azure/identity';
import 'dotenv/config'
const accountName = process.env.AZURE_STORAGE_ACCOUNT_NAME;
if (!accountName) throw Error('Azure Storage accountName not found');
const blobServiceClient = new BlobServiceClient(
`https://${accountName}.blob.core.windows.net`,
new DefaultAzureCredential()
);
Wenn der obige Code das DefaultAzureCredential-Objekt instanziiert, liest DefaultAzureCredential die Umgebungsvariablen AZURE_SUBSCRIPTION_ID, AZURE_TENANT_ID, AZURE_CLIENT_ID und AZURE_CLIENT_SECRET für die Anwendungsdienstprinzipal-Informationen, mit denen eine Verbindung mit Azure hergestellt werden soll.