Hozzáférés Azure-alkalmazás konfigurációhoz a Microsoft Entra ID használatával

Az Azure App Configuration támogatja az alkalmazáskonfigurációs áruházakba irányuló kérések engedélyezését a Microsoft Entra ID használatával. A Microsoft Entra ID-val az Azure szerepköralapú hozzáférés-vezérlés (Azure RBAC) használatával engedélyeket adhat a biztonsági tagoknak, amelyek lehetnek felhasználói tagok, felügyelt identitások vagy szolgáltatásnevek.

Áttekintés

Az alkalmazáskonfigurációs áruház Microsoft Entra-azonosítóval való elérése két lépésből áll:

1. Hitelesítés: Szerezze be a biztonsági objektum tokenjét a Microsoft Entra ID-ből az alkalmazáskonfigurációhoz. További információ: Microsoft Entra-hitelesítés az Alkalmazáskonfigurációban.

2. Engedélyezés: Adja át a jogkivonatot egy kérés részeként egy alkalmazáskonfigurációs áruháznak. A megadott Alkalmazáskonfigurációs tárolóhoz való hozzáférés engedélyezéséhez a biztonsági tagnak előzetesen hozzá kell rendelnie a megfelelő szerepköröket. További információ: Microsoft Entra-engedélyezés az Alkalmazáskonfigurációban.

Beépített Azure-szerepkörök Azure-alkalmazás konfigurációhoz

Az Azure a következő beépített szerepköröket biztosítja az alkalmazáskonfigurációhoz való hozzáférés engedélyezéséhez a Microsoft Entra ID használatával:

Adatsík-hozzáférés

Az adatsík-műveletekre vonatkozó kérelmeket a rendszer az Alkalmazáskonfigurációs áruház végpontjára küldi. Ezek a kérések az alkalmazáskonfigurációs adatokra vonatkoznak.

• Alkalmazáskonfigurációs adatok tulajdonosa: Ezzel a szerepkörnel olvasási, írási és törlési hozzáférést biztosíthat az alkalmazáskonfigurációs adatokhoz. Ez a szerepkör nem biztosít hozzáférést az alkalmazáskonfigurációs erőforráshoz.
• Alkalmazáskonfigurációs adatolvasó: Ezzel a szerepkörnel olvasási hozzáférést biztosíthat az alkalmazáskonfigurációs adatokhoz. Ez a szerepkör nem biztosít hozzáférést az alkalmazáskonfigurációs erőforráshoz.

Vezérlősík-hozzáférés

A vezérlősík-műveletekre vonatkozó összes kérés az Azure Resource Manager URL-címére lesz elküldve. Ezek a kérések az alkalmazáskonfigurációs erőforrásra vonatkoznak.

• App Configuration Contributor: Használd ezt a szerepet csak App Configuration erőforrások kezelésére. Ez a szerep nem biztosít hozzáférést más Azure erőforrások kezelésére. Lehetővé teszi a hozzáférési kulcs hitelesítését és olvassa az erőforrás hozzáférési kulcsait. Ennek eredményeként egy ilyen szerepkörrel rendelkező megbízó hozzáférési kulcsot használhat a bolt kulcsértékeinek olvasására és módosítására, még akkor is, ha a szerep nem biztosít közvetlen adathozzáférést a Microsoft Entra ID használatával. Annak megakadályozására, hogy az ezzel a szerepkörrel rendelkező megbízók engedélyezzék a hozzáférési kulcsos hitelesítést, használja az Azure Policyt annak kikényszerítésére, hogy a hozzáférési kulcsos hitelesítés le legyen tiltva. Ez a szerep hozzáférést biztosít a törölt App Configuration erőforrások helyreállításához, de nem törölni azokat. A törölt alkalmazáskonfigurációs erőforrások törléséhez használja a Közreműködő szerepkört.
• Alkalmazáskonfiguráció-olvasó: Ezzel a szerepkörnel csak az alkalmazáskonfigurációs erőforrás olvasható. Ez a szerepkör nem biztosít hozzáférést más Azure-erőforrások olvasásához. Nem biztosít hozzáférést az erőforrás hozzáférési kulcsaihoz, sem az Alkalmazáskonfigurációban tárolt adatokhoz.
• Hozzájáruló vagy tulajdonos: Használja ezeket a szerepköreket az App Configuration erőforrások és más Azure erőforrások kezelésére. Ezek a szerepkörek kiváltságos adminisztrátori szerepek. Engedélyezhetik a hozzáférési kulcs hitelesítést, és olvashatják az erőforrás hozzáférési kulcsait. Ennek eredményeként egy megbízó bármelyik szerepkörrel hozzáférhet egy hozzáférési kulcs segítségével olvasni és módosítani a bolt kulcsértékeit, még akkor is, ha ezek a szerepek nem biztosítanak közvetlen adathozzáférést a Microsoft Entra ID használatával. Annak megakadályozására, hogy az ezekkel a szerepkörökkel rendelkező identitások engedélyezzék a hozzáférési kulcsos hitelesítést, az Azure Policy használatával kényszerítse ki, hogy a hozzáférési kulcsos hitelesítés le legyen tiltva.
• Olvasó: Ezzel a szerepkörnel elolvashatja az alkalmazáskonfigurációs erőforrást, miközben más Azure-erőforrásokat is elolvashat. Ez a szerepkör nem biztosít hozzáférést az erőforrás hozzáférési kulcsaihoz, sem az alkalmazáskonfigurációban tárolt adatokhoz.

Megjegyzés

Miután egy identitáshoz szerepkör-hozzárendelést végzett, legfeljebb 15 percet kell engedélyeznie az engedély propagálására, mielőtt hozzáfér az alkalmazáskonfigurációban tárolt adatokhoz az identitás használatával.

Azonosítás tokennel történő hitelesítő adatokkal

Annak érdekében, hogy az alkalmazás a Microsoft Entra identitással való hitelesítést végezhesse, az Azure Identity könyvtár különböző jogkivonat-hitelesítő adatokat támogat a Microsoft Entra ID-hitelesítéshez. Választhatja például a Visual Studio Credentialt az alkalmazás Visual Studióban való fejlesztésekor, a Számítási feladat identitásának hitelesítő adatait, amikor az alkalmazás a Kubernetesen fut, vagy a Managed Identity Credentialt, amikor az alkalmazás az Azure-szolgáltatásokban, például az Azure Functionsben van üzembe helyezve.

DefaultAzureCredential használata

A DefaultAzureCredential token hitelesítő adatainak előre konfigurált lánca, amely automatikusan megkísérli a leggyakoribb hitelesítési módszerek rendezett sorozatát. DefaultAzureCredential A használatával ugyanazt a kódot a helyi fejlesztési és Azure-környezetekben is megtarthatja. Fontos azonban tudni, hogy melyik hitelesítő adatot használják az egyes környezetekben, mivel az engedélyezési folyamat működéséhez a megfelelő szerepköröket kell hozzárendelni. Például engedélyezze a saját fiókját, amikor arra számít, hogy a DefaultAzureCredential helyi fejlesztés során vissza fog esni a felhasználói identitásba. Hasonlóképpen, engedélyezze a felügyelt identitást az Azure Functionsben, és rendelje hozzá a szükséges szerepkört, amikor azt várja, hogy a DefaultAzureCredential visszaessen a ManagedIdentityCredential-re, amikor a Function App az Azure-ban fut.

Alkalmazáskonfigurációs adatszerepkörök hozzárendelése

Függetlenül attól, hogy melyik hitelesítő adatot használja, hozzá kell rendelnie a megfelelő szerepköröket ahhoz, hogy hozzáférhessen az Alkalmazáskonfigurációs áruházhoz. Ha az alkalmazásnak csak az Alkalmazáskonfigurációs áruházból kell adatokat olvasnia, rendelje hozzá az alkalmazáskonfigurációs adatolvasó szerepkörhöz. Ha az alkalmazásnak adatokat is meg kell írnia az Alkalmazáskonfigurációs áruházba, rendelje hozzá az alkalmazáskonfigurációs adattulajdonosi szerepkört.

Kövesse az alábbi lépéseket az alkalmazáskonfigurációs adatszerepkörök hitelesítő adatokhoz való hozzárendeléséhez.

1. Az Azure Portalon lépjen az Alkalmazáskonfigurációs áruházba, és válassza a Hozzáférés-vezérlés (IAM) lehetőséget.

2. Válassza a Hozzáadás –>Szerepkör-hozzárendelés hozzáadása lehetőséget.

   Ha nincs engedélye szerepkörök hozzárendelésére, a szerepkör-hozzárendelés hozzáadása lehetőség le lesz tiltva. Szerepkör-hozzárendeléseket csak tulajdonosi vagy felhasználói hozzáférés-rendszergazdai szerepkörrel rendelkező felhasználók végezhetnek.

3. A Szerepkör lapon válassza ki az Alkalmazáskonfiguráció adatolvasó szerepkört (vagy szükség szerint egy másik alkalmazáskonfigurációs szerepkört), majd válassza a Tovább lehetőséget.

4. A Tagok lapon a varázslót követve jelölje ki azt a hitelesítő adatot, amelyhez hozzáférést biztosít, majd válassza a Tovább gombot.

5. Végül a Véleményezés + hozzárendelés lapon válassza a Véleményezés + hozzárendelés lehetőséget a szerepkör hozzárendeléséhez.

Entra-azonosító hitelesítésének célközönsége

A Microsoft Entra ID-hitelesítés célközönsége határozza meg, hogy ki férhet hozzá egy adott erőforráshoz. Azonosítja a biztonsági jogkivonat kívánt címzettjének nevét. Az alkalmazáskonfiguráció különböző felhők különböző célközönségeit támogatja.

Alkalmazáskonfiguráció célközönsége

A globális Azure-felhőben futó Azure-alkalmazáskonfigurációhoz használja a következő célközönséget:

https://appconfig.azure.com

Az Azure-alkalmazáskonfiguráció nemzeti felhőkben való használatához használja az alábbi táblázatban megadott célközönséget:

Nemzeti felhő	Hallgatóság
Azure Government	https://appconfig.azure.us
A 21Vianet által üzemeltetett Microsoft Azure	https://appconfig.azure.cn
Bleu	https://appconfig.sovcloud-api.fr

Felhőspecifikus célközönség konfigurálása

Ha az Entra ID-t használja az Azure-alkalmazáskonfigurációval való hitelesítéshez a 21Vianet által üzemeltetett felhőkben az Azure-felhőn, az Azure Governmenten és a Microsoft Azure-on kívül, konfigurálni kell a megfelelő Entra-azonosító célközönséget.

Jótanács

Ha az Azure App Configuration-hoz való csatlakozáskor a következő hibaüzenet jelenik meg, az általában azért van, mert az alkalmazáskonfigurációt egy adott felhőben használja anélkül, hogy explicit módon konfigurálta volna a Microsoft Entra ID-célközönséget.

AADSTS500011: The resource principal named https://appconfig.azure.com was not found in the tenant named msazurecloud.

A probléma megoldásához konfigurálja a megfelelő Entra-azonosító célközönséget az alábbi kódrészletekben látható módon.

.NET

.NET-konfigurációszolgáltató

Ha az alkalmazás a következő csomagok bármelyikét használja, a célközönség konfigurálható a ConfigureClientOptions metódus használatával. A célközönség konfigurálásához használja az alábbi csomagok 8.2.0-s vagy újabb verzióját.

• Microsoft.Extensions.Configuration.AzureAppConfiguration
• Microsoft.Azure.AppConfiguration.AspNetCore
• Microsoft.Azure.AppConfiguration.Functions.Worker

Az alábbi kódrészlet bemutatja, hogyan vehet fel azure-alkalmazáskonfigurációs szolgáltatót egy felhőspecifikus célközönséggel rendelkező .NET-alkalmazásba.

builder.AddAzureAppConfiguration(o =>
    {
        o.Connect(
            myStoreEndpoint,
            new DefaultAzureCredential());

        o.ConfigureClientOptions(clientOptions =>
            clientOptions.Audience = "{Cloud specific audience here}");
    });

Azure SDK a .NET számára

Ha az alkalmazás a következő csomagot használja, a célközönség konfigurálható ConfigurationClientOptions az ConfigurationClient objektum létrehozásakor. Használja az alábbi csomag 1.6.0-s vagy újabb verzióját.

• Azure.Data.AppConfiguration

Az alábbi kódrészlet bemutatja, hogyan hozható létre konfigurációs ügyfél egy felhőspecifikus célközönséggel.

var configurationClient = new ConfigurationClient(
    myStoreEndpoint,
    new DefaultAzureCredential(),
    new ConfigurationClientOptions
    {
        Audience = "{Cloud specific audience here}"
    });

Java

Spring-konfigurációs szolgáltató

Ha az alkalmazás a következő csomagok bármelyikét használja, a célközönség konfigurálható az ConfigurationClientBuilderConfigurationClientCustomizer interfész testreszabásával, majd a rendszerindítási beállításjegyzékbe való felvételével. A célközönség konfigurálásához használja az alábbi csomagok 5.22.0-s vagy újabb verzióját.

• spring-cloud-azure-appconfiguration-config
• spring-cloud-azure-appconfiguration-config-web

Az alábbi kódrészlet bemutatja, hogyan vehet fel azure-alkalmazáskonfigurációs szolgáltatót egy felhőspecifikus célközönséggel rendelkező Spring Boot-alkalmazásba.

import com.azure.data.appconfiguration.ConfigurationClientBuilder;
import com.azure.data.appconfiguration.models.ConfigurationAudience;
import com.azure.spring.cloud.appconfiguration.config.ConfigurationClientCustomizer;

public class CustomClient implements ConfigurationClientCustomizer {

    @Override
    public void customize(ConfigurationClientBuilder builder, String endpoint) {
        builder.audience(ConfigurationAudience.fromString("{Cloud specific audience here}"));
    }
}

Ezután regisztrálja a CustomClient rendszerindító beállításjegyzékben.

import org.springframework.boot.SpringApplication;
import org.springframework.boot.autoconfigure.AutoConfiguration;
import org.springframework.boot.autoconfigure.SpringBootApplication;

import hello.impl.AppConfigClientImpl;

@SpringBootApplication
@AutoConfiguration
public class Application {

	public static void main(String[] args) {
		SpringApplication app = new SpringApplication(Application.class);
		
		// Register the ConfigurationClientCustomizer in the bootstrap context
		app.addBootstrapRegistryInitializer(registry -> {
			registry.register(CustomClient.class, context -> new CustomClient());
		});
		
		app.run(args);
	}

}

Azure SDK Java-hoz

Ha az alkalmazás a következő csomagot használja, a célközönség konfigurálható úgy, hogy a audience opciót átadja a ConfigurationClientBuilder-nek a ConfigurationClient felépítésekor. Használja az alábbi csomag 1.8.0-s vagy újabb verzióját.

• azure-data-appconfiguration

Az alábbi kódrészlet bemutatja, hogyan hozható létre konfigurációs ügyfél egy felhőspecifikus célközönséggel.

ConfigurationClient configurationClient = new ConfigurationClientBuilder()
    .endpoint(myStoreEndpoint)
    .credential(new DefaultAzureCredentialBuilder().build())
    .audience(ConfigurationAudience.fromString("{Cloud specific audience here}"))
    .buildClient();

JavaScript

JavaScript-konfigurációszolgáltató

Ha az alkalmazás a következő csomagot használja, a célközönség konfigurálható úgy, hogy átadja a clientOptions tulajdonságot a audienceload függvénynek. Használja az alábbi csomag 1.0.0-s vagy újabb verzióját.

• @azure/app-configuration-provider

Az alábbi kódrészlet bemutatja, hogyan tölthető be az Azure App Configuration egy Felhőspecifikus célközönséggel rendelkező JavaScript-alkalmazásba.

const appConfig = await load(myStoreEndpoint, credential, {
    clientOptions: {
        audience: "{Cloud specific audience here}"
    }
});

JavaScripthez készült Azure SDK

Ha az alkalmazás a következő csomagot használja, a célközönség konfigurálható úgy, hogy átadja a audience lehetőséget a AppConfigurationClient konstruktornak. Használja az alábbi csomag 1.9.0-s vagy újabb verzióját.

• @azure/app-configuration

Az alábbi kódrészlet bemutatja, hogyan hozható létre konfigurációs ügyfél egy felhőspecifikus célközönséggel.

const client = new AppConfigurationClient(myStoreEndpoint, new DefaultAzureCredential(), {
    audience: "{Cloud specific audience here}",
});

Python

Python-konfigurációszolgáltató

Ha az alkalmazás a következő csomagot használja, a célközönség úgy konfigurálható, hogy átadja a kulcsszót audience a load metódusnak. Használja a következő csomag 2.4.0-s vagy újabb verzióját.

• azure-appconfiguration-provider

Az alábbi kódrészlet bemutatja, hogyan tölthető be az Azure App Configuration egy Felhőalapú célközönséggel rendelkező Python-alkalmazásba.

from azure.appconfiguration.provider import load
from azure.identity import DefaultAzureCredential

config = load(
    endpoint=myStoreEndpoint,
    credential=DefaultAzureCredential(),
    audience="{Cloud specific audience here}",
)

Azure SDK Pythonhoz

Ha az alkalmazás a következő csomagot használja, a célközönség konfigurálható úgy, hogy átadja a audience kulcsszót a AzureAppConfigurationClient konstruktornak. Használja az alábbi csomag 1.8.0-s vagy újabb verzióját.

• azure-appconfiguration

Az alábbi kódrészlet bemutatja, hogyan hozható létre konfigurációs ügyfél egy felhőspecifikus célközönséggel.

from azure.appconfiguration import AzureAppConfigurationClient
from azure.identity import DefaultAzureCredential

client = AzureAppConfigurationClient(
    myStoreEndpoint,
    DefaultAzureCredential(),
    audience="{Cloud specific audience here}",
)

Go

Az Entra-azonosító célközönségének konfigurálásához először importálja a következő csomagokat a Go-alkalmazásban:

import (
    "github.com/Azure/azure-sdk-for-go/sdk/azcore/cloud"
    "github.com/Azure/azure-sdk-for-go/sdk/azcore/policy"
)

Go konfigurációszolgáltató

Ha az alkalmazás a következő csomagot használja, a célközönség konfigurálható úgy, hogy átadja a ClientOptions felhőkonfigurációt a Load függvénynek. Használja az alábbi csomag 1.0.0-s vagy újabb verzióját.

• azureappconfiguration

Az alábbi kódrészlet bemutatja, hogyan tölthető be az Azure App Configuration egy Go-alkalmazásba egy felhőspecifikus célközönséggel.

credential, _:= azidentity.NewDefaultAzureCredential(nil)

authOptions := azureappconfiguration.AuthenticationOptions{
    Endpoint: myStoreEndpoint,
    Credential: credential,
}

cloudConfig := cloud.Configuration{
    Services: map[cloud.ServiceName]cloud.ServiceConfiguration{
        azappconfig.ServiceName: {
            Audience: "{Cloud specific audience here}",
        },
    },
}

options := &azureappconfiguration.Options{
    ClientOptions: &azappconfig.ClientOptions{
        ClientOptions: policy.ClientOptions{
            Cloud: cloudConfig,
        },
    },
}

appConfig, _ := azureappconfiguration.Load(context.Background(), authOptions, options)

Go nyelvhez készült Azure SDK

Ha az alkalmazás a következő csomagot használja, a célközönség a felhőkonfiguráció használatával konfigurálható. Használja a következő csomag 2.1.0-s vagy újabb verzióját.

• azappconfig

Az alábbi kódrészlet bemutatja, hogyan hozható létre konfigurációs ügyfél egy felhőspecifikus célközönséggel.

credential, _:= azidentity.NewDefaultAzureCredential(nil)

cloudConfig := cloud.Configuration{
    Services: map[cloud.ServiceName]cloud.ServiceConfiguration{
        azappconfig.ServiceName: {
            Audience: "{Cloud specific audience here}",
        },
    },
}

clientOptions := &azappconfig.ClientOptions{
    ClientOptions: policy.ClientOptions{
        Cloud: cloudConfig,
    },
}

client, _ := azappconfig.NewClient(myStoreEndpoint, credential, clientOptions)

Kubernetes

Kubernetes-szolgáltató

Ha az alkalmazás a Kubernetesen fut, és az Azure App Configuration Kubernetes Providert használja, a célközönség konfigurációja a szolgáltató telepítésétől függ.

• AKS-bővítmény: Nincs szükség közönségkonfigurációra. A bővítmény automatikusan meghatározza a célközönséget a felhő alapján, ahol fut.
• Helm-diagram: A célközönség a telepítés időpontjában konfigurálható a env.azureAppConfigurationAudience paraméter beállításával. A célközönség konfigurálásához használja az Azure App Configuration Kubernetes Provider2.6.0-s vagy újabb verzióját.

Az alábbi parancs bemutatja, hogyan telepítheti az Azure App Configuration Kubernetes Providert a Helmen keresztül egy felhőspecifikus célközönséggel.

helm install azureappconfiguration.kubernetesprovider \
    oci://mcr.microsoft.com/azure-app-configuration/helmchart/kubernetes-provider \
    --namespace azappconfig-system \
    --create-namespace \
    --set env.azureAppConfigurationAudience="{Cloud specific audience here}"

PowerShell

Azure PowerShell

Ha Azure PowerShell használ, a célközönség úgy konfigurálható, hogy a AzureAppConfigurationEndpointResourceId paramétert egyéni Azure környezetben Add-AzEnvironment vagy Set-AzEnvironment használatával állítja be. Használja az Az modul 15.6.0-s vagy újabb verzióját.

Az alábbi példa bemutatja, hogyan konfigurálható a Bleu-környezet az alkalmazáskonfiguráció célközönségével és a végpont utótagjával.

Add-AzEnvironment -Name "{Environment name}" `
    -AzureAppConfigurationEndpointResourceId "https://appconfig.sovcloud-api.fr" `
    -AzureAppConfigurationEndpointSuffix "appconfig.sovcloud-api.fr"

Meglévő környezet frissítése:

Set-AzEnvironment -Name "{Environment name}" `
    -AzureAppConfigurationEndpointResourceId "https://appconfig.sovcloud-api.fr" `
    -AzureAppConfigurationEndpointSuffix "appconfig.sovcloud-api.fr"

A környezet konfigurálása után csatlakozzon hozzá az alkalmazáskonfigurációs parancsok futtatása előtt:

Connect-AzAccount -Environment "{Environment name}"

Azure parancssori felület

Azure CLI

Ha Azure CLI használ, a célközönség úgy konfigurálható, hogy a appconfig_auth_token_audience végponttulajdonságot egy felhődefiníción a az cloud register vagy az cloud update használatával állítja be.

Az alábbi példa bemutatja, hogyan konfigurálhat egyéni felhőt Bleu számára az alkalmazáskonfiguráció célközönségével.

az cloud register --name <BleuCloudName> --cloud-config "{\"endpoints\":{\"resourceManager\":\"<BleuResourceManagerEndpoint>\",\"activeDirectory\":\"<BleuActiveDirectoryEndpoint>\",\"activeDirectoryResourceId\":\"<BleuActiveDirectoryResourceId>\",\"appconfig_auth_token_audience\":\"https://appconfig.sovcloud-api.fr\"}}"

Az aktuális felhő frissítése:

az cloud update -n <BleuCloudName> --cloud-config "{\"endpoints\": {\"appconfig_auth_token_audience\": \"https://appconfig.sovcloud-api.fr\"}}"

A felhő konfigurálása után állítsa be aktív felhőként, mielőtt bármilyen alkalmazáskonfigurációs parancsot futtat:

az cloud set --name <BleuCloudName>

Következő lépések

Megtudhatja, hogyan férhet hozzá az Alkalmazáskonfigurációs áruházhoz felügyelt identitásokkal.