Mengautentikasi aplikasi .NET ke layanan Azure selama pengembangan lokal menggunakan akun pengembang

Selama pengembangan lokal, aplikasi perlu mengautentikasi ke Azure untuk menggunakan layanan Azure yang berbeda. Autentikasi secara lokal menggunakan salah satu pendekatan ini:

• Gunakan akun pengembang dengan salah satu alat pengembang yang didukung oleh pustaka Azure Identity.
• Gunakan broker untuk mengelola kredensial.
• Gunakan service principal.

Artikel ini menjelaskan cara mengautentikasi menggunakan akun pengembang dengan alat yang didukung oleh pustaka Azure Identity. Di bagian depan, Anda mempelajari:

• Cara menggunakan grup Microsoft Entra untuk mengelola izin secara efisien untuk beberapa akun pengembang.
• Cara menetapkan peran untuk akun pengembang guna membatasi izin.
• Cara login ke alat pengembangan lokal yang didukung.
• Cara mengautentikasi menggunakan akun pengembang dari kode aplikasi Anda.

Alat pengembang yang didukung untuk autentikasi

Agar aplikasi dapat mengautentikasi ke Azure selama pengembangan lokal menggunakan kredensial Azure pengembang, pengembang harus masuk ke Azure dari salah satu alat pengembang berikut:

• Azure CLI
• Azure Developer CLI
• Azure PowerShell
• Visual Studio
• Visual Studio Code

Pustaka Azure Identity dapat mendeteksi bahwa pengembang masuk dari salah satu alat ini. Pustaka kemudian dapat memperoleh token akses Microsoft Entra melalui alat untuk mengautentikasi aplikasi ke Azure sebagai pengguna yang masuk.

Pendekatan ini memanfaatkan akun Azure pengembang yang ada untuk menyederhanakan proses autentikasi. Namun, akun pengembang kemungkinan memiliki lebih banyak izin daripada yang diperlukan oleh aplikasi, sehingga melebihi izin yang digunakan oleh aplikasi saat produksi. Sebagai pilihan lain, Anda dapat membuat prinsipal layanan aplikasi untuk digunakan selama pengembangan lokal, yang dapat dibatasi agar hanya memiliki akses yang dibutuhkan oleh aplikasi.

Membuat grup Microsoft Entra untuk pengembangan lokal

Buat grup Microsoft Entra untuk menyertakan peran (izin) yang dibutuhkan aplikasi dalam pengembangan lokal, daripada memberikan peran tersebut ke objek perwakilan layanan individual. Pendekatan ini menawarkan keuntungan berikut:

• Setiap pengembang memiliki peran yang sama yang ditetapkan di tingkat grup.
• Jika peran baru diperlukan untuk aplikasi, peran tersebut hanya perlu ditambahkan ke grup untuk aplikasi.
• Jika pengembang baru bergabung dengan tim, perwakilan layanan aplikasi baru dibuat untuk pengembang dan ditambahkan ke grup, memastikan pengembang memiliki izin yang tepat untuk mengerjakan aplikasi.

1. Navigasikan ke halaman ringkasan ID Microsoft Entra di portal Microsoft Azure.

2. Pilih Semua grup dari menu sebelah kiri.

3. Pada halaman Grup, pilih Grup baru.

4. Pada halaman grup baru , isi bidang formulir berikut ini:

   • Jenis grup: Pilih Keamanan.
   • Nama grup: Masukkan nama untuk grup yang menyertakan referensi ke nama aplikasi atau lingkungan.
   • Deskripsi grup: Masukkan deskripsi yang menjelaskan tujuan grup.

   

5. Pilih link Tidak ada anggota yang dipilih di bawah Anggota untuk menambahkan anggota ke grup.

6. Di panel pop-up yang terbuka, cari prinsipal layanan yang Anda buat sebelumnya dan pilih dari hasil yang sudah difilter. Pilih tombol Pilih di bagian bawah panel untuk mengonfirmasi pilihan Anda.

7. Pilih Buat di bagian bawah halaman grup baru untuk membuat grup dan kembali ke halaman Semua grup. Jika Anda tidak melihat grup baru tercantum, tunggu sebentar dan refresh halaman.

1. Gunakan perintah az ad group create untuk membuat grup di MICROSOFT Entra ID.

   az ad group create \
       --display-name <group-name> \
       --mail-nickname <group-mail-nickname> \
       --description <group-description>
   

   Parameter --display-name dan --mail-nickname diperlukan. Nama yang diberikan kepada grup harus didasarkan pada nama dan lingkungan aplikasi untuk menunjukkan tujuan grup.

2. Untuk menambahkan anggota ke grup, Anda memerlukan ID objek dari perwakilan layanan aplikasi, yang berbeda dari ID aplikasi. Gunakan perintah az ad sp list untuk menampilkan prinsipal layanan yang tersedia.

   az ad sp list \
       --filter "startswith(displayName, '<group-name>')" \
       --query "[].{objectId:id, displayName:displayName}"
   

   Parameter --filter menerima filter gaya OData dan dapat digunakan untuk memfilter daftar seperti yang ditunjukkan. Parameter --query membatasi output hanya untuk kolom yang diminati.

3. Gunakan perintah az ad group member add untuk menambahkan anggota ke grup:

   az ad group member add \
       --group <group-name> \
       --member-id <object-id>
   

Menetapkan peran ke grup

Selanjutnya, tentukan peran (izin) apa yang dibutuhkan aplikasi Anda pada sumber daya apa dan tetapkan peran tersebut ke grup Microsoft Entra yang Anda buat. Grup dapat diberi peranan di ruang lingkup sumber daya, grup sumber daya, atau langganan. Contoh ini menunjukkan cara menetapkan peran di cakupan grup sumber daya, karena sebagian besar aplikasi mengelompokkan semua sumber daya Azure mereka ke dalam satu grup sumber daya.

1. Di portal Microsoft Azure, buka halaman Gambaran Umum grup sumber daya yang berisi aplikasi Anda.

2. Pilih kontrol akses (IAM) dari navigasi kiri.

3. Pada halaman kontrol akses (IAM), pilih + Tambahkan lalu pilih Tambahkan penetapan peran dari menu drop-down. Halaman Tambahkan penugasan peran menyediakan berbagai tab untuk mengonfigurasi dan menetapkan peran.

4. Pada tab Peran, gunakan kotak pencarian untuk menemukan peran yang ingin Anda tetapkan. Pilih peran, lalu pilih Berikutnya.

5. Pada tab Anggota:

   • Untuk Menetapkan akses ke nilai, pilih Pengguna, grup, atau perwakilan layanan .
   • Untuk nilai anggota , pilih + Pilih anggota untuk membuka panel samping Pilih anggota.
   • Cari grup Microsoft Entra yang Anda buat sebelumnya dan pilih dari hasil yang difilter. Pilih Pilih untuk memilih grup dan menutup panel flyout.
   • Pilih Tinjau + tetapkan di bagian bawah tab Anggota.

   

6. Pada tab Tinjau + tetapkan, pilih Tinjau + tetapkan di bagian bawah halaman.

1. Gunakan perintah daftar definisi peran az untuk mendapatkan nama-nama peran yang dapat ditetapkan kepada grup Microsoft Entra atau perwakilan layanan:

   az role definition list \
       --query "sort_by([].{roleName:roleName, description:description}, &roleName)" \
       --output table
   

2. Gunakan perintah az role assignment create untuk menetapkan peran ke grup Microsoft Entra yang Anda buat:

   az role assignment create \
       --assignee "<group-object-Id>" \
       --role "<role-name>" \
       --resource-group "<resource-group-name>"
   

   Untuk informasi tentang mengatur izin di tingkat sumber daya atau langganan menggunakan Azure CLI, lihat Menetapkan peran Azure menggunakan Azure CLI.

Masuk ke Azure menggunakan alat pengembang

Selanjutnya, masuk ke Azure menggunakan salah satu dari beberapa alat pengembang yang dapat digunakan untuk melakukan autentikasi di lingkungan pengembangan Anda. Akun yang Anda autentikasi juga harus ada di grup Microsoft Entra yang Anda buat dan konfigurasikan sebelumnya.

Pengembang yang menggunakan Visual Studio 2017 atau yang lebih baru dapat mengautentikasi menggunakan akun pengembang mereka melalui IDE. Aplikasi yang menggunakan DefaultAzureCredential atau VisualStudioCredential dapat menemukan dan menggunakan akun ini untuk mengautentikasi permintaan aplikasi saat berjalan secara lokal. Akun ini juga digunakan saat Anda menerbitkan aplikasi langsung dari Visual Studio ke Azure.

Penting

Anda harus menginstal Azure pengembangan beban kerja untuk mengaktifkan alat Visual Studio bagi autentikasi, pengembangan, dan penyebaran Azure.

1. Di dalam Visual Studio, navigasikan ke Alat>Opsi untuk membuka dialog opsi.

2. Dalam kotak Opsi Pencarian di bagian atas, ketik Azure untuk memfilter opsi yang tersedia.

3. Di bawah Autentikasi Layanan Azure, pilih Pilihan Akun.

4. Pilih menu drop-down di bawah Pilih akun dan pilih untuk menambahkan akun Microsoft.

5. Di jendela yang terbuka, masukkan kredensial untuk akun Azure yang Anda inginkan, lalu konfirmasi input Anda.

   

6. Pilih OK untuk menutup kotak dialog opsi.

Visual Studio Code

Pengembang yang menggunakan Visual Studio Code dapat mengautentikasi dengan akun pengembang mereka langsung melalui editor melalui broker. Aplikasi yang menggunakan DefaultAzureCredential atau VisualStudioCodeCredential kemudian dapat menggunakan akun ini untuk mengautentikasi permintaan aplikasi melalui pengalaman akses menyeluruh yang mulus.

1. Di Visual Studio Code, buka panel Ekstensi dan instal ekstensi Sumber Daya Azure . Ekstensi ini memungkinkan Anda melihat dan mengelola sumber daya Azure langsung dari Visual Studio Code. Ini juga menggunakan penyedia autentikasi Microsoft Visual Studio Code bawaan untuk mengautentikasi dengan Azure.

   

2. Buka Palet Perintah di Visual Studio Code, lalu cari dan pilih Azure: Masuk.

   

   Petunjuk / Saran

   Buka Palet Perintah menggunakan Ctrl+Shift+P di Windows/Linux atau Cmd+Shift+P di macOS.

3. Tambahkan paket NuGet Azure.Identity.Broker ke aplikasi Anda:

   dotnet add package Azure.Identity.Broker
   

Pengembang dapat menggunakan Azure CLI untuk mengautentikasi. Aplikasi yang menggunakan DefaultAzureCredential atau AzureCliCredential kemudian dapat menggunakan akun ini untuk mengautentikasi permintaan aplikasi.

Untuk mengautentikasi dengan Azure CLI, jalankan perintah az login. Pada sistem dengan browser web default, Azure CLI meluncurkan browser untuk mengautentikasi pengguna.

az login

Untuk sistem tanpa browser web default, perintah az login menggunakan alur autentikasi kode perangkat. Pengguna juga dapat memaksa Azure CLI untuk menggunakan alur kode perangkat daripada meluncurkan browser dengan menentukan argumen --use-device-code.

az login --use-device-code

Azure Developer CLI

Pengembang dapat menggunakan Azure Developer CLI untuk mengautentikasi. Aplikasi yang menggunakan DefaultAzureCredential atau AzureDeveloperCliCredential kemudian dapat menggunakan akun ini untuk mengautentikasi permintaan aplikasi.

Untuk mengautentikasi dengan Azure Developer CLI, jalankan perintah azd auth login. Pada sistem dengan browser web default, Azure Developer CLI meluncurkan browser untuk mengautentikasi pengguna.

azd auth login

Untuk sistem tanpa browser web default, azd auth login --use-device-code menggunakan alur autentikasi kode perangkat. Pengguna juga dapat memaksa Azure Developer CLI untuk menggunakan alur kode perangkat daripada meluncurkan browser dengan menentukan --use-device-code argumen .

azd auth login --use-device-code

Pengembang dapat menggunakan Azure PowerShell untuk mengautentikasi. Aplikasi yang menggunakan DefaultAzureCredential atau AzurePowerShellCredential kemudian dapat menggunakan akun ini untuk mengautentikasi permintaan aplikasi.

Untuk mengautentikasi dengan Azure PowerShell, jalankan perintah Connect-AzAccount. Pada sistem dengan browser web default dan versi 5.0.0 atau yang lebih baru dari Azure PowerShell, ia meluncurkan browser untuk mengautentikasi pengguna.

Connect-AzAccount

Untuk sistem tanpa browser web default, perintah Connect-AzAccount menggunakan alur autentikasi kode perangkat. Pengguna juga dapat memaksa Azure PowerShell untuk menggunakan alur kode perangkat daripada meluncurkan browser dengan menentukan argumen UseDeviceAuthentication.

Connect-AzAccount -UseDeviceAuthentication

Mengautentikasi ke layanan Azure dari aplikasi Anda

Pustaka Azure Identity menyediakan implementasi TokenCredential yang mendukung berbagai skenario dan alur autentikasi Microsoft Entra. Langkah-langkah di depan menunjukkan cara menggunakan DefaultAzureCredential atau kredensial alat pengembangan tertentu saat bekerja dengan akun pengguna secara lokal.

Menerapkan kode

Selesaikan langkah-langkah berikut:

1. Tambahkan referensi ke paket Azure.Identity dan Microsoft.Extensions.Azure di proyek Anda:

   dotnet add package Azure.Identity
   dotnet add package Microsoft.Extensions.Azure
   

2. Di Program.cs, tambahkan using direktif untuk namespace Azure.Identity dan Microsoft.Extensions.Azure.

3. Daftarkan klien layanan Azure menggunakan metode ekstensi yang diawali dengan Add.

   Layanan Azure diakses menggunakan kelas klien khusus dari pustaka klien Azure SDK. Daftarkan jenis klien ini sehingga Anda dapat mengaksesnya melalui injeksi dependensi di seluruh aplikasi Anda.

4. Teruskan instans TokenCredential ke metode UseCredential. Contoh umumnya TokenCredential meliputi:

   • Instans DefaultAzureCredential yang telah dioptimalkan untuk pengembangan lokal. Contoh ini mengatur variabel AZURE_TOKEN_CREDENTIALS lingkungan ke dev. Untuk informasi selengkapnya, lihat Mengecualikan kategori jenis kredensial.

     builder.Services.AddAzureClients(clientBuilder =>
     {
         clientBuilder.AddBlobServiceClient(
             new Uri("https://<account-name>.blob.core.windows.net"));
     
         DefaultAzureCredential credential = new(
             DefaultAzureCredential.DefaultEnvironmentVariableName);
         clientBuilder.UseCredential(credential);
     });
     

   • Instans kredensial yang sesuai dengan alat pengembangan tertentu, seperti VisualStudioCredential.

     builder.Services.AddAzureClients(clientBuilder =>
     {
         clientBuilder.AddBlobServiceClient(
             new Uri("https://<account-name>.blob.core.windows.net"));
     
         VisualStudioCredential credential = new();
         clientBuilder.UseCredential(credential);
     });
     

   Petunjuk / Saran

   Utamakan penggunaan instans lokal yang dioptimalkan untuk pengembangan daripada kredensial khusus alat ketika tim Anda menggunakan beberapa alat pengembangan untuk mengautentikasi dengan Azure.