Oktatóanyag: Azure-adatbázisokhoz való csatlakozás az App Service-ből titkos kulcsok nélkül felügyelt identitás használatával

Az App Service egy hatékonyan méretezhető, önjavító webes üzemeltetési szolgáltatás az Azure-ban. Emellett egy felügyelt identitást is biztosít az alkalmazás számára, amely kulcsrakész megoldás az Azure-adatbázisokhoz való hozzáférés biztosításához, beleértve a következőket:

• Azure SQL Database
• Azure Database for MySQL
• Azure Database for PostgreSQL

Feljegyzés

Ez az oktatóanyag nem tartalmaz útmutatást az Azure Cosmos DB-hez, amely másként támogatja a Microsoft Entra-hitelesítést. További információkért tekintse meg az Azure Cosmos DB dokumentációját, például a rendszer által hozzárendelt felügyelt identitások használatát az Azure Cosmos DB-adatok eléréséhez.

Az App Service-ben található felügyelt identitások biztonságosabbá teszik alkalmazását a titkos kódok, pl. a kapcsolati sztringekben lévő hitelesítő adatok szükségességének megszüntetésével. Ez az oktatóanyag bemutatja, hogyan csatlakozhat a fent említett adatbázisokhoz az App Service-ből felügyelt identitások használatával.

A következő tudnivalókat fogja elsajátítani:

• Microsoft Entra-felhasználó konfigurálása rendszergazdaként az Azure-adatbázishoz.
• Csatlakozzon az adatbázishoz Microsoft Entra-felhasználóként.
• Konfiguráljon egy rendszer által hozzárendelt vagy felhasználó által hozzárendelt felügyelt identitást egy App Service-alkalmazáshoz.
• Adatbázis-hozzáférés biztosítása a felügyelt identitáshoz.
• Csatlakozzon az Azure-adatbázishoz a kódból (.NET-keretrendszer 4.8, .NET 6, Node.js, Python, Java) egy felügyelt identitás használatával.
• Csatlakozzon az Azure-adatbázishoz a fejlesztői környezetből a Microsoft Entra-felhasználóval.

Ha nem rendelkezik Azure-előfizetéssel, első lépésként hozzon létre egy ingyenes Azure-fiókot.

Előfeltételek

• Alkalmazás létrehozása az App Service-ben .NET, Node.js, Python vagy Java alapján.
• Adatbázis-kiszolgáló létrehozása az Azure SQL Database, az Azure Database for MySQL vagy az Azure Database for PostgreSQL használatával.
• Ismernie kell a szabványos kapcsolati mintát (felhasználónévvel és jelszóval), és sikeresen csatlakoznia kell az App Service-alkalmazásból a választott adatbázishoz.

A környezet előkészítése az Azure CLI-re.

• Használja a Bash-környezetet az Azure Cloud Shellben. További információ: A Bash rövid útmutatója az Azure Cloud Shellben.

  

• Ha inkább helyi cli-referenciaparancsokat szeretne futtatni, telepítse az Azure CLI-t. Ha Windows vagy macOS rendszert használ, fontolja meg az Azure CLI Docker-tárolóban való futtatását. További információ: Az Azure CLI futtatása Docker-tárolóban.

  • Ha helyi telepítést használ, jelentkezzen be az Azure CLI-be az az login parancs futtatásával. A hitelesítési folyamat befejezéséhez kövesse a terminálon megjelenő lépéseket. További bejelentkezési lehetőségekért lásd : Bejelentkezés az Azure CLI-vel.

  • Amikor a rendszer kéri, először telepítse az Azure CLI-bővítményt. További információ a bővítményekről: Bővítmények használata az Azure CLI-vel.

  • Futtassa az az version parancsot a telepített verzió és a függő kódtárak megkereséséhez. A legújabb verzióra az az upgrade paranccsal frissíthet.

1. A Service Connector jelszó nélküli bővítményének telepítése

Telepítse a service connector legújabb jelszó nélküli bővítményét az Azure CLI-hez:

az extension add --name serviceconnector-passwordless --upgrade

Feljegyzés

Futtassa a "serviceconnector-passwordless" bővítmény "2.0.2" vagy újabb az versionverzióját. Előfordulhat, hogy előbb frissítenie kell az Azure CLI-t a bővítményverzió frissítéséhez.

2. Jelszó nélküli kapcsolat létrehozása

Ezután hozzon létre egy jelszó nélküli kapcsolatot a Service Connector használatával.

Tipp.

Az Azure Portal segítségével megírhatja az alábbi parancsokat. Az Azure Portalon nyissa meg a Azure-alkalmazás szolgáltatás erőforrását, válassza a Szolgáltatás-összekötő lehetőséget a bal oldali menüből, és válassza a Létrehozás lehetőséget. Töltse ki az űrlapot az összes szükséges paraméterrel. Az Azure automatikusan létrehozza a kapcsolatlétrehozási parancsot, amelyet a parancssori felületen való használatra másolhat, vagy végrehajthat az Azure Cloud Shellben.

Azure SQL Database

Az alábbi Azure CLI-parancs egy paramétert --client-type használ.

1. A támogatott ügyféltípusok lekéréséhez szükség esetén futtassa az webapp connection create sql -h a parancsot.

2. Válasszon egy ügyféltípust, és futtassa a megfelelő parancsot. Cserélje le az alábbi helyőrzőket a saját adataira.

   Felhasználó által hozzárendelt felügyelt identitás

   az webapp connection create sql \
       --resource-group <group-name> \
       --name <server-name> \
       --target-resource-group <sql-group-name> \
       --server <sql-name> \
       --database <database-name> \
       --user-identity client-id=<client-id> subs-id=<subscription-id> \
       --client-type <client-type>
   

   Rendszer által hozzárendelt felügyelt identitás

   az webapp connection create sql \
       --resource-group <group-name> \
       --name <server-name> \
       --target-resource-group <group-name> \
       --server <sql-name> \
       --database <database-name> \
       --system-identity \
       --client-type <client-type>
   

Azure Database for MySQL

Feljegyzés

A rugalmas Azure Database for MySQL-kiszolgáló esetében először manuálisan kell beállítania a Microsoft Entra-hitelesítést, amelyhez külön felhasználó által hozzárendelt felügyelt identitásra és meghatározott Microsoft Graph-engedélyekre van szükség. Ez a lépés nem automatizálható.

1. Microsoft Entra-hitelesítés manuális beállítása a rugalmas Azure Database for MySQL-kiszolgálóhoz.

2. Ha szeretné, futtassa a parancsot az webapp connection create mysql-flexible -h a támogatott ügyféltípusok lekéréséhez.

3. Válasszon egy ügyféltípust, és futtassa a megfelelő parancsot. Az alábbi Azure CLI-parancs egy paramétert --client-type használ.

   Felhasználó által hozzárendelt felügyelt identitás

   az webapp connection create mysql-flexible \
       --resource-group <group-name> \
       --name <server-name> \
       --target-resource-group <group-name> \
       --server <mysql-name> \
       --database <database-name> \
       --user-identity client-id=XX subs-id=XX mysql-identity-id=$IDENTITY_RESOURCE_ID \
       --client-type <client-type>
   

   Rendszer által hozzárendelt felügyelt identitás

   az webapp connection create mysql-flexible \
   --resource-group <group-name> \
   --name <server-name> \
   --target-resource-group <group-name> \
   --server <mysql-name> \
   --database <database-name> \
   --system-identity mysql-identity-id=$IDENTITY_RESOURCE_ID \
   --client-type <client-type>
   

Azure Database for PostgreSQL

Az alábbi Azure CLI-parancs egy paramétert --client-type használ.

1. Ha szeretné, futtassa a parancsot az webapp connection create postgres-flexible -h az összes támogatott ügyféltípus listájának lekéréséhez.

2. Válasszon egy ügyféltípust, és futtassa a megfelelő parancsot.

   Felhasználó által hozzárendelt felügyelt identitás

   az webapp connection create postgres-flexible \
       --resource-group <group-name> \
       --name <server-name> \
       --target-resource-group <group-name> \
       --server <postgresql-name> \
       --database <database-name> \
       --user-identity client-id=XX subs-id=XX \
       --client-type java
   

   Rendszer által hozzárendelt felügyelt identitás

   az webapp connection create postgres-flexible \
       --resource-group <group-name> \
       --name <server-name> \
       --target-resource-group <group-name> \
       --server <postgresql-name> \
       --database <database-name> \
       --system-identity \
       --client-type <client-type>
   

3. Engedély megadása előre létrehozott táblákhoz

Ezután, ha a Service Connector használata előtt táblákat és szekvenciákat hozott létre a Rugalmas PostgreSQL-kiszolgálón, tulajdonosként kell csatlakoznia, és engedélyt kell adnia a Service Connector általi létrehozásra <aad-username> . A Service Connector által beállított kapcsolati sztring vagy konfigurációs csoport felhasználónevének a következőképpen aad_<connection name>kell kinéznie. Ha az Azure Portalt használja, válassza az oszlop melletti Service Type kibontás gombot, és kérje le az értéket. Ha az Azure CLI-t használja, ellenőrizze configurations a PARANCSSOR parancs kimenetét.

Ezután hajtsa végre a lekérdezést az engedély megadásához

az extension add --name rdbms-connect

az postgres flexible-server execute -n <postgres-name> -u <owner-username> -p "<owner-password>" -d <database-name> --querytext "GRANT ALL PRIVILEGES ON ALL TABLES IN SCHEMA public TO \"<aad-username>\";GRANT ALL PRIVILEGES ON ALL SEQUENCES IN SCHEMA public TO \"<aad username>\";"

A <owner-username> meglévő tábla tulajdonosa, <owner-password> amely engedélyeket adhat másoknak. <aad-username> a Service Connector által létrehozott felhasználó. Cserélje le őket a tényleges értékre.

Ellenőrizze az eredményt a következő paranccsal:

az postgres flexible-server execute -n <postgres-name> -u <owner-username> -p "<owner-password>" -d <database-name> --querytext "SELECT distinct(table_name) FROM information_schema.table_privileges WHERE grantee='<aad-username>' AND table_schema='public';" --output table

Ez a Service Connector-parancs a következő feladatokat hajtja végre a háttérben:

• Engedélyezze a rendszer által hozzárendelt felügyelt identitást, vagy rendeljen hozzá egy felhasználói identitást a Azure-alkalmazás Service által üzemeltetett alkalmazáshoz<server-name>.
• Állítsa a Microsoft Entra rendszergazdát az aktuális bejelentkezett felhasználóra.
• Adjon hozzá egy adatbázis-felhasználót a rendszer által hozzárendelt felügyelt identitáshoz vagy a felhasználó által hozzárendelt felügyelt identitáshoz. Adja meg az adatbázis <database-name> összes jogosultságát ennek a felhasználónak. A felhasználónév az előző parancskimenet kapcsolati sztring található.
• Állítsa be a névvel ellátott AZURE_MYSQL_CONNECTIONSTRINGAZURE_POSTGRESQL_CONNECTIONSTRINGkonfigurációkat vagy AZURE_SQL_CONNECTIONSTRING az Azure-erőforrást az adatbázis típusa alapján.
• App Service esetén a konfigurációk az Alkalmazásbeállítások panelen vannak beállítva.

Ha probléma merül fel a kapcsolat létrehozásakor, segítségért tekintse meg a hibaelhárítást .

3. A kód módosítása

Azure SQL Database

.NET

1. Telepítse a függőségeket.

   dotnet add package Microsoft.Data.SqlClient
   

2. Kérje le az Azure SQL Database kapcsolati sztring a Service Connector által hozzáadott környezeti változóból.

   using Microsoft.Data.SqlClient;
   
   // AZURE_SQL_CONNECTIONSTRING should be one of the following:
   // For system-assigned managed identity:"Server=tcp:<server-name>.database.windows.net;Database=<database-name>;Authentication=Active Directory Default;TrustServerCertificate=True"
   // For user-assigned managed identity: "Server=tcp:<server-name>.database.windows.net;Database=<database-name>;Authentication=Active Directory Default;User Id=<client-id-of-user-assigned-identity>;TrustServerCertificate=True"
   
   string connectionString = 
       Environment.GetEnvironmentVariable("AZURE_SQL_CONNECTIONSTRING")!;
   
   using var connection = new SqlConnection(connectionString);
   connection.Open();
   

   További információ: Az Active Directory felügyelt identitás hitelesítésének használata.

Java

1. Adja hozzá a következő függőségeket a pom.xml fájlhoz:

   <dependency>
       <groupId>com.azure</groupId>
       <artifactId>azure-identity</artifactId>
       <version>1.4.6</version>
   </dependency>
   <dependency>
       <groupId>com.microsoft.sqlserver</groupId>
       <artifactId>mssql-jdbc</artifactId>
       <version>10.2.0.jre11</version>
   </dependency>
   

2. Kérje le az Azure SQL Database kapcsolati sztring a Service Connector által hozzáadott környezeti változóból.

   import java.sql.Connection;
   import java.sql.ResultSet;
   import java.sql.Statement;
   
   import com.microsoft.sqlserver.jdbc.SQLServerDataSource;
   
   public class Main {
       public static void main(String[] args) {
           // AZURE_SQL_CONNECTIONSTRING should be one of the following:
           // For system-assigned managed identity: "jdbc:sqlserver://{SQLName}.database.windows.net:1433;databaseName={SQLDbName};authentication=ActiveDirectoryMSI;"
           // For user-assigned managed identity: "jdbc:sqlserver://{SQLName}.database.windows.net:1433;databaseName={SQLDbName};msiClientId={UserAssignedMiClientId};authentication=ActiveDirectoryMSI;"
           String connectionString = System.getenv("AZURE_SQL_CONNECTIONSTRING");
           SQLServerDataSource ds = new SQLServerDataSource();
           ds.setURL(connectionString);
           try (Connection connection = ds.getConnection()) {
               System.out.println("Connected successfully.");
           } catch (SQLException e) {
               e.printStackTrace();
           }
       }
   }
   

További információ: Csatlakozás Microsoft Entra-hitelesítéssel.

Python

1. Telepítse a függőségeket.

   python -m pip install pyodbc
   

2. Kérje le az Azure SQL Database kapcsolatkonfigurációit a Service Connector által hozzáadott környezeti változóból. A használni kívánt hitelesítési típus kódrészletének kibontása.

   import os;
   import pyodbc
   
   server = os.getenv('AZURE_SQL_SERVER')
   port = os.getenv('AZURE_SQL_PORT')
   database = os.getenv('AZURE_SQL_DATABASE')
   authentication = os.getenv('AZURE_SQL_AUTHENTICATION')  # The value should be 'ActiveDirectoryMsi'
   
   # Uncomment the following lines according to the authentication type.
   # For system-assigned managed identity.
   # connString = f'Driver={{ODBC Driver 18 for SQL Server}};Server={server},{port};Database={database};Authentication={authentication};Encrypt=yes;'
   
   # For user-assigned managed identity.
   # client_id = os.getenv('AZURE_SQL_USER')
   # connString = f'Driver={{ODBC Driver 18 for SQL Server}};Server={server},{port};Database={database};UID={client_id};Authentication={authentication};Encrypt=yes;'
   
   conn = pyodbc.connect(connString)
   

   Másik módszerként hozzáférési jogkivonat használatával is csatlakozhat az Azure SQL Database-hez, ha egy Python-alkalmazást migrál, hogy jelszó nélküli kapcsolatokat használjon az Azure SQL Database-hez.

NodeJS

1. Telepítse a függőségeket.

   npm install mssql
   

2. Kérje le az Azure SQL Database kapcsolatkonfigurációit a Service Connector által hozzáadott környezeti változókból. A használni kívánt hitelesítési típus kódrészletének kibontása.

   import sql from 'mssql';
   
   const server = process.env.AZURE_SQL_SERVER;
   const database = process.env.AZURE_SQL_DATABASE;
   const port = parseInt(process.env.AZURE_SQL_PORT);
   const authenticationType = process.env.AZURE_SQL_AUTHENTICATIONTYPE;
   
   // Uncomment the following lines according to the authentication type.
   // For system-assigned managed identity.
   // const config = {
   //     server,
   //     port,
   //     database,
   //     authentication: {
   //         authenticationType
   //     },
   //     options: {
   //        encrypt: true
   //     }
   // };  
   
   // For user-assigned managed identity.
   // const clientId = process.env.AZURE_SQL_CLIENTID;
   // const config = {
   //     server,
   //     port,
   //     database,
   //     authentication: {
   //         type: authenticationType
   //     },
   //     options: {
   //         encrypt: true,
   //         clientId: clientId
   //     }
   // };  
   
   this.poolconnection = await sql.connect(config);
   

További információ: Kezdőlap a Microsoft SQL Server ügyfélprogramozásához. További kódmintákért lásd : Jelszó nélküli kapcsolat létrehozása adatbázis-szolgáltatással a Service Connectoron keresztül.

Azure Database for MySQL

Az Azure Database for MySQL-hez való csatlakozás a kódban az DefaultAzureCredential összes nyelvi verem mintáját követi. DefaultAzureCredential elég rugalmas ahhoz, hogy mind a fejlesztési környezethez, mind az Azure-környezethez alkalmazkodjon. Helyi futtatáskor lekérheti a bejelentkezett Azure-felhasználót a választott környezetből (Visual Studio, Visual Studio Code, Azure CLI vagy Azure PowerShell). Az Azure-ban való futtatáskor lekéri a felügyelt identitást. Így fejlesztési időben és éles környezetben is lehet kapcsolatot létesíteni az adatbázissal. A minta a következő:

1. Példányosítás az DefaultAzureCredential Azure Identity-ügyfélkódtárból. Ha felhasználó által hozzárendelt identitást használ, adja meg az identitás ügyfél-azonosítóját.
2. Hozzáférési jogkivonat beszerzése az Azure Database for MySQL-hez: https://ossrdbms-aad.database.windows.net/.default.
3. Adja hozzá a jogkivonatot a kapcsolati sztring.
4. Nyissa meg a kapcsolatot.

.NET

A .NET-hez szerezze be a felügyelt identitás hozzáférési jogkivonatát egy ügyfélkódtár, például az Azure.Identity használatával. Ezután jelszóként használja a hozzáférési jogkivonatot az adatbázishoz való csatlakozáshoz. Az alábbi kód használatakor mindenképpen törölje a kódrészlet azon részét, amely megfelel a használni kívánt hitelesítési típusnak.

using Azure.Core;
using Azure.Identity;
using MySqlConnector;

// Uncomment the following lines according to the authentication type.
// For system-assigned managed identity.
// var credential = new DefaultAzureCredential();

// For user-assigned managed identity.
// var credential = new DefaultAzureCredential(
//     new DefaultAzureCredentialOptions
//     {
//         ManagedIdentityClientId = Environment.GetEnvironmentVariable("AZURE_MYSQL_CLIENTID");
//     });

var tokenRequestContext = new TokenRequestContext(
    new[] { "https://ossrdbms-aad.database.windows.net/.default" });
AccessToken accessToken = await credential.GetTokenAsync(tokenRequestContext);
// Open a connection to the MySQL server using the access token.
string connectionString =
    $"{Environment.GetEnvironmentVariable("AZURE_MYSQL_CONNECTIONSTRING")};Password={accessToken.Token}";

using var connection = new MySqlConnection(connectionString);
Console.WriteLine("Opening connection using access token...");
await connection.OpenAsync();

// do something

Java

1. Adja hozzá a következő függőségeket a pom.xml fájlhoz:

   <dependency>
       <groupId>mysql</groupId>
       <artifactId>mysql-connector-java</artifactId>
       <version>8.0.30</version>
   </dependency>
   <dependency>
       <groupId>com.azure</groupId>
       <artifactId>azure-identity-extensions</artifactId>
       <version>1.1.5</version>
   </dependency>
   

2. Kérje le a kapcsolati sztring a környezeti változóból, és adja hozzá a beépülő modul nevét az adatbázishoz való csatlakozáshoz:

   String url = System.getenv("AZURE_MYSQL_CONNECTIONSTRING");  
   String pluginName = "com.azure.identity.extensions.jdbc.mysql.AzureMysqlAuthenticationPlugin";
   Connection connection = DriverManager.getConnection(url + "&defaultAuthenticationPlugin=" +
       pluginName + "&authenticationPlugins=" + pluginName);
   

További információ: A Java és a JDBC használata rugalmas Azure Database for MySQL-kiszolgálóval.

Python

1. Telepítse a függőségeket.

   pip install azure-identity
   # install Connector/Python https://dev.mysql.com/doc/connector-python/en/connector-python-installation.html
   pip install mysql-connector-python
   

2. Hitelesítés a tárból származó azure-identity hozzáférési jogkivonattal. Kérje le a kapcsolati adatokat a Service Connector által hozzáadott környezeti változóból. Az alábbi kód használatakor mindenképpen törölje a kódrészlet azon részét, amely megfelel a használni kívánt hitelesítési típusnak.

   from azure.identity import ManagedIdentityCredential, ClientSecretCredential
   import mysql.connector
   import os
   
   # Uncomment the following lines according to the authentication type.
   # For system-assigned managed identity.
   # cred = ManagedIdentityCredential()    
   
   # For user-assigned managed identity.
   # managed_identity_client_id = os.getenv('AZURE_MYSQL_CLIENTID')
   # cred = ManagedIdentityCredential(client_id=managed_identity_client_id)
   
   # acquire token
   accessToken = cred.get_token('https://ossrdbms-aad.database.windows.net/.default')
   
   # open connect to Azure MySQL with the access token.
   host = os.getenv('AZURE_MYSQL_HOST')
   database = os.getenv('AZURE_MYSQL_NAME')
   user = os.getenv('AZURE_MYSQL_USER')
   password = accessToken.token
   
   cnx = mysql.connector.connect(user=user,
                                 password=password,
                                 host=host,
                                 database=database)
   cnx.close()
   
   

NodeJS

1. Telepítse a függőségeket.

   npm install --save @azure/identity
   npm install --save mysql2
   

2. Szerezze be a hozzáférési jogkivonatot @azure/identity és az Azure MySQL-adatbázis adatait a Service Connector által hozzáadott környezeti változókból. Az alábbi kód használatakor mindenképpen törölje a kódrészlet azon részét, amely megfelel a használni kívánt hitelesítési típusnak.

   import { DefaultAzureCredential,ClientSecretCredential } from "@azure/identity";
   
   const mysql = require('mysql2');
   
   // Uncomment the following lines according to the authentication type.
   // for system-assigned managed identity
   // const credential = new DefaultAzureCredential();
   
   // for user-assigned managed identity
   // const clientId = process.env.AZURE_MYSQL_CLIENTID;
   // const credential = new DefaultAzureCredential({
   //    managedIdentityClientId: clientId
   // });
   
   // acquire token
   var accessToken = await credential.getToken('https://ossrdbms-aad.database.windows.net/.default');
   
   const connection = mysql.createConnection({
     host: process.env.AZURE_MYSQL_HOST,
     user: process.env.AZURE_MYSQL_USER,
     password: accessToken.token,
     database: process.env.AZURE_MYSQL_DATABASE,
     port: process.env.AZURE_MYSQL_PORT,
     ssl: process.env.AZURE_MYSQL_SSL
   });
   
   connection.connect((err) => {
     if (err) {
       console.error('Error connecting to MySQL database: ' + err.stack);
       return;
     }
     console.log('Connected to MySQL database');
   });
   

További kódmintákért lásd : Jelszó nélküli kapcsolat létrehozása adatbázis-szolgáltatással a Service Connectoron keresztül.

Azure Database for PostgreSQL

Az Azure Database for PostgreSQL-hez való csatlakozás a kódban az DefaultAzureCredential összes nyelvi verem mintáját követi. DefaultAzureCredential elég rugalmas ahhoz, hogy mind a fejlesztési környezethez, mind az Azure-környezethez alkalmazkodjon. Helyi futtatáskor lekérheti a bejelentkezett Azure-felhasználót a választott környezetből (Visual Studio, Visual Studio Code, Azure CLI vagy Azure PowerShell). Az Azure-ban való futtatáskor lekéri a felügyelt identitást. Így fejlesztési időben és éles környezetben is lehet kapcsolatot létesíteni az adatbázissal. A minta a következő:

1. Példányosítás az DefaultAzureCredential Azure Identity-ügyfélkódtárból. Ha felhasználó által hozzárendelt identitást használ, adja meg az identitás ügyfél-azonosítóját.
2. Hozzáférési jogkivonat beszerzése az Azure Database for PostgreSQL-hez: https://ossrdbms-aad.database.windows.net/.default.
3. Adja hozzá a jogkivonatot a kapcsolati sztring.
4. Nyissa meg a kapcsolatot.

.NET

A .NET-hez szerezze be a felügyelt identitás hozzáférési jogkivonatát egy ügyfélkódtár, például az Azure.Identity használatával. Ezután jelszóként használja a hozzáférési jogkivonatot az adatbázishoz való csatlakozáshoz. Az alábbi kód használatakor mindenképpen törölje a kódrészlet azon részét, amely megfelel a használni kívánt hitelesítési típusnak.

using Azure.Identity;
using Azure.Core;
using Npgsql;

// Uncomment the following lines according to the authentication type.
// For system-assigned identity.
// var sqlServerTokenProvider = new DefaultAzureCredential();

// For user-assigned identity.
// var sqlServerTokenProvider = new DefaultAzureCredential(
//     new DefaultAzureCredentialOptions
//     {
//         ManagedIdentityClientId = Environment.GetEnvironmentVariable("AZURE_POSTGRESQL_CLIENTID");
//     }
// );

// Acquire the access token. 
AccessToken accessToken = await sqlServerTokenProvider.GetTokenAsync(
    new TokenRequestContext(scopes: new string[]
    {
        "https://ossrdbms-aad.database.windows.net/.default"
    }));

// Combine the token with the connection string from the environment variables provided by Service Connector.
string connectionString =
    $"{Environment.GetEnvironmentVariable("AZURE_POSTGRESQL_CONNECTIONSTRING")};Password={accessToken.Token}";

// Establish the connection.
using (var connection = new NpgsqlConnection(connectionString))
{
    Console.WriteLine("Opening connection using access token...");
    connection.Open();
}

Java

1. Adja hozzá a következő függőségeket a pom.xml fájlhoz:

   <dependency>
       <groupId>org.postgresql</groupId>
       <artifactId>postgresql</artifactId>
       <version>42.3.6</version>
   </dependency>
   <dependency>
       <groupId>com.azure</groupId>
       <artifactId>azure-identity-extensions</artifactId>
       <version>1.1.5</version>
   </dependency>
   

2. Kérje le a kapcsolati sztring a környezeti változókból, és adja hozzá a beépülő modul nevét az adatbázishoz való csatlakozáshoz:

   import java.sql.*;
   
   String url = System.getenv("AZURE_POSTGRESQL_CONNECTIONSTRING");
   String pluginName = "com.Azure.identity.extensions.jdbc.postgresql.AzurePostgresqlAuthenticationPlugin";  
   Connection connection = DriverManager.getConnection(url + "&authenticationPluginClassName=" + pluginName);
   

További információt a következő források tartalmaznak:

• Oktatóanyag: Csatlakozás PostgreSQL-adatbázishoz a Java Tomcat App Service-ből titkos kódok nélkül felügyelt identitás használatával
• Rövid útmutató: Java és JDBC használata rugalmas Azure Database for PostgreSQL-kiszolgálóval

Python

1. Telepítse a függőségeket.

   pip install azure-identity
   pip install psycopg2-binary
   

2. Hitelesítés a tárból származó azure-identity hozzáférési jogkivonattal, és használja a jogkivonatot jelszóként. Kérje le a kapcsolati adatokat a Service Connector által hozzáadott környezeti változókból. Az alábbi kód használatakor mindenképpen törölje a kódrészlet azon részét, amely megfelel a használni kívánt hitelesítési típusnak.

   from azure.identity import DefaultAzureCredential
   import psycopg2
   
   # Uncomment the following lines according to the authentication type.
   # For system-assigned identity.
   # cred = DefaultAzureCredential()
   
   # For user-assigned identity.
   # managed_identity_client_id = os.getenv('AZURE_POSTGRESQL_CLIENTID')
   # cred = ManagedIdentityCredential(client_id=managed_identity_client_id)   
   
   # Acquire the access token
   accessToken = cred.get_token('https://ossrdbms-aad.database.windows.net/.default')
   
   # Combine the token with the connection string from the environment variables added by Service Connector to establish the connection.
   conn_string = os.getenv('AZURE_POSTGRESQL_CONNECTIONSTRING')
   conn = psycopg2.connect(conn_string + ' password=' + accessToken.token) 
   

További információt a következő források tartalmaznak:

• Flask Python-webalkalmazás létrehozása és üzembe helyezése az Azure-ban rendszer által hozzárendelt felügyelt identitással
• Django-webalkalmazás létrehozása és üzembe helyezése az Azure-ban felhasználó által hozzárendelt felügyelt identitással

NodeJS

1. Telepítse a függőségeket.

   npm install --save @azure/identity
   npm install --save pg
   

2. Kódban kérje le a hozzáférési jogkivonatot @azure/identity a Service Connector szolgáltatás által hozzáadott környezeti változókból és PostgreSQL-kapcsolati információkból. Egyesítse őket a kapcsolat létrehozásához. Az alábbi kód használatakor mindenképpen törölje a kódrészlet azon részét, amely megfelel a használni kívánt hitelesítési típusnak.

   import { DefaultAzureCredential, ClientSecretCredential } from "@azure/identity";
   const { Client } = require('pg');
   
   // Uncomment the following lines according to the authentication type.  
   // For system-assigned identity.
   // const credential = new DefaultAzureCredential();
   
   // For user-assigned identity.
   // const clientId = process.env.AZURE_POSTGRESQL_CLIENTID;
   // const credential = new DefaultAzureCredential({
   //     managedIdentityClientId: clientId
   // });
   
   // Acquire the access token.
   var accessToken = await credential.getToken('https://ossrdbms-aad.database.windows.net/.default');
   
   // Use the token and the connection information from the environment variables added by Service Connector to establish the connection.
   (async () => {
   const client = new Client({
       host: process.env.AZURE_POSTGRESQL_HOST,
       user: process.env.AZURE_POSTGRESQL_USER,
       password: accesstoken.token,
       database: process.env.AZURE_POSTGRESQL_DATABASE,
       port: Number(process.env.AZURE_POSTGRESQL_PORT) ,
       ssl: process.env.AZURE_POSTGRESQL_SSL
   });
   await client.connect();
   
   await client.end();
   })();
   

További kódmintákért lásd : Jelszó nélküli kapcsolat létrehozása adatbázis-szolgáltatással a Service Connectoron keresztül.

4. A fejlesztői környezet beállítása

Ez a mintakód egy használható jogkivonat lekérésére szolgál DefaultAzureCredential az Azure-adatbázishoz a Microsoft Entra-azonosítóból, majd hozzáadja azt az adatbázis-kapcsolathoz. Bár testre szabható DefaultAzureCredential, alapértelmezés szerint már sokoldalú. Jogkivonatot kap a bejelentkezett Microsoft Entra-felhasználótól vagy egy felügyelt identitástól attól függően, hogy helyileg futtatja-e a fejlesztői környezetben vagy az App Service-ben.

További módosítások nélkül a kód készen áll az Azure-ban való futtatásra. A kód helyi hibakereséséhez azonban a fejlesztőkörnyezethez egy bejelentkezett Microsoft Entra-felhasználóra van szükség. Ebben a lépésben konfigurálja a választott környezetet a Microsoft Entra-felhasználóval való bejelentkezéssel.

Visual Studio Windows

1. A Windows Visual Studio integrálva van a Microsoft Entra-hitelesítéssel. Ha engedélyezni szeretné a fejlesztést és a hibakeresést a Visual Studióban, vegye fel a Microsoft Entra-felhasználót a Visual Studióba a menü Fájlfiók>beállításai elemével, majd válassza a Bejelentkezés vagy a Hozzáadás lehetőséget.

2. Ha be szeretné állítani a Microsoft Entra-felhasználót az Azure-szolgáltatáshitelesítéshez, válassza az Eszközök>beállításai lehetőséget a menüből, majd válassza az Azure Service Authentication-fiók>kiválasztását. Válassza ki a hozzáadott Microsoft Entra-felhasználót, és kattintson az OK gombra.

Visual Studio macOS-hez

1. A Visual Studio for Mac nincs integrálva a Microsoft Entra-hitelesítéssel. A később használni kívánt Azure Identity-ügyfélkódtár azonban jogkivonatokat is lekérhet az Azure CLI-ből. Ha engedélyezni szeretné a fejlesztést és a hibakeresést a Visual Studióban, telepítse az Azure CLI-t a helyi gépére.

2. Jelentkezzen be az Azure CLI-be a következő paranccsal a Microsoft Entra-felhasználóval:

   az login --allow-no-subscriptions
   

Visual Studio Code

1. A Visual Studio Code integrálva van a Microsoft Entra-hitelesítéssel az Azure-bővítményen keresztül. Telepítse az Azure Tools bővítményt a Visual Studio Code-ban.

2. A Visual Studio Code tevékenységsávjában válassza ki az Azure-emblémát.

3. Az App Service Explorerben válassza a Bejelentkezés az Azure-ba lehetőséget, és kövesse az utasításokat.

Azure CLI

1. A később használni kívánt Azure Identity-ügyfélkódtár használhat jogkivonatokat az Azure CLI-ből. A parancssori fejlesztés engedélyezéséhez telepítse az Azure CLI-t a helyi gépen.

2. Jelentkezzen be az Azure-ba a következő paranccsal a Microsoft Entra-felhasználóval:

   az login --allow-no-subscriptions
   

Azure PowerShell

1. A később használni kívánt Azure Identity-ügyfélkódtár az Azure PowerShell-jogkivonatokat használhatja. A parancssori fejlesztés engedélyezéséhez telepítse az Azure PowerShellt a helyi gépére.

2. Jelentkezzen be az Azure CLI-be a következő parancsmaggal a Microsoft Entra-felhasználóval:

   Connect-AzAccount
   

A fejlesztői környezet Microsoft Entra-hitelesítéshez való beállításáról további információt az Azure Identity .NET-hez készült ügyfélkódtárában talál.

Most már készen áll az alkalmazás fejlesztésére és hibakeresésére az SQL Database háttérrendszerrel, a Microsoft Entra-hitelesítés használatával.

5. Tesztelés és közzététel

1. Futtassa a kódot a fejlesztői környezetben. A kód a környezetben bejelentkezett Microsoft Entra-felhasználót használja a háttéradatbázishoz való csatlakozáshoz. A felhasználó hozzáférhet az adatbázishoz, mert Microsoft Entra-rendszergazdaként van konfigurálva az adatbázishoz.

2. Tegye közzé a kódot az Azure-ban az előnyben részesített közzétételi módszerrel. Az App Service-ben a kód az alkalmazás felügyelt identitásával csatlakozik a háttéradatbázishoz.

Gyakori kérdések

• Támogatja a felügyelt identitás az SQL Servert?
• Hibaüzenet jelenik meg Login failed for user '<token-identified principal>'.
• Módosítottam az App Service-hitelesítést vagy a kapcsolódó alkalmazásregisztrációt. Miért kapom meg még mindig a régi jogkivonatot?
• Hogyan hozzáadni a felügyelt identitást egy Microsoft Entra-csoporthoz?
• A hibaüzenetet SSL connection is required. Please specify SSL options and retrykapom.
• Az alkalmazást a Web App + Adatbázis sablonnal hoztam létre, és most már nem tudok konfigurálni felügyelt identitáskapcsolatot a Service Connector parancsaival.

Támogatja a felügyelt identitás az SQL Servert?

Igen. További információk:

• Microsoft Entra-hitelesítés SQL Serverhez
• Microsoft Entra-hitelesítés engedélyezése azure-beli virtuális gépeken futó SQL Serverhez

Hibaüzenet jelenik meg Login failed for user '<token-identified principal>'.

A jogkivonatot lekérni kívánt felügyelt identitás nem jogosult az Azure-adatbázis elérésére.

Módosítottam az App Service-hitelesítést vagy a kapcsolódó alkalmazásregisztrációt. Miért kapom meg még mindig a régi jogkivonatot?

A felügyelt identitások háttérszolgáltatásai emellett olyan jogkivonat-gyorsítótárat is fenntartanak, amely csak akkor frissíti a célerőforrás jogkivonatát, ha az lejár. Ha módosítja a konfigurációt , miután megpróbált jogkivonatot lekérni az alkalmazással, akkor valójában nem kap új, frissített engedélyekkel rendelkező jogkivonatot, amíg a gyorsítótárazott jogkivonat le nem jár. Ennek a megoldásnak a legjobb módja, ha egy új InPrivate (Edge)/private (Safari)/Inkognitó (Chrome) ablakkal teszteli a módosításokat. Így biztos, hogy egy új hitelesített munkamenetből indul ki.

Hogyan hozzáadni a felügyelt identitást egy Microsoft Entra-csoporthoz?

Ha szeretné, hozzáadhatja az identitást egy Microsoft Entra-csoporthoz, majd az identitás helyett hozzáférést adhat a Microsoft Entra csoporthoz. Az alábbi parancsok például hozzáadják a felügyelt identitást az előző lépésből egy új, myAzureSQLDBAccessGroup nevű csoporthoz:

groupid=$(az ad group create --display-name myAzureSQLDBAccessGroup --mail-nickname myAzureSQLDBAccessGroup --query objectId --output tsv)
msiobjectid=$(az webapp identity show --resource-group <group-name> --name <app-name> --query principalId --output tsv)
az ad group member add --group $groupid --member-id $msiobjectid
az ad group member list -g $groupid

Ha adatbázis-engedélyeket szeretne adni egy Microsoft Entra-csoporthoz, tekintse meg a megfelelő adatbázistípus dokumentációját.

A hibaüzenetet SSL connection is required. Please specify SSL options and retrykapom.

Az Azure-adatbázishoz való csatlakozás további beállításokat igényel, és meghaladja az oktatóanyag hatókörét. További információkért tekintse meg az alábbi hivatkozások egyikét:

TLS-kapcsolat konfigurálása az Azure Database for PostgreSQL-ben – EgykiszolgálósSSL-kapcsolat konfigurálása az alkalmazásban az Azure Database for MySQL-hez való biztonságos csatlakozáshoz

Az alkalmazást a Web App + Adatbázis sablonnal hoztam létre, és most már nem tudok konfigurálni felügyelt identitáskapcsolatot a Service Connector parancsaival.

A Service Connectornak hálózati hozzáférésre van szüksége az adatbázishoz az alkalmazás identitásához való hozzáférés biztosításához. Ha az Azure Portalon a Web App + Adatbázis sablonnal hoz létre egy biztonságosan alapértelmezett alkalmazást és adatbázis-architektúrát, az architektúra zárolja az adatbázishoz való hálózati hozzáférést, és csak a virtuális hálózaton belüli kapcsolatokat engedélyezi. Az Azure Cloud Shellre is igaz. A Cloud Shellt azonban üzembe helyezheti a virtuális hálózaton, majd futtathatja a Service Connector parancsot abban a Cloud Shellben.

Következő lépések

Az alábbiak elvégzését ismerte meg:

• Microsoft Entra-felhasználó konfigurálása rendszergazdaként az Azure-adatbázishoz.
• Csatlakozzon az adatbázishoz Microsoft Entra-felhasználóként.
• Konfiguráljon egy rendszer által hozzárendelt vagy felhasználó által hozzárendelt felügyelt identitást egy App Service-alkalmazáshoz.
• Adatbázis-hozzáférés biztosítása a felügyelt identitáshoz.
• Csatlakozzon az Azure-adatbázishoz a kódból (.NET-keretrendszer 4.8, .NET 6, Node.js, Python, Java) egy felügyelt identitás használatával.
• Csatlakozzon az Azure-adatbázishoz a fejlesztői környezetből a Microsoft Entra-felhasználóval.

Felügyelt identitások használata az App Service-hez és az Azure Functionshez

Oktatóanyag: Csatlakozás az SQL Database-hez a NET App Service-ből titkok nélkül felügyelt identitás segítségével

Oktatóanyag: Csatlakozás felügyelt identitásokat nem támogató Azure-szolgáltatásokhoz (a Key Vault használatával)

Oktatóanyag: Háttérbeli kommunikáció elkülönítése a virtuális hálózat integrációjával