자습서: 관리 ID를 사용하여 비밀 없이 .NET App Service에서 SQL Database 연결

App Service는 Azure에서 확장성 높은 자체 패치 웹 호스팅 서비스를 제공합니다. 또한 Azure SQL Database 및 기타 Azure 서비스에 대한 액세스를 보호하기 위한 턴키 솔루션인 관리 ID를 앱에 제공합니다. App Service의 관리 ID는 연결 문자열의 자격 증명과 같은 비밀을 앱에서 제거하여 앱의 보안을 보다 강화합니다. 이 자습서에서는 다음 자습서 중 하나에서 빌드한 샘플 웹앱에 관리 ID를 추가합니다.

• 자습서: Azure SQL Database를 사용하여 Azure에서 ASP.NET 앱 빌드
• 자습서: Azure App Service에서 ASP.NET Core 및 Azure SQL Database 앱 빌드

완료되면 샘플 앱은 사용자 이름과 암호 없이도 안전하게 SQL Database에 연결됩니다.

참고 항목

이 자습서에서 다루는 단계는 다음 버전을 지원합니다.

• .NET Framework 4.8 이상
• .NET 6.0 이상

다른 언어 프레임워크(Node.js, Python 및 Java)에서 Azure Database for MySQL 또는 Azure Database for PostgreSQL에 대한 지침은 자습서: 관리 ID를 사용하여 비밀 없이 App Service에서 Azure 데이터베이스에 연결을 참조하세요.

다음을 알아봅니다.

• 관리 ID 사용
• 관리 ID에 SQL Database 액세스 권한 부여
• SQL Database에서 Microsoft Entra 인증을 사용하도록 Entity Framework 구성
• Visual Studio에서 Microsoft Entra 인증을 사용하여 SQL Database에 연결

참고 항목

Microsoft Entra 인증은 온-프레미스 Active Directory(AD DS)의 통합 Windows 인증과 다릅니다. AD DS 및 Microsoft Entra ID는 완전히 다른 인증 프로토콜을 사용합니다. 자세한 내용은 Microsoft Entra Domain Services 설명서를 참조하세요.

Azure를 구독하고 있지 않다면 시작하기 전에 Azure 체험 계정을 만듭니다.

필수 조건

이 문서는 다음 자습서 중 하나에서 중단된 위치를 계속합니다.

• 자습서: SQL Database를 사용하여 Azure에서 ASP.NET 앱 빌드
• 자습서: Azure App Service에서 ASP.NET Core 및 SQL Database 앱 빌드.

아직 수행하지 않은 경우 두 자습서 중 하나를 먼저 수행합니다. 또는 SQL Database를 사용하여 해당 .NET 앱에 맞게 단계를 조정할 수 있습니다.

SQL Database를 백 엔드로 사용하여 앱을 디버깅하려면 컴퓨터에서 클라이언트 연결을 허용했는지 확인합니다. 그렇지 않은 경우 Azure Portal를 사용하여 서버 수준 IP 방화벽 규칙 관리의 단계에 따라 클라이언트 IP를 추가합니다.

Azure CLI에 대한 환경을 준비합니다.

• Azure Cloud Shell에서 Bash 환경을 사용합니다. 자세한 내용은 Azure Cloud Shell의 Bash에 대한 빠른 시작을 참조하세요.

  

• CLI 참조 명령을 로컬에서 실행하려면 Azure CLI를 설치합니다. Windows 또는 macOS에서 실행 중인 경우 Docker 컨테이너에서 Azure CLI를 실행하는 것이 좋습니다. 자세한 내용은 Docker 컨테이너에서 Azure CLI를 실행하는 방법을 참조하세요.

  • 로컬 설치를 사용하는 경우 az login 명령을 사용하여 Azure CLI에 로그인합니다. 인증 프로세스를 완료하려면 터미널에 표시되는 단계를 수행합니다. 다른 로그인 옵션은 Azure CLI를 사용하여 로그인을 참조하세요.

  • 메시지가 표시되면 처음 사용할 때 Azure CLI 확장을 설치합니다. 확장에 대한 자세한 내용은 Azure CLI에서 확장 사용을 참조하세요.

  • az version을 실행하여 설치된 버전과 종속 라이브러리를 찾습니다. 최신 버전으로 업그레이드하려면 az upgrade를 실행합니다.

1. Microsoft Entra 사용자에게 데이터베이스 액세스 권한 부여

먼저 Microsoft Entra 사용자를 서버 관리자로 할당하여 SQL Database에 대한 Microsoft Entra 인증을 사용 설정합니다. 이 사용자는 Azure 구독에 가입하는 데 사용한 Microsoft 계정과 다릅니다. 직접 만들거나, Microsoft Entra ID로 가져오거나, 동기화하거나, 초대한 사용자여야 합니다. 허용되는 Microsoft Entra 사용자에 대한 자세한 내용은 SQL Database의 Microsoft Entra 기능 및 제한 사항을 참조하세요.

1. Microsoft Entra 테넌트에 아직 사용자가 없는 경우 Microsoft Entra ID를 사용하여 사용자 추가 또는 삭제의 단계에 따라 하나를 만듭니다.

2. az ad user list를 사용하여 Microsoft Entra 사용자의 개체 ID를 찾고 <user-principal-name>을 바꿉니다. 결과는 변수에 저장됩니다.

   $azureaduser=(az ad user list --filter "userPrincipalName eq '<user-principal-name>'" --query '[].id' --output tsv)
   

   팁

   Microsoft Entra ID의 모든 사용자 계정 이름 목록을 보려면 az ad user list --query '[].userPrincipalName'를 실행합니다.

3. Cloud Shell에서 az sql server ad-admin create 명령을 사용하여 이 Microsoft Entra 사용자를 Active Directory 관리자로 추가합니다. 다음 명령에서 <server-name>을 .database.windows.net 접미사 없이 서버 이름으로 바꿉니다.

   az sql server ad-admin create --resource-group myResourceGroup --server-name <server-name> --display-name ADMIN --object-id $azureaduser
   

Active Directory 관리자를 추가하는 방법에 대한 자세한 내용은 서버의 Microsoft Entra 관리자 프로비전을 참조하세요.

2. 개발 환경 설정

Visual Studio Windows

1. Windows용 Visual Studio는 Microsoft Entra 인증과 통합됩니다. Visual Studio에서 개발 및 디버깅을 사용하도록 설정하려면 Visual Studio의 메뉴에서 파일>계정 설정을 선택하여 Microsoft Entra 사용자를 추가하고 로그인 또는 추가를 선택합니다.

2. Azure 서비스 인증의 Microsoft Entra 사용자를 설정하려면 메뉴에서 도구>옵션을 선택한 후 Azure 서비스 인증>계정 선택을 선택합니다. 추가한 Microsoft Entra 사용자를 선택하고 확인을 선택합니다.

macOS용 Visual Studio

1. Mac용 Visual Studio는 Microsoft Entra 인증과 통합되지 않습니다. 하지만 나중에 사용할 Azure ID 클라이언트 라이브러리는 Azure CLI의 토큰을 사용할 수 있습니다. Visual Studio에서 개발 및 디버깅을 사용하려면 로컬 머신에 Azure CLI를 설치합니다.

2. Microsoft Entra 사용자를 사용하여 다음 명령으로 Azure CLI에 로그인합니다.

   az login --allow-no-subscriptions
   

Visual Studio Code

1. Visual Studio Code는 Azure 확장을 통해 Microsoft Entra 인증과 통합됩니다. Visual Studio Code에 Azure 도구 확장을 설치합니다.

2. Visual Studio Code의 작업 표시줄에서 Azure 로고를 선택합니다.

3. App Service 탐색기에서 Azure에 로그인...을 선택하고 지침을 따릅니다.

Azure CLI

1. 나중에 사용할 Azure ID 클라이언트 라이브러리는 Azure CLI의 토큰을 사용할 수 있습니다. 명령줄 기반 개발을 사용하도록 설정하려면 로컬 머신에 Azure CLI를 설치합니다.

2. Microsoft Entra 사용자를 사용하여 다음 명령으로 Azure에 로그인합니다.

   az login --allow-no-subscriptions
   

Azure PowerShell

1. 나중에 사용할 Azure ID 클라이언트 라이브러리는 Azure PowerShell의 토큰을 사용할 수 있습니다. 명령줄 기반 개발을 사용하도록 설정하려면 로컬 머신에 Azure PowerShell을 설치합니다.

2. Microsoft Entra 사용자를 사용하여 다음 cmdlet으로 Azure CLI에 로그인합니다.

   Connect-AzAccount
   

Microsoft Entra 인증을 위해 개발 환경을 설정하는 방법에 대한 자세한 내용은 .NET용 Azure ID 클라이언트 라이브러리를 참조하세요.

이제 백 엔드 SQL Database에서 Microsoft Entra 인증을 사용하여 앱을 개발하고 디버그할 준비가 되었습니다.

3. 프로젝트 수정

참고 항목

Microsoft.Azure.Services.AppAuthentication은 더 이상 새 Azure SDK에서 사용하지 않는 것이 좋습니다. .NET, Java, TypeScript 및 Python에서 사용할 수 있는 새 Azure ID 클라이언트 라이브러리로 대체되며 모든 새로운 개발에 사용해야 합니다. 마이그레이션하는 방법에 대한 정보는 Azure IdentityAppAuthentication to Azure.Identity 마이그레이션 지침에서 찾을 수 있습니다.

프로젝트에 대해 수행하는 단계는 Entity Framework Core(ASP.NET Core 기본값) 또는 Entity Framework(ASP.NET 기본값)를 사용하는지 여부에 따라 달라집니다.

Entity Framework Core

1. Visual Studio에서 패키지 관리자 콘솔을 열어 NuGet 패키지 Microsoft.Data.SqlClient를 추가합니다.

   Install-Package Microsoft.Data.SqlClient -Version 5.1.0
   

2. ASP.NET Core 및 SQL Database 자습서에서는 appsettings.json의 MyDbConnection 연결 문자열이 아직 사용되지 않습니다. 로컬 환경과 Azure 환경은 모두 원본 파일에서 연결 비밀을 유지하기 위해 해당 환경 변수에서 연결 문자열을 가져옵니다. 하지만 이제 Active Directory 인증을 사용하면 더 이상 비밀이 없습니다. appsettings.json에서 연결 문자열 MyDbConnection의 값을 다음으로 바꿉니다.

   "Server=tcp:<server-name>.database.windows.net;Authentication=Active Directory Default; Database=<database-name>;"
   

   참고 항목

   Active Directory 기본 인증 유형은 로컬 머신과 Azure App Service 모두에서 사용할 수 있습니다. 드라이버는 다양한 방법으로 Microsoft Entra ID에서 토큰을 획득하려고 시도합니다. 앱이 배포되면 앱의 시스템 할당 관리 ID에서 토큰을 가져옵니다. 연결 문자열에 User Id=<client-id-of-user-assigned-managed-identity>;를 포함하면 사용자가 할당한 관리 ID로 인증할 수도 있습니다. 앱이 로컬로 실행되는 경우 Visual Studio, Visual Studio Code, Azure CLI에서 토큰을 가져오려고 시도합니다.

   이것만 있으면 SQL Database에 연결할 수 있습니다. Visual Studio에서 디버그할 때 코드는 2. 개발 환경 설정에서 구성한 Microsoft Entra 사용자를 사용합니다. App Service 앱의 관리 ID에서 연결할 수 있도록 SQL Database를 나중에 설정합니다. DefaultAzureCredential 클래스는 메모리에서 토큰을 캐시하여 만료 직전에 Microsoft Entra ID에서 검색합니다. 토큰을 새로 고치는 데 사용자 지정 코드는 필요하지 않습니다.

3. Ctrl+F5를 입력하여 앱을 다시 실행합니다. 이제 브라우저에서 동일한 CRUD 앱이 Microsoft Entra 인증을 사용하여 Azure SQL Database에 직접 연결합니다. 이 설정을 사용하면 Visual Studio에서 데이터베이스 마이그레이션을 실행할 수 있습니다.

Entity Framework

1. Visual Studio에서 패키지 관리자 콘솔을 열어 Azure.Identity NuGet 패키지를 추가하고 Entity Framework를 업데이트합니다.

   Install-Package Azure.Identity
   Update-Package EntityFramework
   

   참고 항목

   관리 ID에 대한 토큰 캐싱 기능은 Azure.Identity 버전 1.8.0부터 사용할 수 있습니다. 네트워크 포트 사용량을 줄이려면 Azure.Identity를 이 버전 이상으로 업데이트하는 것이 좋습니다.

2. DbContext 개체(Models/MyDbContext.cs에 있음)에서 기본 생성자에 다음 코드를 추가합니다.

   Azure.Identity.DefaultAzureCredential credential;
   var managedIdentityClientId = ConfigurationManager.AppSettings["ManagedIdentityClientId"];
   if(managedIdentityClientId != null ) {
       //User-assigned managed identity Client ID is passed in via ManagedIdentityClientId
       var defaultCredentialOptions = new DefaultAzureCredentialOptions { ManagedIdentityClientId = managedIdentityClientId };
       credential = new Azure.Identity.DefaultAzureCredential(defaultCredentialOptions);
   }
   else {
       //System-assigned managed identity or logged-in identity of Visual Studio, Visual Studio Code, Azure CLI or Azure PowerShell
       credential = new Azure.Identity.DefaultAzureCredential();
   }
   var conn = (System.Data.SqlClient.SqlConnection)Database.Connection;
   var token = credential.GetToken(new Azure.Core.TokenRequestContext(new[] { "https://database.windows.net/.default" }));
   conn.AccessToken = token.Token;
   

   이 코드는 Azure.Identity.DefaultAzureCredential을 사용하여 Microsoft Entra ID의 SQL Database에 대해 사용할 수 있는 토큰을 가져온 다음, 데이터베이스 연결에 추가합니다. DefaultAzureCredential을 사용자 지정할 수 있지만 기본적으로 다양합니다. App Service에서 실행되면 기본적으로 앱의 시스템 할당 관리 ID를 사용합니다. 사용자 할당 관리 ID를 사용하려는 경우 ManagedIdentityClientId라는 새 앱 설정을 추가하고 value 필드에 사용자 할당 관리 ID의 Client Id GUID를 입력합니다. 로컬로 실행하는 경우 Visual Studio, Visual Studio Code, Azure CLI, Azure PowerShell의 로그인한 ID를 사용하여 토큰을 가져올 수 있습니다.

3. Web.config에서 MyDbConnection이라는 연결 문자열을 찾고 connectionString 값을 "server=tcp:<server-name>.database.windows.net;database=<db-name>;"로 바꿉니다. <server-name> 및 <db-name>을 서버 이름 및 데이터베이스 이름으로 바꿉니다. 이 연결 문자열은 Models/MyDbContext.cs의 기본 생성자에서 사용됩니다.

   SQL Database에 연결하는 데 필요한 모든 항목입니다. Visual Studio에서 디버그할 때 코드는 2. 개발 환경 설정에서 구성한 Microsoft Entra 사용자를 사용합니다. App Service 앱의 관리 ID에서 연결할 수 있도록 SQL Database를 나중에 설정합니다.

4. Ctrl+F5를 입력하여 앱을 다시 실행합니다. 이제 브라우저에서 동일한 CRUD 앱이 Microsoft Entra 인증을 사용하여 Azure SQL Database에 직접 연결합니다. 이 설정을 사용하면 Visual Studio에서 데이터베이스 마이그레이션을 실행할 수 있습니다.

4. 관리 ID 연결 사용

다음으로, 시스템에서 할당한 관리 ID를 사용하여 SQL Database에 연결하도록 App Service 앱을 구성합니다.

참고 항목

이 섹션의 지침은 시스템 할당 ID에 대한 것입니다. 사용자 할당 ID를 사용하려면 자습서: 관리 ID를 사용하여 비밀 없이 App Service에서 Azure 데이터베이스에 연결합니다.

앱에서 관리 ID 사용

Azure 앱의 관리 ID를 사용하려면 Cloud Shell에서 az webapp identity assign 명령을 사용합니다. 다음 명령에서 <app-name>을 바꿉니다.

az webapp identity assign --resource-group myResourceGroup --name <app-name>

참고 항목

배포 슬롯에 대해 관리 ID를 사용하도록 설정하려면 --slot <slot-name>을 추가하고 <slot-name>에 있는 슬롯 이름을 사용합니다.

출력 예는 다음과 같습니다.

{
  "additionalProperties": {},
  "principalId": "aaaaaaaa-bbbb-cccc-1111-222222222222",
  "tenantId": "aaaabbbb-0000-cccc-1111-dddd2222eeee",
  "type": "SystemAssigned"
}

관리 ID에 사용 권한 부여

참고 항목

원하는 경우 ID를 Microsoft Entra 그룹에 추가한 다음 ID 대신 Microsoft Entra 그룹에 대한 SQL Database 액세스 권한을 부여할 수 있습니다. 예를 들어 다음 명령은 이전 단계의 관리 ID를 myAzureSQLDBAccessGroup이라는 새 그룹에 추가합니다.

$groupid=(az ad group create --display-name myAzureSQLDBAccessGroup --mail-nickname myAzureSQLDBAccessGroup --query objectId --output tsv)
$msiobjectid=(az webapp identity show --resource-group myResourceGroup --name <app-name> --query principalId --output tsv)
az ad group member add --group $groupid --member-id $msiobjectid
az ad group member list -g $groupid

1. Cloud Shell에서 SQLCMD 명령을 사용하여 SQL Database에 로그인합니다. <server-name>을 서버 이름으로 바꾸고, <db-name>을 앱에서 사용하는 데이터베이스 이름으로 바꾸고, <aad-user-name> 및 <aad-password>를 Microsoft Entra 사용자의 자격 증명으로 바꿉니다.

   sqlcmd -S <server-name>.database.windows.net -d <db-name> -U <aad-user-name> -P "<aad-password>" -G -l 30
   

2. 원하는 데이터베이스에 대한 SQL 프롬프트에서 다음 명령을 실행하여 앱에 필요한 최소 권한을 부여합니다. 예를 들면 다음과 같습니다.

   CREATE USER [<identity-name>] FROM EXTERNAL PROVIDER;
   ALTER ROLE db_datareader ADD MEMBER [<identity-name>];
   ALTER ROLE db_datawriter ADD MEMBER [<identity-name>];
   ALTER ROLE db_ddladmin ADD MEMBER [<identity-name>];
   GO
   

   <identity-name>은 Microsoft Entra ID의 관리 ID 이름입니다. ID가 시스템 할당된 경우 이름은 App Service 앱의 이름과 항상 동일합니다. 배포 슬롯의 경우 시스템 할당 ID의 이름은 <app-name>/slots/<slot-name>입니다. Microsoft Entra 그룹에 대한 사용 권한을 부여하려면 대신 그룹의 표시 이름을 사용합니다(예: myAzureSQLDBAccessGroup).

3. EXIT를 입력하여 Cloud Shell 프롬프트로 돌아갑니다.

   참고 항목

   또한 관리 ID의 백 엔드 서비스는 만료된 경우에만 대상 리소스에 대한 토큰을 업데이트하는 토큰 캐시를 유지 관리합니다. SQL Database 사용 권한을 구성하는 실수를 하고 앱을 사용하여 토큰을 가져오려고 시도한 후에 사용 권한을 수정하려고 하는 경우 캐시된 토큰이 만료될 때까지 실제로 업데이트된 권한으로 새 토큰을 얻을 수 없습니다.

   참고 항목

   Microsoft Entra ID 및 관리 ID는 온-프레미스 SQL Server에서 지원되지 않습니다.

연결 문자열 수정

Web.config 또는 appsettings.json에서 변경한 내용은 관리 ID와 함께 작동하므로 Visual Studio가 처음으로 앱을 배포할 때 만든 기존 연결 문자열을 App Service에서 제거하기만 하면 됩니다. 다음 명령에서 <app-name>을 앱의 이름으로 바꾸어 사용합니다.

az webapp config connection-string delete --resource-group myResourceGroup --name <app-name> --setting-names MyDbConnection

5. 변경 내용 게시

이제 Azure에 변경 내용을 게시하면 됩니다.

ASP.NET

1. 자습서: SQL Database를 사용하여 Azure에서 ASP.NET 앱 빌드를 진행 중이었다면 Visual Studio에서 변경 내용을 게시합니다. 솔루션 탐색기에서 DotNetAppSqlDb 프로젝트를 마우스 오른쪽 단추로 클릭하고 게시를 선택합니다.

   

2. 게시 페이지에서 게시를 선택합니다.

   Important

   앱 서비스 이름이 기존 앱 등록과 일치하지 않는지 확인합니다. 이로 인해 보안 주체 ID가 충돌합니다.

ASP.NET Core

자습서: Azure App Service에서 ASP.NET Core 및 SQL Database 앱 빌드를 진행 중이었다면 다음 명령으로 Git을 사용하여 변경 내용을 게시합니다.

git commit -am "configure managed identity"
git push azure main

새 웹 페이지에 할 일 목록이 표시되면 앱이 관리 ID를 사용하여 데이터베이스에 연결합니다.

이제 이전처럼 할 일 목록을 편집할 수 있어야 합니다.

리소스 정리

이전 단계에서는 리소스 그룹에서 Azure 리소스를 만들었습니다. 나중에 이러한 리소스가 필요하지 않을 것 같으면 Cloud Shell에서 다음 명령을 실행하여 리소스 그룹을 삭제합니다.

az group delete --name myResourceGroup

이 명령을 실행하는 데 1분 정도 걸릴 수 있습니다.

다음 단계

학습한 내용은 다음과 같습니다.

• 관리 ID 사용
• 관리 ID에 SQL Database 액세스 권한 부여
• SQL Database에서 Microsoft Entra 인증을 사용하도록 Entity Framework 구성
• Visual Studio에서 Microsoft Entra 인증을 사용하여 SQL Database에 연결

 사용자 지정 도메인 및 인증서를 사용하여 보호

자습서: 로그인한 사용자를 대신하여 SQL Database에 App Service 앱 연결

자습서: 관리 ID를 사용하여 비밀 없이 App Service에서 Azure 데이터베이스에 연결

T자습서: 관리 ID를 지원하지 않는 Azure 서비스에 커넥트(Key Vault 사용)

자습서: Virtual Network 통합을 통해 백 엔드 통신 격리