Authentifier des applications Python hébergées par Azure sur des ressources Azure à l’aide d’une identité managée affectée par le système

L’approche recommandée pour authentifier une application hébergée sur Azure auprès d’autres ressources Azure consiste à utiliser une identité managée. Cette approche est supportée pour la plupart des services Azure, notamment les applications hébergées sur Azure App Service, Azure Container Apps et Azure Virtual Machines. Découvrez plus d’informations sur les différentes techniques et approches d’authentification sur la page vue d’ensemble de l’authentification. Dans les sections à venir, vous allez apprendre :

• Concepts essentiels de l’identité managée
• Comment créer une identité managée affectée par le système pour votre application
• Comment attribuer des rôles à l’identité managée affectée par le système
• Comment s’authentifier à l’aide de l’identité managée affectée par le système à partir de votre code d’application

Concepts essentiels de l’identité managée

Une identité managée permet à votre application de se connecter en toute sécurité à d’autres ressources Azure sans utiliser de clés secrètes ou d’autres secrets d’application. En interne, Azure effectue le suivi de l’identité et des ressources auxquelles il est autorisé à se connecter. Azure utilise ces informations pour obtenir automatiquement des jetons Microsoft Entra pour que l’application lui permette de se connecter à d’autres ressources Azure.

Il existe deux types d’identités managées à prendre en compte lors de la configuration de votre application hébergée :

• Les identités managées assignées par le système sont activées directement sur une ressource Azure et sont liées à son cycle de vie. Lorsque la ressource est supprimée, Azure supprime automatiquement l'identité pour vous. Les identités affectées par le système fournissent une approche minimaliste de l’utilisation d’identités managées.
• Les identités managées affectées par l’utilisateur sont créées en tant que ressources Azure autonomes et offrent une plus grande flexibilité et des fonctionnalités. Elles sont idéales pour les solutions impliquant plusieurs ressources Azure qui doivent partager les mêmes identités et autorisations. Par exemple, si plusieurs machines virtuelles doivent accéder au même ensemble de ressources Azure, une identité managée affectée par l’utilisateur fournit une réutilisation et une gestion optimisée.

Conseil / Astuce

En savoir plus sur la sélection et la gestion des identités managées affectées par le système et affectées par l’utilisateur dans l’article recommandations sur les meilleures pratiques d’identité managée .

Les sections qui suivent décrivent les étapes permettant d’activer et d’utiliser une identité managée affectée par le système pour une application hébergée par Azure. Si vous devez utiliser une identité managée affectée par l’utilisateur, consultez l’article sur les identités managées affectées par l’utilisateur pour plus d’informations.

Activer une identité managée affectée par le système sur la ressource d’hébergement Azure

Pour commencer à utiliser une identité managée affectée par le système avec votre application, activez l’identité sur la ressource Azure hébergeant votre application, telle qu’azure App Service, Azure Container App ou une machine virtuelle Azure.

Vous pouvez activer une identité managée affectée par le système pour une ressource Azure à l’aide du portail Azure ou d’Azure CLI.

portail Azure

1. Dans le portail Azure, accédez à la ressource qui héberge votre code d’application, telle qu’une instance Azure App Service ou Azure Container App.

2. Dans la page Vue d'ensemble de la ressource, développez Paramètres et sélectionnez Identité dans la navigation.

3. Dans la page Identité , basculez le curseur Étatsur Activé.

4. Sélectionnez Enregistrer pour appliquer vos modifications.

   

Azure CLI

Les commandes Azure CLI peuvent être exécutées dans Azure Cloud Shell ou sur une station de travail dans laquelle l’interface Azure CLI est installée.

Les commandes Azure CLI utilisées pour activer l’identité managée pour une ressource Azure sont de la forme az <command-group> identity --resource-group <resource-group-name> --name <resource-name>. Les commandes spécifiques pour les services Azure populaires sont indiquées ci-dessous.

Azure App Service :

az webapp identity assign \
    --resource-group <resource-group-name> \
    --name <web-app-name>

Machine virtuelle Azure :

az vm identity assign \
    --resource-group <resource-group-name> \
    --name <virtual-machine-name>

Le résultat doit être similaire au suivant :

{
  "principalId": "aaaaaaaa-bbbb-cccc-1111-222222222222",
  "tenantId": "aaaabbbb-0000-cccc-1111-dddd2222eeee",
  "type": "SystemAssigned",
  "userAssignedIdentities": null
}

La valeur principalId est l’ID unique de l’identité managée. Conservez une copie de cette sortie, car vous aurez besoin de ces valeurs à l’étape suivante.

Attribuer des rôles à l’identité managée

Ensuite, déterminez les rôles dont votre application a besoin et attribuez ces rôles à l’identité managée. Vous pouvez attribuer des rôles à une identité managée dans les étendues suivantes :

• ressource: les rôles attribués s’appliquent uniquement à cette ressource spécifique.
• groupe de ressources: les rôles attribués s’appliquent à toutes les ressources contenues dans le groupe de ressources.
• Abonnement: les rôles attribués s’appliquent à toutes les ressources contenues dans l’abonnement.

L’exemple suivant montre comment attribuer des rôles à l’étendue du groupe de ressources, car de nombreuses applications gèrent toutes leurs ressources Azure associées à l’aide d’un seul groupe de ressources.

portail Azure

1. Accédez à la page Vue d’ensemble du groupe de ressources qui contient l’application avec l’identité managée affectée par le système.

2. Sélectionnez Contrôle d'accès (IAM) dans le menu de gauche.

3. Dans la page contrôle d’accès (IAM), sélectionnez + Ajouter dans le menu supérieur, puis choisissez Ajouter une attribution de rôle pour accéder à la page Ajouter une attribution de rôle.

   

4. La page d'Ajouter une attribution de rôle présente un flux de travail à onglets et à plusieurs étapes pour assigner des rôles à des identités. Sous l'onglet Rôle initial, utilisez la zone de recherche en haut pour localiser le rôle que vous souhaitez attribuer à l'identité.

5. Sélectionnez le rôle dans les résultats, puis choisissez Suivant pour accéder à l’onglet Membres.

6. Pour l'option Attribuer l'accès à, sélectionnez Identité gérée.

7. Pour l'option Membres, choisissez + Sélectionner les membres pour ouvrir le panneau Sélectionner les identités gérées.

8. Dans le panneau Sélectionner les identités gérées, utilisez les menus déroulants Abonnement et Identité gérée pour filtrer les résultats de la recherche de vos identités. Utilisez la zone de recherche Sélectionner pour localiser l’identité système que vous avez activée pour la ressource Azure hébergeant votre application.

   

9. Sélectionnez l’identité et choisissez Sélectionnez en bas du panneau pour continuer.

10. Sélectionnez Réviser + assigner en bas de la page.

11. Sous l’onglet final Révision + affecter, sélectionnez Révision + affecter pour compléter le processus de travail.

Azure CLI

Une identité managée est affectée à un rôle dans Azure à l’aide de la commande az role assignment create :

az role assignment create \
    --assignee "{managedIdentityId}" \
    --role "{roleName}" \
    --scope "{scope}"

Pour obtenir les noms de rôles auxquels un principal de service peut être affecté, utilisez la commande az role definition list :

az role definition list \
    --query "sort_by([].{roleName:roleName, description:description}, &roleName)" \
    --output table

Par exemple, pour autoriser l’identité managée avec l’ID de lecture, d’écriture et de suppression de aaaaaaaa-bbbb-cccc-1111-222222222222 l’accès aux conteneurs et données d’objets blob Stockage Azure à tous les comptes de stockage du groupe de ressources msdocs-sdk-auth-example , affectez le principal du service d’application au rôle Contributeur aux données blob de stockage à l’aide de la commande suivante :

az role assignment create \
    --assignee aaaaaaaa-bbbb-cccc-1111-222222222222 \
    --role "Storage Blob Data Contributor" \
    --scope "/subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/msdocs-sdk-auth-example"

Pour plus d’informations sur l’attribution d’autorisations au niveau de la ressource ou de l’abonnement à l’aide d’Azure CLI, consultez l’article Attribuer des rôles Azure à l’aide d’Azure CLI.

S’authentifier auprès des services Azure à partir de votre application

La bibliothèque d’identités Azure fournit diverses informations d’identification : implémentations de TokenCredential adaptées à la prise en charge de différents scénarios et flux d’authentification Microsoft Entra. Étant donné que l’identité managée n’est pas disponible lors de l’exécution locale, les étapes à suivre illustrent les informations d’identification à utiliser dans quel scénario :

• Environnement de développement local : pendant le développement local uniquement, utilisez une classe appelée DefaultAzureCredential pour une chaîne d’informations d’identification préconfigurée et avisée. DefaultAzureCredential découvre les informations d’identification de l’utilisateur à partir de vos outils locaux ou de votre IDE, comme Azure CLI ou Visual Studio Code. Il offre également une flexibilité et une commodité pour les nouvelles tentatives, les temps d’attente pour les réponses et la prise en charge de plusieurs options d’authentification. Consultez l’article s’authentifier auprès des services Azure pendant le développement local pour en savoir plus.
• Applications hébergées par Azure : lorsque votre application s’exécute dans Azure, utilisez ManagedIdentityCredential pour découvrir en toute sécurité l’identité managée configurée pour votre application. La spécification de ce type exact d’informations d’identification empêche les autres informations d’identification disponibles d’être récupérées de manière inattendue.

Implémenter le code

Ajoutez le package azure-identity à votre application en accédant au répertoire du projet d’application et en exécutant la commande suivante :

pip install azure-identity

Les services Azure sont accessibles à l’aide de classes clientes spécialisées à partir des différentes bibliothèques clientes du Kit de développement logiciel (SDK) Azure. L’exemple de code suivant montre comment créer une instance d’informations d’identification et l’utiliser avec un client de service sdk Azure. Dans votre code d’application, effectuez les étapes suivantes pour vous authentifier à l’aide d’une identité managée :

1. Importez la classe ManagedIdentityCredential du module azure.identity.
2. Créez un objet ManagedIdentityCredential.
3. Transmettez l’objet ManagedIdentityCredential au constructeur client du Kit de développement logiciel (SDK) Azure.

L’exemple suivant illustre l’authentification d’une BlobServiceClient identité gérée attribuée par le système :

from azure.identity import ManagedIdentityCredential
from azure.storage.blob import BlobServiceClient

# Authenticate using system-assigned managed identity
credential = ManagedIdentityCredential()

blob_service_client = BlobServiceClient(
    account_url="https://<account-name>.blob.core.windows.net",
    credential=credential
)

Lorsque vous développez localement, vous pouvez utiliser DefaultAzureCredential pour découvrir des informations d’identification à partir d’outils de développement locaux. Lors du déploiement sur Azure, basculez vers ManagedIdentityCredential pour les scénarios de production :

import os
from azure.identity import DefaultAzureCredential, ManagedIdentityCredential
from azure.storage.blob import BlobServiceClient

# Use ManagedIdentityCredential in Azure, DefaultAzureCredential locally
if os.getenv("WEBSITE_HOSTNAME"):
    credential = ManagedIdentityCredential()
else:
    credential = DefaultAzureCredential()

blob_service_client = BlobServiceClient(
    account_url="https://<account-name>.blob.core.windows.net",
    credential=credential
)