Autenticación de aplicaciones Node.js en servicios de Azure durante el desarrollo local mediante cuentas de desarrollador

Durante el desarrollo local, las aplicaciones deben autenticarse en Azure para acceder a varios servicios de Azure. Dos enfoques comunes para la autenticación local son usar un principal de servicio o usar una cuenta de desarrollador. En este artículo se explica cómo usar una cuenta de desarrollador. En las secciones siguientes, obtendrá información sobre lo siguiente:

• Uso de grupos de Microsoft Entra para administrar de forma eficaz los permisos de varias cuentas de desarrollador
• Asignar roles a cuentas de desarrolladores para delimitar permisos
• Cómo iniciar sesión en herramientas de desarrollo local admitidas
• Autenticación mediante una cuenta de desarrollador desde el código de la aplicación

Para que una aplicación se autentique en Azure durante el desarrollo local mediante las credenciales de Azure del desarrollador, el desarrollador debe iniciar sesión en Azure desde una de las siguientes herramientas de desarrollo:

• CLI de Azure
• CLI para desarrolladores de Azure
• Azure PowerShell
• Visual Studio Code

La biblioteca de identidades de Azure puede detectar que el desarrollador ha iniciado sesión desde una de estas herramientas. La biblioteca puede entonces obtener el token de acceso de Microsoft Entra a través de la herramienta para autenticar la aplicación en Azure como el usuario autentificado.

Este enfoque aprovecha las cuentas de Azure existentes del desarrollador para simplificar el proceso de autenticación. Sin embargo, es probable que la cuenta de un desarrollador tenga más permisos de los que requiere la aplicación, por lo que supera los permisos con los que se ejecuta la aplicación en producción. Como alternativa, puede crear principales de servicio de aplicación para usarlos durante el desarrollo local, que se pueden limitar a tener solo el acceso necesario para la aplicación.

Creación de un grupo de Microsoft Entra para el desarrollo local

Cree un grupo de Microsoft Entra para encapsular los roles (permisos) que la aplicación necesita en el desarrollo local en lugar de asignar los roles a objetos de entidad de servicio individuales. Este enfoque ofrece las siguientes ventajas:

• Cada desarrollador tiene los mismos roles asignados en el nivel de grupo.
• Si se necesita un nuevo rol para la aplicación, solo debe agregarse al grupo de la aplicación.
• Si un nuevo desarrollador se une al equipo, se crea una nueva entidad de servicio de aplicación para el desarrollador y se agrega al grupo, asegurándose de que el desarrollador disponga de los permisos adecuados para trabajar en la aplicación.

Azure Portal

1. Vaya a la página de descripción general de Microsoft Entra ID en el portal de Azure.

2. Seleccione Todos los grupos en el menú de la izquierda.

3. En la página Grupos , seleccione Nuevo grupo.

4. En la página Nuevo grupo , rellene los siguientes campos de formulario:

   • Tipo de grupo: seleccione Seguridad.
   • Nombre del grupo: escriba un nombre para el grupo que incluya una referencia al nombre de la aplicación o del entorno.
   • Descripción del grupo: escriba una descripción que explique el propósito del grupo.

   

5. Seleccione el vínculo Sin miembros seleccionados en Miembros para agregar miembros al grupo.

6. En el panel flotante que se abre, busque la entidad de servicio que creó anteriormente y selecciónela en los resultados filtrados. Elija el botón Seleccionar situado en la parte inferior del panel para confirmar la selección.

7. Seleccione Crear en la parte inferior de la página Nuevo grupo para crear el grupo y volver a la página Todos los grupos . Si no ve el nuevo grupo en la lista, espere un momento y actualice la página.

CLI de Azure

1. Use el comando az ad group create para crear grupos en Microsoft Entra ID.

   az ad group create \
       --display-name <group-name> \
       --mail-nickname <group-mail-nickname> \
       --description <group-description>
   

   Los parámetros --display-name y --mail-nickname son obligatorios. El nombre asignado al grupo debe basarse en el nombre y el entorno de la aplicación para indicar el propósito del grupo.

2. Para agregar miembros al grupo, necesita el ID de objeto del principal de servicio de la aplicación, que es diferente del ID de aplicación. Use el comando az ad sp list para enumerar las entidades de servicio disponibles:

   az ad sp list \
       --filter "startswith(displayName, '<group-name>')" \
       --query "[].{objectId:id, displayName:displayName}"
   

   El --filter parámetro acepta filtros de estilo OData y se puede usar para filtrar la lista como se muestra. El --query parámetro limita la salida solo a las columnas de interés.

3. Use el comando az ad group member add para agregar miembros al grupo:

   az ad group member add \
       --group <group-name> \
       --member-id <object-id>
   

Asignación de roles al grupo

A continuación, determine qué roles (permisos) necesita la aplicación en qué recursos y asigne esos roles al grupo de Microsoft Entra que ha creado. A los grupos se les puede asignar un rol en el ámbito de recurso, grupo de recursos o suscripción. En este ejemplo se muestra cómo asignar roles en el ámbito del grupo de recursos, ya que la mayoría de las aplicaciones agrupan todos sus recursos de Azure en un único grupo de recursos.

Azure Portal

1. En Azure Portal, vaya a la página Información general del grupo de recursos que contiene la aplicación.

2. Seleccione Control de acceso (IAM) en el panel de navegación izquierdo.

3. En la página Control de acceso (IAM), seleccione + Agregar y, a continuación, elija Agregar asignación de roles en el menú desplegable. La página Agregar asignación de roles proporciona varias pestañas para configurar y asignar roles.

4. En la pestaña Rol , use el cuadro de búsqueda para buscar el rol que desea asignar. Seleccione el rol y, a continuación, elija Siguiente.

5. En la pestaña Miembros :

   • En Asignar acceso al valor, seleccione Usuario, grupo o entidad de servicio .
   • Para el valor Miembros , elija + Seleccionar miembros para abrir el panel flotante Seleccionar miembros .
   • Busque el grupo Microsoft Entra que creó anteriormente y selecciónelo en los resultados filtrados. Elija Seleccionar para seleccionar el grupo y cerrar el panel flotante.
   • Seleccione Revisar y asignar en la parte inferior de la pestaña Miembros .

   

6. En la pestaña Revisar y asignar , seleccione Revisar y asignar en la parte inferior de la página.

CLI de Azure

1. Use el comando az role definition list para obtener los nombres de los roles a los que se puede asignar un grupo o principal de servicio de Microsoft Entra.

   az role definition list \
       --query "sort_by([].{roleName:roleName, description:description}, &roleName)" \
       --output table
   

2. Use el comando az role assignment create para asignar un rol al grupo de Microsoft Entra que creó:

   az role assignment create \
       --assignee "<group-object-Id>" \
       --role "<role-name>" \
       --resource-group "<resource-group-name>"
   

   Para obtener información sobre cómo asignar permisos en el nivel de recurso o suscripción mediante la CLI de Azure, consulte Asignación de roles de Azure mediante la CLI de Azure.

Inicio de sesión en Azure mediante herramientas para desarrolladores

A continuación, inicie sesión en Azure con una de varias herramientas de desarrollo que se pueden usar para realizar la autenticación en el entorno de desarrollo. La cuenta que autentique también debe existir en el grupo Microsoft Entra que creó y configuró anteriormente.

CLI de Azure

Los desarrolladores pueden usar la CLI de Azure para autenticarse en microsoft Entra ID. Las aplicaciones que usan DefaultAzureCredential o AzureCliCredential pueden usar esta cuenta para autenticar las solicitudes de aplicación cuando se ejecutan localmente.

Para autenticarse con la CLI de Azure, ejecute el az login comando . En un sistema con un explorador web predeterminado, la CLI de Azure inicia el explorador para autenticar al usuario.

az login

En el caso de los sistemas sin un explorador web predeterminado, el comando az login usa el flujo de autenticación de código de dispositivo. El usuario también puede forzar a la CLI de Azure a usar el flujo de código del dispositivo en lugar de iniciar un explorador especificando el argumento --use-device-code.

az login --use-device-code

CLI de desarrollo de Azure

Los desarrolladores pueden usar la CLI para desarrolladores de Azure para autenticarse en el identificador de Microsoft Entra. Las aplicaciones que usan DefaultAzureCredential o AzureDeveloperCliCredential pueden usar esta cuenta para autenticar las solicitudes de aplicación cuando se ejecutan localmente.

Para autenticarse con la CLI para desarrolladores de Azure, ejecute el azd auth login comando . En un sistema con un explorador web predeterminado, la CLI para desarrolladores de Azure inicia el explorador para autenticar al usuario.

azd auth login

En el caso de los sistemas sin un explorador web predeterminado, usa azd auth login --use-device-code el flujo de autenticación de código de dispositivo. El usuario también puede forzar a la CLI para desarrolladores de Azure a usar el flujo de código del dispositivo en lugar de iniciar un explorador especificando el --use-device-code argumento .

azd auth login --use-device-code

Azure PowerShell

Los desarrolladores pueden usar Azure PowerShell para autenticarse en microsoft Entra ID. Las aplicaciones que usan DefaultAzureCredential o AzurePowerShellCredential pueden usar esta cuenta para autenticar las solicitudes de aplicación cuando se ejecutan localmente.

Para autenticarse con Azure PowerShell, ejecute el comando Connect-AzAccount. En un sistema con un explorador web predeterminado y la versión 5.0.0 o posterior de Azure PowerShell, inicia el explorador para autenticar al usuario.

Connect-AzAccount

En el caso de los sistemas sin un explorador web predeterminado, el comando Connect-AzAccount usa el flujo de autenticación de código de dispositivo. El usuario también puede forzar a Azure PowerShell a usar el flujo de código del dispositivo en lugar de iniciar un explorador especificando el UseDeviceAuthentication argumento .

Connect-AzAccount -UseDeviceAuthentication

Visual Studio Code

Los desarrolladores que usan Visual Studio Code pueden autenticarse con su cuenta de desarrollador directamente a través del editor a través del agente. Las aplicaciones que usan DefaultAzureCredential o VisualStudioCodeCredential pueden usar esta cuenta para autenticar las solicitudes de aplicación a través de una experiencia de inicio de sesión único sin problemas.

1. En Visual Studio Code, vaya al panel Extensiones e instale la extensión Recursos de Azure . Esta extensión le permite ver y administrar recursos de Azure directamente desde Visual Studio Code. También usa el proveedor de autenticación integrado de Microsoft de Visual Studio Code para autenticarse con Azure.

   

2. Abra la paleta de comandos en Visual Studio Code y, a continuación, busque y seleccione Azure: Iniciar sesión.

   

   Sugerencia

   Abra la paleta de comandos con Ctrl+Shift+P en Windows/Linux o Cmd+Shift+P en macOS.

Autenticación en servicios de Azure desde la aplicación

La biblioteca de identidades de Azure proporciona implementaciones de TokenCredential que admiten varios escenarios y flujos de autenticación de Microsoft Entra. En los pasos siguientes se muestra cómo usar DefaultAzureCredential o una credencial de herramienta de desarrollo específica al trabajar con cuentas de usuario localmente.

Sugerencia

Cuando el equipo usa varias herramientas de desarrollo para autenticarse con Azure, prefiera una instancia de DefaultAzureCredential optimizada para desarrollo local en lugar de credenciales específicas de la herramienta.

Implementación del código

1. Agregue el paquete @azure/identity a la aplicación.

   npm install @azure/identity
   

   Nota:

   Si desea usar VisualStudioCodeCredential, también debe instalar el paquete del complemento @azure/identity-vscode . A continuación, cargue explícitamente la credencial. Para obtener un ejemplo, consulte el README de @azure/identity-vscode.

2. Elija una de las implementaciones de credenciales en función de su escenario.

• Use una credencial específica de la herramienta de desarrollo: esta opción es la mejor para escenarios de una sola persona o de una sola herramienta.
• Use una credencial disponible para su uso en cualquier herramienta de desarrollo: esta opción es la mejor para proyectos de código abierto y diversos equipos de herramientas.

Utilice una credencial específica de su herramienta de desarrollo

Pase una TokenCredential instancia correspondiente a una herramienta de desarrollo específica al constructor de cliente de servicio de Azure, como AzureCliCredential.

import { AzureCliCredential } from "@azure/identity";
import { BlobServiceClient } from "@azure/storage-blob";

const credential = new AzureCliCredential();

const client = new BlobServiceClient(
    "https://<storage-account-name>.blob.core.windows.net",
    credential
);

Uso de una credencial disponible para su uso en cualquier herramienta de desarrollo

Use una DefaultAzureCredential instancia optimizada para todas las herramientas de desarrollo local. En este ejemplo se requiere la variable AZURE_TOKEN_CREDENTIALS de entorno establecida en dev. Para obtener más información, vea Excluir una categoría de tipo de credencial.

import { DefaultAzureCredential } from "@azure/identity";
import { BlobServiceClient } from "@azure/storage-blob";

// Set environment variable AZURE_TOKEN_CREDENTIALS to "dev"
const credential = new DefaultAzureCredential({
    requiredEnvVars: ["AZURE_TOKEN_CREDENTIALS"]
});

const client = new BlobServiceClient(
    "https://<storage-account-name>.blob.core.windows.net",
    credential
);