Mengautentikasi aplikasi Java yang dihosting Azure untuk Azure sumber daya dengan menggunakan identitas terkelola yang ditetapkan sistem

Pendekatan yang disarankan untuk mengautentikasi aplikasi yang dihosting Azure ke sumber daya Azure lainnya adalah dengan menggunakan identitas managed. Sebagian besar layanan Azure mendukung pendekatan ini, termasuk aplikasi yang dihosting di Azure App Service, Azure Container Apps, dan Azure Virtual Machines. Untuk informasi selengkapnya, lihat layanan Azure dan jenis sumber daya yang mendukung identitas terkelola. Untuk informasi selengkapnya tentang berbagai teknik dan pendekatan autentikasi, lihat Autentikasi aplikasi Java ke layanan Azure dengan menggunakan pustaka identitas Azure.

Di bagian berikut, Anda mempelajari:

• Konsep identitas terkelola yang penting.
• Cara membuat identitas terkelola yang ditetapkan sistem untuk aplikasi Anda.
• Cara menetapkan peran-peran ke identitas terkelola yang ditetapkan oleh sistem.
• Cara mengautentikasi dengan menggunakan identitas terkelola yang ditetapkan sistem dari kode aplikasi Anda.

Konsep identitas terkelola yang penting

Identitas terkelola memungkinkan aplikasi Anda terhubung dengan aman ke sumber daya Azure lain tanpa menggunakan kunci rahasia atau rahasia aplikasi lainnya. Secara internal, Azure melacak identitas dan sumber daya mana yang diizinkan untuk disambungkan. Azure menggunakan informasi ini untuk mendapatkan token Microsoft Entra secara otomatis agar aplikasi dapat terhubung ke sumber daya Azure lainnya.

Ada dua jenis identitas terkelola yang perlu dipertimbangkan saat mengonfigurasi aplikasi yang dihosting:

• Identitas terkelola yang ditetapkan oleh sistem diaktifkan langsung pada sumber daya Azure dan terkait erat dengan siklus hidup sumber daya tersebut. Saat sumber daya dihapus, Azure secara otomatis menghapus identitas untuk Anda. Identitas yang ditetapkan sistem memberikan pendekatan minimalis untuk menggunakan identitas terkelola.
• Identitas terkelola yang ditetapkan pengguna dibuat sebagai sumber daya Azure mandiri dan menawarkan fleksibilitas dan kemampuan yang lebih besar. Mereka ideal untuk solusi yang melibatkan beberapa sumber daya Azure yang perlu berbagi identitas dan izin yang sama. Misalnya, jika beberapa komputer virtual perlu mengakses set sumber daya Azure yang sama, identitas terkelola yang ditetapkan pengguna memberikan penggunaan kembali dan manajemen yang dioptimalkan.

Petunjuk / Saran

Pelajari selengkapnya tentang memilih dan mengelola identitas terkelola yang ditetapkan sistem dan ditetapkan pengguna di artikel Rekomendasi praktik terbaik identitas terkelola .

Bagian berikut menjelaskan langkah-langkah untuk mengaktifkan dan menggunakan identitas terkelola yang ditetapkan sistem untuk aplikasi yang dihosting Azure. Jika Anda perlu menggunakan identitas terkelola yang ditetapkan pengguna, lihat Autentikasi aplikasi Java yang dihosting Azure untuk Azure sumber daya dengan menggunakan identitas terkelola yang ditetapkan pengguna.

Mengaktifkan identitas terkelola yang ditetapkan sistem pada sumber daya hosting Azure

Untuk mulai menggunakan identitas terkelola yang ditetapkan sistem dengan aplikasi Anda, aktifkan identitas pada sumber daya Azure yang menghosting aplikasi Anda, seperti instans Azure App Service, Azure Container Apps, atau Azure Virtual Machines.

Anda dapat mengaktifkan identitas terkelola yang ditetapkan sistem untuk sumber daya Azure menggunakan portal Azure atau Azure CLI.

Azure

1. Di portal Azure, navigasikan ke sumber daya yang menghosting kode aplikasi Anda, seperti instans Azure App Service atau Azure Container Apps.

2. Dari halaman Gambaran Umum sumber daya, perluas Pengaturan dan pilih Identitas dari Navigasi.

3. Pada halaman Identitas, alihkan penggeser Status ke Di.

4. Pilih Simpan untuk menerapkan perubahan Anda.

   

Azure CLI

perintah Azure CLI dapat dijalankan di Azure Cloud Shell atau di stasiun kerja dengan Azure CLI diinstal.

Perintah Azure CLI yang digunakan untuk mengaktifkan identitas terkelola untuk sumber daya Azure adalah formulir az <command-group> identity --resource-group <resource-group-name> --name <resource-name>. Perintah khusus untuk layanan Azure populer ditunjukkan di bawah ini.

Azure App Service:

az webapp identity assign \
    --resource-group <resource-group-name> \
    --name <web-app-name>

Azure Container Apps:

az containerapp identity assign \
    --resource-group <resource-group-name> \
    --name <container-app-name> \
    --system-assigned

Azure Virtual Machines:

az vm identity assign \
    --resource-group <resource-group-name> \
    --name <virtual-machine-name>

Outputnya menyerupai yang berikut ini:

{
  "principalId": "aaaaaaaa-bbbb-cccc-1111-222222222222",
  "tenantId": "aaaabbbb-0000-cccc-1111-dddd2222eeee",
  "type": "SystemAssigned",
  "userAssignedIdentities": null
}

Nilai principalId adalah ID unik dari identitas terkelola. Simpan salinan output ini, karena Anda akan memerlukan nilai-nilai ini di langkah berikutnya.

Menetapkan peran pada identitas terkelola

Selanjutnya, tentukan peran mana yang dibutuhkan aplikasi Anda dan tetapkan peran tersebut ke identitas terkelola. Anda dapat menetapkan peran ke identitas terkelola dalam lingkup berikut:

• Resource: Peran yang ditetapkan hanya berlaku untuk sumber daya tertentu tersebut.
• Grup sumber daya: Peran yang ditetapkan berlaku untuk semua sumber daya yang terkandung dalam grup sumber daya.
• Langganan: Peran yang ditetapkan berlaku untuk semua sumber daya yang terkandung dalam langganan.

Contoh berikut menunjukkan cara menetapkan peran di cakupan grup sumber daya, karena banyak aplikasi mengelola semua sumber daya Azure terkait menggunakan satu grup sumber daya.

Azure

1. Akses ke halaman Gambaran Umum grup sumber daya yang berisi aplikasi dengan identitas terkelola yang ditetapkan sistem.

2. Pilih kontrol akses (IAM) di navigasi kiri.

3. Pada halaman Kontrol akses (IAM), pilih + Tambahkan di menu atas lalu pilih Tambahkan penetapan peran untuk menavigasi ke halaman Tambahkan penetapan peran.

   

4. Halaman Tambahkan penugasan peran menyajikan alur kerja bertahap dengan tab untuk menetapkan peran pada identitas. Pada tab Peran awal, gunakan kotak pencarian di bagian atas untuk menemukan peran yang ingin Anda tetapkan ke identitas.

5. Pilih peran dari hasil pencarian dan kemudian pilih Berikutnya untuk pindah ke tab Anggota.

6. Untuk opsi Tetapkan akses ke, pilihlah Identitas yang dikelola.

7. Untuk opsi Anggota , pilih + Pilih anggota untuk membuka panel Pilih identitas terkelola .

8. Pada panel Pilih identitas terkelola, gunakan dropdown Langganan dan dropdown Identitas terkelola untuk memfilter hasil pencarian identitas Anda. Gunakan kotak pencarian Select untuk menemukan identitas sistem yang Anda aktifkan untuk sumber daya Azure yang menghosting aplikasi Anda.

   

9. Pilih identitas dan pilih Pilih di bagian bawah panel untuk melanjutkan.

10. Pilih Tinjau + berikan tugas di bagian bawah halaman.

11. Pada tab akhir Tinjau + tetapkan , pilih Tinjau + tetapkan untuk menyelesaikan alur kerja.

Azure CLI

Identitas terkelola diberi peran dalam Azure menggunakan perintah penetapan peran az create:

az role assignment create \
    --assignee "{managedIdentityId}" \
    --role "{roleName}" \
    --scope "{scope}"

Untuk mendapatkan nama peran yang dapat ditugaskan kepada perwakilan layanan, gunakan perintah az role definition list.

az role definition list \
    --query "sort_by([].{roleName:roleName, description:description}, &roleName)" \
    --output table

Misalnya, untuk mengizinkan identitas terkelola dengan ID aaaaaaaa-bbbb-cccc-1111-222222222222 dibaca, tulis, dan hapus akses ke kontainer dan data blob Azure Storage ke semua akun penyimpanan di grup sumber daya msdocs-sdk-auth-example, tetapkan perwakilan layanan aplikasi ke Storage Blob Data Contributor menggunakan perintah berikut:

az role assignment create \
    --assignee aaaaaaaa-bbbb-cccc-1111-222222222222 \
    --role "Storage Blob Data Contributor" \
    --scope "/subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/msdocs-sdk-auth-example"

Untuk informasi tentang menetapkan izin di tingkat sumber daya atau langganan menggunakan Azure CLI, lihat artikel Tugaskan peran Azure menggunakan Azure CLI.

Mengautentikasi ke layanan Azure dari aplikasi Anda

Pustaka Azure Identity menyediakan berbagai kredensial—implementasi TokenCredential yang disesuaikan untuk mendukung skenario yang berbeda dan alur autentikasi Microsoft Entra. Karena identitas terkelola tidak tersedia saat berjalan secara lokal, langkah-langkah di depan menunjukkan kredensial mana yang akan digunakan dalam skenario mana:

• Lingkungan pengembangan lokal: Selama hanya pengembangan lokal, gunakan kelas bernama DefaultAzureCredential untuk rantai kredensial yang disesuaikan dan sudah dikonfigurasi sebelumnya. DefaultAzureCredential menemukan kredensial pengguna dari alat atau IDE lokal Anda, seperti Azure CLI atau Visual Studio Code. Ini juga memberikan fleksibilitas dan kenyamanan untuk percobaan ulang, waktu tunggu untuk respons, dan dukungan untuk beberapa opsi autentikasi. Kunjungi artikel Mengautentikasi ke layanan Azure selama pengembangan lokal untuk informasi lebih lanjut.
• aplikasi yang dihosting Azure: Saat aplikasi Anda berjalan di Azure, gunakan ManagedIdentityCredential untuk menemukan identitas terkelola yang dikonfigurasi dengan aman untuk aplikasi Anda. Menentukan jenis kredensial yang tepat ini mencegah kredensial lain yang tersedia diambil secara tak terduga.

Menerapkan kode

Tambahkan azure-identity dependensi ke file pom.xml Anda:

<dependency>
    <groupId>com.azure</groupId>
    <artifactId>azure-identity</artifactId>
</dependency>

Layanan Azure diakses menggunakan kelas klien khusus dari berbagai pustaka klien Azure SDK. Contoh kode berikut menunjukkan cara membuat instans kredensial dan menggunakannya dengan klien layanan Azure SDK. Dalam kode aplikasi Anda, selesaikan langkah-langkah berikut untuk mengautentikasi menggunakan identitas terkelola:

1. Impor kelas DefaultAzureCredentialBuilder, ManagedIdentityCredentialBuilder, dan TokenCredential.
2. Teruskan instans yang sesuai TokenCredential ke klien:
   • Gunakan DefaultAzureCredential saat berjalan secara lokal
   • Gunakan ManagedIdentityCredential saat aplikasi Anda berjalan di Azure

Contoh berikut menunjukkan autentikasi SecretClient menggunakan identitas terkelola yang ditetapkan sistem:

import com.azure.core.credential.TokenCredential;
import com.azure.identity.DefaultAzureCredentialBuilder;
import com.azure.identity.ManagedIdentityCredentialBuilder;
import com.azure.security.keyvault.secrets.SecretClient;
import com.azure.security.keyvault.secrets.SecretClientBuilder;

TokenCredential credential = null;

// Set up credential based on environment (Azure or local development)
String environment = System.getenv("ENV");

if (environment != null && environment.equals("production")) {
    credential = new ManagedIdentityCredentialBuilder()
        .build();
} else {
    credential = new DefaultAzureCredentialBuilder()
        .build();
}

// Azure SDK client builders accept the credential as a parameter
SecretClient client = new SecretClientBuilder()
    .vaultUrl("https://<your-key-vault-name>.vault.azure.net")
    .credential(credential)
    .buildClient();

Langkah berikutnya

Artikel ini membahas autentikasi menggunakan identitas terkelola yang ditetapkan sistem. Bentuk autentikasi ini adalah salah satu dari beberapa cara Anda dapat mengautentikasi di Azure SDK untuk Java. Artikel berikut ini menjelaskan cara lain:

• Otentikasi aplikasi Java yang dihosting di Azure ke sumber daya Azure melalui identitas terkelola yang ditetapkan pengguna
• Mengautentikasi aplikasi Java ke layanan Azure selama pengembangan lokal dengan menggunakan akun pengembang
• Mengautentikasi aplikasi Java ke layanan Azure selama pengembangan lokal dengan menggunakan prinsipal layanan

Jika Anda mengalami masalah terkait autentikasi aplikasi yang dihosting di Azure, lihat Pemecahan Masalah Autentikasi Aplikasi yang Dihosting di Azure.