Autenticación de aplicaciones Node.js en servicios de Azure durante el desarrollo local mediante cuentas de desarrollador

Durante el desarrollo local, las aplicaciones deben autenticarse en Azure para acceder a varios servicios de Azure. Dos enfoques comunes para la autenticación local son usar un principal de servicio o usar una cuenta de desarrollador. En este artículo se explica cómo usar una cuenta de desarrollador. En las secciones siguientes, obtendrá información sobre lo siguiente:

• Uso de grupos de Microsoft Entra para administrar de forma eficaz los permisos de varias cuentas de desarrollador
• Asignar roles a cuentas de desarrolladores para delimitar permisos
• Cómo iniciar sesión en herramientas de desarrollo local admitidas
• Autenticación mediante una cuenta de desarrollador desde el código de la aplicación

Para que una aplicación se autentique en Azure durante el desarrollo local mediante las credenciales de Azure del desarrollador, el desarrollador debe iniciar sesión en Azure desde una de las siguientes herramientas de desarrollo:

• CLI de Azure
• CLI para desarrolladores de Azure
• Azure PowerShell

La biblioteca de identidades de Azure puede detectar que el desarrollador ha iniciado sesión desde una de estas herramientas. La biblioteca puede entonces obtener el token de acceso de Microsoft Entra a través de la herramienta para autenticar la aplicación en Azure como el usuario autentificado.

Este enfoque aprovecha las cuentas de Azure existentes del desarrollador para simplificar el proceso de autenticación. Sin embargo, es probable que la cuenta de un desarrollador tenga más permisos de los que requiere la aplicación, por lo que supera los permisos con los que se ejecuta la aplicación en producción. Como alternativa, puede crear principales de servicio de aplicación para usarlos durante el desarrollo local, que se pueden limitar a tener solo el acceso necesario para la aplicación.

Creación de un grupo de Microsoft Entra para el desarrollo local

Cree un grupo de Microsoft Entra para encapsular los roles (permisos) que la aplicación necesita en el desarrollo local en lugar de asignar los roles a objetos de entidad de servicio individuales. Este enfoque ofrece las siguientes ventajas:

• Cada desarrollador tiene los mismos roles asignados en el nivel de grupo.
• Si se necesita un nuevo rol para la aplicación, solo debe agregarse al grupo de la aplicación.
• Si un nuevo desarrollador se une al equipo, se crea una nueva entidad de servicio de aplicación para el desarrollador y se agrega al grupo, asegurándose de que el desarrollador disponga de los permisos adecuados para trabajar en la aplicación.

Azure Portal

1. Vaya a la página de descripción general de Microsoft Entra ID en el portal de Azure.

2. Seleccione Todos los grupos en el menú de la izquierda.

3. En la página Grupos , seleccione Nuevo grupo.

4. En la página Nuevo grupo , rellene los siguientes campos de formulario:

   • Tipo de grupo: seleccione Seguridad.
   • Nombre del grupo: escriba un nombre para el grupo que incluya una referencia al nombre de la aplicación o del entorno.
   • Descripción del grupo: escriba una descripción que explique el propósito del grupo.

   

5. Seleccione el vínculo Sin miembros seleccionados en Miembros para agregar miembros al grupo.

6. En el panel flotante que se abre, busque la entidad de servicio que creó anteriormente y selecciónela en los resultados filtrados. Elija el botón Seleccionar situado en la parte inferior del panel para confirmar la selección.

7. Seleccione Crear en la parte inferior de la página Nuevo grupo para crear el grupo y volver a la página Todos los grupos . Si no ve el nuevo grupo en la lista, espere un momento y actualice la página.

CLI de Azure

1. Use el comando az ad group create para crear grupos en Microsoft Entra ID.

   az ad group create \
       --display-name <group-name> \
       --mail-nickname <group-mail-nickname> \
       --description <group-description>
   

   Los parámetros --display-name y --mail-nickname son obligatorios. El nombre asignado al grupo debe basarse en el nombre y el entorno de la aplicación para indicar el propósito del grupo.

2. Para agregar miembros al grupo, necesita el ID de objeto del principal de servicio de la aplicación, que es diferente del ID de aplicación. Use el comando az ad sp list para enumerar las entidades de servicio disponibles:

   az ad sp list \
       --filter "startswith(displayName, '<group-name>')" \
       --query "[].{objectId:id, displayName:displayName}"
   

   El --filter parámetro acepta filtros de estilo OData y se puede usar para filtrar la lista como se muestra. El --query parámetro limita la salida solo a las columnas de interés.

3. Use el comando az ad group member add para agregar miembros al grupo:

   az ad group member add \
       --group <group-name> \
       --member-id <object-id>
   

Asignación de roles al grupo

A continuación, determine qué roles (permisos) necesita la aplicación en qué recursos y asigne esos roles al grupo de Microsoft Entra que ha creado. A los grupos se les puede asignar un rol en el ámbito de recurso, grupo de recursos o suscripción. En este ejemplo se muestra cómo asignar roles en el ámbito del grupo de recursos, ya que la mayoría de las aplicaciones agrupan todos sus recursos de Azure en un único grupo de recursos.

Azure Portal

1. En Azure Portal, vaya a la página Información general del grupo de recursos que contiene la aplicación.

2. Seleccione Control de acceso (IAM) en el panel de navegación izquierdo.

3. En la página Control de acceso (IAM), seleccione + Agregar y, a continuación, elija Agregar asignación de roles en el menú desplegable. La página Agregar asignación de roles proporciona varias pestañas para configurar y asignar roles.

4. En la pestaña Rol , use el cuadro de búsqueda para buscar el rol que desea asignar. Seleccione el rol y, a continuación, elija Siguiente.

5. En la pestaña Miembros :

   • En Asignar acceso al valor, seleccione Usuario, grupo o entidad de servicio .
   • Para el valor Miembros , elija + Seleccionar miembros para abrir el panel flotante Seleccionar miembros .
   • Busque el grupo Microsoft Entra que creó anteriormente y selecciónelo en los resultados filtrados. Elija Seleccionar para seleccionar el grupo y cerrar el panel flotante.
   • Seleccione Revisar y asignar en la parte inferior de la pestaña Miembros .

   

6. En la pestaña Revisar y asignar , seleccione Revisar y asignar en la parte inferior de la página.

CLI de Azure

1. Use el comando az role definition list para obtener los nombres de los roles a los que se puede asignar un grupo o principal de servicio de Microsoft Entra.

   az role definition list \
       --query "sort_by([].{roleName:roleName, description:description}, &roleName)" \
       --output table
   

2. Use el comando az role assignment create para asignar un rol al grupo de Microsoft Entra que creó:

   az role assignment create \
       --assignee "<group-object-Id>" \
       --role "<role-name>" \
       --resource-group "<resource-group-name>"
   

   Para obtener información sobre cómo asignar permisos en el nivel de recurso o suscripción mediante la CLI de Azure, consulte Asignación de roles de Azure mediante la CLI de Azure.

Inicio de sesión en Azure mediante herramientas para desarrolladores

A continuación, inicie sesión en Azure con una de varias herramientas de desarrollo que se pueden usar para realizar la autenticación en el entorno de desarrollo. La cuenta que autentique también debe existir en el grupo Microsoft Entra que creó y configuró anteriormente.

CLI de Azure

Los desarrolladores pueden usar la CLI de Azure para autenticarse en microsoft Entra ID. Las aplicaciones que usan DefaultAzureCredential o AzureCliCredential pueden usar esta cuenta para autenticar las solicitudes de aplicación cuando se ejecutan localmente.

Para autenticarse con la CLI de Azure, ejecute el az login comando . En un sistema con un explorador web predeterminado, la CLI de Azure inicia el explorador para autenticar al usuario.

az login

En el caso de los sistemas sin un explorador web predeterminado, el comando az login usa el flujo de autenticación de código de dispositivo. El usuario también puede forzar a la CLI de Azure a usar el flujo de código del dispositivo en lugar de iniciar un explorador especificando el argumento --use-device-code.

az login --use-device-code

CLI de desarrollo de Azure

Los desarrolladores pueden usar la CLI para desarrolladores de Azure para autenticarse en el identificador de Microsoft Entra. Las aplicaciones que usan DefaultAzureCredential o AzureDeveloperCliCredential pueden usar esta cuenta para autenticar las solicitudes de aplicación cuando se ejecutan localmente.

Para autenticarse con la CLI para desarrolladores de Azure, ejecute el azd auth login comando . En un sistema con un explorador web predeterminado, la CLI para desarrolladores de Azure inicia el explorador para autenticar al usuario.

azd auth login

En el caso de los sistemas sin un explorador web predeterminado, usa azd auth login --use-device-code el flujo de autenticación de código de dispositivo. El usuario también puede forzar a la CLI para desarrolladores de Azure a usar el flujo de código del dispositivo en lugar de iniciar un explorador especificando el --use-device-code argumento .

azd auth login --use-device-code

Azure PowerShell

Los desarrolladores pueden usar Azure PowerShell para autenticarse en microsoft Entra ID. Las aplicaciones que usan DefaultAzureCredential o AzurePowerShellCredential pueden usar esta cuenta para autenticar las solicitudes de aplicación cuando se ejecutan localmente.

Para autenticarse con Azure PowerShell, ejecute el comando Connect-AzAccount. En un sistema con un explorador web predeterminado y la versión 5.0.0 o posterior de Azure PowerShell, inicia el explorador para autenticar al usuario.

Connect-AzAccount

En el caso de los sistemas sin un explorador web predeterminado, el comando Connect-AzAccount usa el flujo de autenticación de código de dispositivo. El usuario también puede forzar a Azure PowerShell a usar el flujo de código del dispositivo en lugar de iniciar un explorador especificando el UseDeviceAuthentication argumento .

Connect-AzAccount -UseDeviceAuthentication

Autenticación en servicios de Azure desde la aplicación

La biblioteca de identidades de Azure proporciona varias credenciales: implementaciones de TokenCredential adaptadas para admitir diferentes escenarios y flujos de autenticación de Microsoft Entra. Los pasos que se indican a continuación muestran cómo usar DefaultAzureCredential al trabajar con cuentas de usuario localmente.

Implementación del código

DefaultAzureCredential es una secuencia ordenada y preferencial de mecanismos para autenticarse en Microsoft Entra ID. Cada mecanismo de autenticación es una clase derivada de la clase TokenCredential y se conoce como credencial. En tiempo de ejecución, DefaultAzureCredential intenta autenticarse con la primera credencial. Si esa credencial no puede adquirir un token de acceso, se intenta utilizar la siguiente credencial de la secuencia, y así sucesivamente hasta que se obtenga correctamente un token de acceso. De este modo, la aplicación puede usar credenciales diferentes en distintos entornos sin escribir código específico del entorno.

Para usar DefaultAzureCredential, agregue los paquetes de @azure/identity a la aplicación. En un terminal de su elección, vaya al directorio del proyecto de aplicación y ejecute el siguiente comando:

npm install @azure/identity

Se accede a los servicios de Azure mediante clases de cliente especializadas de las distintas bibliotecas cliente del SDK de Azure. Estas clases y sus propios servicios personalizados deben registrarse para que se puedan acceder a ellas en toda la aplicación. Complete los siguientes pasos mediante programación para crear una clase de cliente y DefaultAzureCredential:

1. Importe el paquete de @azure/identity.
2. Cree el cliente de servicio de Azure y páselo a una nueva instancia de DefaultAzureCredential.

import { DefaultAzureCredential } from "@azure/identity";
import { SomeAzureServiceClient } from "@azure/arm-some-service";

const client = new SomeAzureServiceClient(new DefaultAzureCredential());