Migrowanie aplikacji do używania połączeń bez hasła z usługą Azure Event Hubs

Żądania aplikacji do usług platformy Azure muszą być uwierzytelniane przy użyciu konfiguracji, takich jak klucze dostępu do konta lub połączenia bez hasła. Jednak w miarę możliwości należy określić priorytety połączeń bez hasła w aplikacjach. Tradycyjne metody uwierzytelniania korzystające z haseł lub kluczy tajnych tworzą zagrożenia bezpieczeństwa i komplikacje. Odwiedź centrum usług platformy Azure bez hasła, aby dowiedzieć się więcej o zaletach przechodzenia do połączeń bez hasła.

W poniższym samouczku wyjaśniono, jak przeprowadzić migrację istniejącej aplikacji w celu nawiązania połączenia przy użyciu połączeń bez hasła. Te same kroki migracji powinny mieć zastosowanie niezależnie od tego, czy używasz kluczy dostępu, parametry połączenia, czy innego podejścia opartego na wpisach tajnych.

Konfigurowanie lokalnego środowiska deweloperskiego

Połączenia bez hasła można skonfigurować tak, aby działały zarówno w środowiskach lokalnych, jak i hostowanych na platformie Azure. W tej sekcji zastosujesz konfiguracje, aby umożliwić poszczególnym użytkownikom uwierzytelnianie w usłudze Azure Event Hubs na potrzeby programowania lokalnego.

Przypisywanie ról użytkowników

Podczas tworzenia aplikacji lokalnie upewnij się, że konto użytkownika, które uzyskuje dostęp do usługi Azure Event Hubs, ma odpowiednie uprawnienia. Aby odczytywać i zapisywać dane, potrzebne będą role Odbiornik danych usługi Azure Event Hubs i Nadawca danych usługi Azure Event Hubs. Aby przypisać sobie tę rolę, musisz przypisać rolę Administracja istratora dostępu użytkowników lub inną rolę obejmującą akcję Microsoft.Authorization/roleAssignments/write. Role RBAC platformy Azure można przypisać użytkownikowi przy użyciu witryny Azure Portal, interfejsu wiersza polecenia platformy Azure lub programu Azure PowerShell. Dowiedz się więcej o dostępnych zakresach przypisań ról na stronie przeglądu zakresu.

W poniższym przykładzie przypisano role nadawcy danych usługi Azure Event Hubs i odbiorcy danych usługi Azure Event Hubs do konta użytkownika. Ta rola przyznaje dostęp do odczytu i zapisu komunikatom centrum zdarzeń.

Witryna Azure Portal

1. W witrynie Azure Portal znajdź centrum zdarzeń przy użyciu głównego paska wyszukiwania lub nawigacji po lewej stronie.

2. Na stronie przeglądu centrum zdarzeń wybierz pozycję Kontrola dostępu (Zarządzanie dostępem i tożsamościami) z menu po lewej stronie.

3. Na stronie Kontrola dostępu (Zarządzanie dostępem i tożsamościami) wybierz kartę Przypisania ról.

4. Wybierz pozycję + Dodaj z górnego menu, a następnie pozycję Dodaj przypisanie roli z wyświetlonego menu rozwijanego.

   

5. Użyj pola wyszukiwania, aby filtrować wyniki do żądanej roli. W tym przykładzie wyszukaj pozycję Nadawca danych usługi Azure Event Hubs i wybierz pasujący wynik, a następnie wybierz pozycję Dalej.

6. W obszarze Przypisz dostęp do wybierz pozycję Użytkownik, grupa lub jednostka usługi, a następnie wybierz pozycję + Wybierz członków.

7. W oknie dialogowym wyszukaj nazwę użytkownika firmy Microsoft Entra (zazwyczaj adres e-mail user@domain ), a następnie wybierz pozycję Wybierz w dolnej części okna dialogowego.

8. Wybierz pozycję Przejrzyj i przypisz , aby przejść do ostatniej strony, a następnie ponownie przejrzyj i przypisz, aby ukończyć proces.

9. Powtórz te kroki dla roli odbiornika danych usługi Azure Event Hubs, aby umożliwić kontu wysyłanie i odbieranie komunikatów.

Interfejs wiersza polecenia platformy Azure

Aby przypisać rolę na poziomie zasobu przy użyciu interfejsu wiersza polecenia platformy Azure, należy najpierw pobrać identyfikator zasobu przy użyciu az eventhubs eventhub show polecenia . Właściwości wyjściowe można filtrować przy użyciu parametru --query .

az eventhubs eventhub show \
    --resource-group '<your-resource-group-name>' \
    --namespace-name '<your-event-hubs-namespace>' \
    --name '<your-event-hub-name>' \
    --query id

Skopiuj dane wyjściowe Id z poprzedniego polecenia. Następnie możesz przypisać role przy użyciu polecenia az role interfejsu wiersza polecenia platformy Azure.

az role assignment create --assignee "<user@domain>" \
    --role "Azure Event Hubs Data Receiver" \
    --scope "<your-resource-id>"

az role assignment create --assignee "<user@domain>" \
    --role "Azure Event Hubs Data Sender" \
    --scope "<your-resource-id>"

Program PowerShell

Aby przypisać rolę na poziomie zasobu przy użyciu programu Azure PowerShell, należy najpierw pobrać identyfikator zasobu przy użyciu Get-AzResource polecenia .

Get-AzResource -ResourceGroupName "<yourResourceGroupname>" -Name "<yourEventHubsNamespace>"

Id Skopiuj wartość z powyższych danych wyjściowych polecenia. Następnie można przypisać role przy użyciu polecenia New-AzRoleAssignment w programie PowerShell.

New-AzRoleAssignment -SignInName <user@domain> `
    -RoleDefinitionName "Azure Event Hubs Data Receiver" `
    -Scope <yourEventHubsId>

New-AzRoleAssignment -SignInName <user@domain> `
    -RoleDefinitionName "Azure Event Hubs Data Sender" `
    -Scope <yourEventHubsId>

Ważne

W większości przypadków propagowanie przypisania roli na platformie Azure potrwa minutę lub dwie, ale w rzadkich przypadkach może upłynąć do ośmiu minut. Jeśli podczas pierwszego uruchomienia kodu wystąpią błędy uwierzytelniania, zaczekaj chwilę i spróbuj ponownie.

Logowanie do platformy Azure lokalnie

W przypadku programowania lokalnego upewnij się, że uwierzytelniasz się przy użyciu tego samego konta Microsoft Entra, do którego przypisano rolę. Możesz uwierzytelnić się za pomocą popularnych narzędzi programistycznych, takich jak interfejs wiersza polecenia platformy Azure lub program Azure PowerShell. Narzędzia programistyczne, za pomocą których można uwierzytelniać się w różnych językach.

Interfejs wiersza polecenia platformy Azure

Zaloguj się do platformy Azure za pomocą interfejsu wiersza polecenia platformy Azure przy użyciu następującego polecenia:

az login

Program Visual Studio

Wybierz przycisk Zaloguj się w prawym górnym rogu programu Visual Studio.

Zaloguj się przy użyciu konta Microsoft Entra, do którego przypisano wcześniej rolę.

Visual Studio Code

Aby pracować z DefaultAzureCredential programem Visual Studio Code, musisz zainstalować interfejs wiersza polecenia platformy Azure.

W menu głównym programu Visual Studio Code przejdź do pozycji Terminal New Terminal (Nowy > terminal).

Zaloguj się do platformy Azure za pomocą interfejsu wiersza polecenia platformy Azure przy użyciu następującego polecenia:

az login

Program PowerShell

Zaloguj się do platformy Azure przy użyciu programu PowerShell za pomocą następującego polecenia:

Connect-AzAccount

Aktualizowanie kodu aplikacji w celu używania połączeń bez hasła

Biblioteka klienta tożsamości platformy Azure dla każdego z następujących ekosystemów udostępnia klasę DefaultAzureCredential , która obsługuje uwierzytelnianie bez hasła na platformie Azure:

• .NET
• C++
• Przejdź
• Java
• Node.js
• Python

DefaultAzureCredential obsługuje wiele metod uwierzytelniania. Metoda do użycia jest określana w czasie wykonywania. Takie podejście umożliwia aplikacji używanie różnych metod uwierzytelniania w różnych środowiskach (lokalnych i produkcyjnych) bez implementowania kodu specyficznego dla środowiska. Zapoznaj się z powyższymi linkami dla kolejności i lokalizacji, w których DefaultAzureCredential szuka poświadczeń.

.NET

1. Aby użyć DefaultAzureCredential w aplikacji .NET, zainstaluj Azure.Identity pakiet:

   dotnet add package Azure.Identity
   

2. W górnej części pliku dodaj następujący kod:

   using Azure.Identity;
   

3. Zidentyfikuj lokalizacje w kodzie, które tworzą obiekt lub EventProcessorClient w celu nawiązania połączenia z usługą EventHubProducerClient Azure Event Hubs. Zaktualizuj kod, aby był zgodny z następującym przykładem:

   DefaultAzureCredential credential = new();
   var eventHubNamespace = $"https://{namespace}.servicebus.windows.net";
   
   // Event Hubs producer
   EventHubProducerClient producerClient = new(
       eventHubNamespace,
       eventHubName,
       credential);
   
   // Event Hubs processor
   EventProcessorClient processorClient = new(
       storageClient,
       EventHubConsumerClient.DefaultConsumerGroupName,
       eventHubNamespace,
       eventHubName,
       credential);
   

Przejdź

1. Aby użyć DefaultAzureCredential w aplikacji Języka Go, zainstaluj azidentity moduł:

   go get -u github.com/Azure/azure-sdk-for-go/sdk/azidentity
   

2. W górnej części pliku dodaj następujący kod:

   import (
       "github.com/Azure/azure-sdk-for-go/sdk/azidentity"
   )
   

3. Zidentyfikuj lokalizacje w kodzie, które tworzą wystąpienie lub ConsumerClient w celu nawiązania połączenia z usługą ProducerClient Azure Event Hubs. Zaktualizuj kod, aby był zgodny z następującym przykładem:

   credential, err := azidentity.NewDefaultAzureCredential(nil)
   eventHubNamespace := fmt.Sprintf(
       "https://%s.servicebus.windows.net",
       namespace)
   
   if err != nil {
       // handle error
   }
   
   // Event Hubs producer
   producerClient, err = azeventhubs.NewProducerClient(
       eventHubNamespace,
       eventHubName,
       credential,
       nil)
   
   if err != nil {
       // handle error
   }
   
   // Event Hubs processor
   processorClient, err = azeventhubs.NewConsumerClient(
       eventHubNamespace,
       eventHubName,
       azeventhubs.DefaultConsumerGroup,
       credential,
       nil)
   
   if err != nil {
       // handle error
   }
   

Java

1. Aby użyć DefaultAzureCredential go w aplikacji Java, zainstaluj azure-identity pakiet za pomocą jednego z następujących podejść:

   1. Uwzględnij plik BOM.
   2. Uwzględnij zależność bezpośrednią.

2. W górnej części pliku dodaj następujący kod:

   import com.azure.identity.DefaultAzureCredentialBuilder;
   

3. Zidentyfikuj lokalizacje w kodzie, które tworzą obiekt lub EventProcessorClient w celu nawiązania połączenia z usługą EventHubProducerClient Azure Event Hubs. Zaktualizuj kod, aby był zgodny z następującym przykładem:

   DefaultAzureCredential credential = new DefaultAzureCredentialBuilder()
       .build();
   String eventHubNamespace = "https://" + namespace + ".servicebus.windows.net";
   
   // Event Hubs producer
   EventHubProducerClient producerClient = new EventHubClientBuilder()
       .credential(eventHubNamespace, eventHubName, credential)
       .buildProducerClient();
   
   // Event Hubs processor
   EventProcessorClient processorClient = new EventProcessorClientBuilder()
       .consumerGroup(consumerGroupName)
       .credential(eventHubNamespace, eventHubName, credential)
       .checkpointStore(new SampleCheckpointStore())
       .processEvent(eventContext -> {
           System.out.println(
               "Partition ID = " +
               eventContext.getPartitionContext().getPartitionId() +
               " and sequence number of event = " +
               eventContext.getEventData().getSequenceNumber());
       })
       .processError(errorContext -> {
           System.out.println(
               "Error occurred while processing events " +
               errorContext.getThrowable().getMessage());
       })
       .buildEventProcessorClient();
   

Node.js

1. Aby użyć DefaultAzureCredential w aplikacji Node.js, zainstaluj @azure/identity pakiet:

   npm install --save @azure/identity
   

2. W górnej części pliku dodaj następujący kod:

   import { DefaultAzureCredential } from "@azure/identity";
   

3. Zidentyfikuj lokalizacje w kodzie, które tworzą obiekt lub EventHubConsumerClient w celu nawiązania połączenia z usługą EventHubProducerClient Azure Event Hubs. Zaktualizuj kod, aby był zgodny z następującym przykładem:

   const credential = new DefaultAzureCredential();
   const eventHubNamespace = `https://${namespace}.servicebus.windows.net`;
   
   // Event Hubs producer    
   const producerClient = new EventHubProducerClient(
       eventHubNamespace,
       eventHubName,
       credential);
   
   // Event Hubs processor
   const processorClient = new EventHubConsumerClient(
       consumerGroupName,
       eventHubNamespace,
       eventHubName,
       credential
   );
   

Python

1. Aby użyć DefaultAzureCredential w aplikacji języka Python, zainstaluj azure-identity pakiet:

   pip install azure-identity
   

2. W górnej części pliku dodaj następujący kod:

   from azure.identity import DefaultAzureCredential
   

3. Zidentyfikuj lokalizacje w kodzie, które tworzą obiekt lub EventHubConsumerClient w celu nawiązania połączenia z usługą EventHubProducerClient Azure Event Hubs. Zaktualizuj kod, aby był zgodny z następującym przykładem:

   credential = DefaultAzureCredential()
   event_hub_namespace = "https://%s.servicebus.windows.net" % namespace
   
   # Event Hubs producer
   producer_client = EventHubProducerClient(
       fully_qualified_namespace = event_hub_namespace,
       eventhub_name = event_hub_name,
       credential = credential
   )
   
   # Event Hubs processor
   processor_client = EventHubConsumerClient(
       fully_qualified_namespace = event_hub_namespace,
       eventhub_name = event_hub_name,
       consumer_group = "$Default",
       checkpoint_store = checkpoint_store,
       credential = credential
   )
   

4. Pamiętaj, aby zaktualizować przestrzeń nazw centrów zdarzeń w identyfikatorze URI obiektów EventHubProducerClient lub EventProcessorClient . Nazwę przestrzeni nazw można znaleźć na stronie przeglądu witryny Azure Portal.

   

Lokalne uruchamianie aplikacji

Po wprowadzeniu tych zmian w kodzie uruchom aplikację lokalnie. Nowa konfiguracja powinna pobierać poświadczenia lokalne, takie jak interfejs wiersza polecenia platformy Azure, program Visual Studio lub IntelliJ. Role przypisane do użytkownika na platformie Azure umożliwiają aplikacji nawiązywanie połączenia z usługą platformy Azure lokalnie.

Konfigurowanie środowiska hostingu platformy Azure

Po skonfigurowaniu aplikacji do korzystania z połączeń bez hasła i uruchamianiu lokalnie ten sam kod może uwierzytelniać się w usługach platformy Azure po jej wdrożeniu na platformie Azure. W poniższych sekcjach opisano sposób konfigurowania wdrożonej aplikacji w celu nawiązania połączenia z usługą Azure Event Hubs przy użyciu tożsamości zarządzanej. Tożsamości zarządzane zapewniają automatycznie zarządzaną tożsamość w usłudze Microsoft Entra ID, której aplikacje mogą używać podczas łączenia się z zasobami obsługującymi uwierzytelnianie usługi Microsoft Entra. Dowiedz się więcej o tożsamościach zarządzanych:

• Omówienie bez hasła
• Najlepsze rozwiązania dotyczące tożsamości zarządzanej

Tworzenie tożsamości zarządzanej

Tożsamość zarządzaną przypisaną przez użytkownika można utworzyć przy użyciu witryny Azure Portal lub interfejsu wiersza polecenia platformy Azure. Aplikacja używa tożsamości do uwierzytelniania w innych usługach.

Witryna Azure Portal

1. W górnej części witryny Azure Portal wyszukaj pozycję Tożsamości zarządzane. Wybierz wynik tożsamości zarządzanych.
2. Wybierz pozycję + Utwórz w górnej części strony przeglądu tożsamości zarządzanych .
3. Na karcie Podstawy wprowadź następujące wartości:
   • Subskrypcja: wybierz żądaną subskrypcję.
   • Grupa zasobów: wybierz żądaną grupę zasobów.
   • Region: wybierz region w pobliżu lokalizacji.
   • Nazwa: wprowadź rozpoznawalną nazwę tożsamości, taką jak MigrationIdentity.
4. Wybierz pozycję Przejrzyj i utwórz w dolnej części strony.
5. Po zakończeniu sprawdzania poprawności wybierz pozycję Utwórz. Platforma Azure tworzy nową tożsamość przypisaną przez użytkownika.

Po utworzeniu zasobu wybierz pozycję Przejdź do zasobu , aby wyświetlić szczegóły tożsamości zarządzanej.

Interfejs wiersza polecenia platformy Azure

Użyj polecenia az identity create, aby utworzyć tożsamość zarządzaną przypisaną przez użytkownika:

az identity create --name MigrationIdentity --resource-group <your-resource-group>

Kojarzenie tożsamości zarządzanej z aplikacją internetową

Musisz skonfigurować aplikację internetową tak, aby korzystała z utworzonej tożsamości zarządzanej. Przypisz tożsamość do aplikacji przy użyciu witryny Azure Portal lub interfejsu wiersza polecenia platformy Azure.

Witryna Azure Portal

Wykonaj następujące kroki w witrynie Azure Portal, aby skojarzyć tożsamość z aplikacją. Te same kroki dotyczą następujących usług platformy Azure:

• Azure Spring Apps
• Azure Container Apps
• Maszyny wirtualne platformy Azure
• Azure Kubernetes Service

1. Przejdź do strony przeglądu aplikacji internetowej.

2. Wybierz pozycję Tożsamość w obszarze nawigacji po lewej stronie.

3. Na stronie Tożsamość przejdź do karty Przypisane przez użytkownika.

4. Wybierz pozycję + Dodaj, aby otworzyć okno wysuwane Dodawanie tożsamości zarządzanej przypisanej przez użytkownika.

5. Wybierz subskrypcję użytą wcześniej do utworzenia tożsamości.

6. Wyszukaj pozycję MigrationIdentity według nazwy i wybierz ją z wyników wyszukiwania.

7. Wybierz pozycję Dodaj , aby skojarzyć tożsamość z aplikacją.

   

Interfejs wiersza polecenia platformy Azure

Użyj następujących poleceń interfejsu wiersza polecenia platformy Azure, aby skojarzyć tożsamość z aplikacją:

Pobierz identyfikator tożsamości zarządzanej utworzonej przy użyciu polecenia az identity show . Skopiuj wartość wyjściową do użycia w następnym kroku.

az identity show --name MigrationIdentity -g <your-identity-resource-group-name> --query id

Azure App Service

Tożsamość zarządzaną można przypisać do wystąpienia usługi aplikacja systemu Azure za pomocą polecenia az webapp identity assign.

az webapp identity assign \
    --resource-group <resource-group-name> \
    --name <webapp-name>
    --identities <managed-identity-id>

Azure Spring Apps

Tożsamość zarządzaną można przypisać do wystąpienia usługi Azure Spring Apps za pomocą polecenia az spring app identity assign .

az spring app identity assign \
    --resource-group <resource-group-name> \
    --name <app-name> \
    --service <service-name>
    --user-assigned <managed-identity-id>

Azure Container Apps

Tożsamość zarządzaną można przypisać do maszyny wirtualnej za pomocą polecenia az containerapp identity assign .

az containerapp identity assign \
    --resource-group <resource-group-name> \
    --name <app-name>
    --user-assigned <managed-identity-id>

Maszyny wirtualne platformy Azure

Tożsamość zarządzaną można przypisać do maszyny wirtualnej za pomocą polecenia az vm identity assign .

az vm identity assign \
    --resource-group <resource-group-name> \
    --name <virtual-machine-name>
    --identities <managed-identity-id>

Azure Kubernetes Service

Tożsamość zarządzaną można przypisać do wystąpienia usługi Azure Kubernetes Service (AKS) za pomocą polecenia az aks update .

az aks update \
    --resource-group <resource-group-name> \
    --name <cluster-name> \
    --enable-managed-identity \
    --assign-identity <managed-identity-id> \
    --assign-kubelet-identity <managed-identity-id>

Połączenie or usługi

Za pomocą Połączenie usługi można utworzyć połączenie między środowiskiem hostingu obliczeniowego platformy Azure i usługą docelową przy użyciu interfejsu wiersza polecenia platformy Azure. Polecenia interfejsu wiersza polecenia usługi Połączenie or automatycznie przypisują odpowiednią rolę do tożsamości. Więcej informacji na temat usługi service Połączenie or i scenariuszy obsługiwanych na stronie przeglądu.

1. Pobierz identyfikator klienta tożsamości zarządzanej utworzonej az identity show przy użyciu polecenia . Skopiuj wartość, aby móc ją później wykorzystać.

   az identity show \
       --name MigrationIdentity \
       --resource-group <your-resource-group> \
       --query clientId
   

2. Użyj odpowiedniego polecenia interfejsu wiersza polecenia, aby ustanowić połączenie z usługą:

   Azure App Service

   Jeśli używasz usługi aplikacja systemu Azure, użyj polecenia az webapp connection:

   az webapp connection create eventhub \
       --resource-group <resource-group-name> \
       --name <webapp-name> \
       --target-resource-group <target-resource-group-name> \
       --account <target-event-hub-namespace> \
       --user-identity "client-id=<your-identity-client-id>" "subs-id=<your-subscription-id>"
   

   Azure Spring Apps

   Jeśli używasz usługi Azure Spring Apps, użyj polecenia az spring-cloud connection :

   az spring-cloud connection create eventhub \
       --resource-group <resource-group-name> \
       --service <service-instance-name> \
       --app <app-name> \
       --deployment <deployment-name> \
       --target-resource-group <target-resource-group> \
       --account <target-event-hub-namespace> \
       --user-identity "client-id=<your-identity-client-id>" "subs-id=<your-subscription-id>"
   

   Azure Container Apps

   Jeśli używasz usługi Azure Container Apps, użyj polecenia az containerapp connection :

   az containerapp connection create eventhub \
       --resource-group <resource-group-name> \
       --name <containerapp-name> \
       --target-resource-group <target-resource-group> \
       --account <target-event-hub-namespace> \
       --user-identity "client-id=<your-identity-client-id>" "subs-id=<your-subscription-id>"
   

Przypisywanie ról do tożsamości zarządzanej

Następnie należy udzielić uprawnień do tożsamości zarządzanej utworzonej w celu uzyskania dostępu do centrum zdarzeń. Udziel uprawnień, przypisując rolę do tożsamości zarządzanej, podobnie jak w przypadku lokalnego użytkownika dewelopera.

Witryna Azure Portal

1. Przejdź do strony przeglądu centrum zdarzeń i wybierz pozycję Kontrola dostępu (Zarządzanie dostępem i tożsamościami) w obszarze nawigacji po lewej stronie.

2. Wybierz pozycję Dodaj przypisanie roli

   

3. W polu wyszukiwania Rola wyszukaj pozycję Nadawca danych usługi Azure Event Hubs, który jest wspólną rolą służącą do zarządzania operacjami danych dla kolejek. Możesz przypisać dowolną rolę odpowiednią dla danego przypadku użycia. Wybierz nadawcę danych usługi Azure Event Hubs z listy, a następnie wybierz pozycję Dalej.

4. Na ekranie Dodawanie przypisania roli dla opcji Przypisz dostęp do wybierz pozycję Tożsamość zarządzana. Następnie wybierz pozycję +Wybierz członków.

5. W oknie wysuwaym wyszukaj tożsamość zarządzaną utworzoną według nazwy i wybierz ją z wyników. Wybierz pozycję Wybierz , aby zamknąć menu wysuwane.

   

6. Wybierz pozycję Dalej kilka razy, dopóki nie będzie można wybrać pozycji Przejrzyj i przypisz , aby zakończyć przypisanie roli.

7. Powtórz te kroki dla roli odbiornika danych usługi Azure Event Hub.

Interfejs wiersza polecenia platformy Azure

Aby przypisać rolę na poziomie zasobu przy użyciu interfejsu wiersza polecenia platformy Azure, należy najpierw pobrać identyfikator zasobu przy użyciu az eventhubs eventhub show polecenia show. Właściwości wyjściowe można filtrować przy użyciu parametru --query .

az eventhubs eventhub show \
    --resource-group '<your-resource-group-name>' \
    --namespace-name '<your-event-hubs-namespace>' \
    --name '<your-event-hub-name>' \
    --query id

Skopiuj identyfikator wyjściowy z poprzedniego polecenia. Następnie możesz przypisać role przy użyciu polecenia az role assignment interfejsu wiersza polecenia platformy Azure.

az role assignment create --assignee "<user@domain>" \
    --role "Azure Event Hubs Data Receiver" \
    --scope "<your-resource-id>"

az role assignment create --assignee "<user@domain>" \
    --role "Azure Event Hubs Data Sender" \
    --scope "<your-resource-id>"

Połączenie or usługi

Jeśli połączono usługi przy użyciu usługi service Połączenie or, nie musisz wykonywać tego kroku. Niezbędne konfiguracje ról były obsługiwane podczas uruchamiania poleceń interfejsu wiersza polecenia usługi Połączenie or.

Aktualizowanie kodu aplikacji

Należy skonfigurować kod aplikacji, aby wyszukać określoną tożsamość zarządzaną utworzoną podczas wdrażania na platformie Azure. W niektórych scenariuszach jawne ustawienie tożsamości zarządzanej aplikacji zapobiega również przypadkowemu wykryciu i użyciu innych tożsamości środowiska.

1. Na stronie przeglądu tożsamości zarządzanej skopiuj wartość identyfikatora klienta do schowka.

2. Zastosuj następujące zmiany specyficzne dla języka:

   .NET

   DefaultAzureCredentialOptions Utwórz obiekt i przekaż go do DefaultAzureCredentialobiektu . Ustaw właściwość ManagedIdentityClientId na identyfikator klienta.

   DefaultAzureCredential credential = new(
       new DefaultAzureCredentialOptions
       {
           ManagedIdentityClientId = managedIdentityClientId
       });
   

   Przejdź

   Ustaw zmienną AZURE_CLIENT_ID środowiskową na identyfikator klienta tożsamości zarządzanej. DefaultAzureCredential odczytuje tę zmienną środowiskową.

   Java

   Wywołaj metodę managedIdentityClientId . Przekaż do niego identyfikator klienta.

   DefaultAzureCredential credential = new DefaultAzureCredentialBuilder()
       .managedIdentityClientId(managedIdentityClientId)
       .build();
   

   Node.js

   DefaultAzureCredentialClientIdOptions Utwórz obiekt z właściwością managedIdentityClientId ustawioną na identyfikator klienta. Przekaż ten obiekt do konstruktora DefaultAzureCredential .

   const credential = new DefaultAzureCredential({
     managedIdentityClientId
   });
   

   Python

   DefaultAzureCredential Ustaw parametr managed_identity_client_id konstruktora na identyfikator klienta.

   credential = DefaultAzureCredential(
       managed_identity_client_id = managed_identity_client_id
   )
   

3. Ponownie wdróż kod na platformie Azure po wprowadzeniu tej zmiany w celu zastosowania aktualizacji konfiguracji.

Testowanie aplikacji

Po wdrożeniu zaktualizowanego kodu przejdź do hostowanej aplikacji w przeglądarce. Aplikacja powinna mieć możliwość pomyślnego nawiązania połączenia z centrum zdarzeń. Należy pamiętać, że propagowanie przypisań ról za pośrednictwem środowiska platformy Azure może potrwać kilka minut. Aplikacja jest teraz skonfigurowana do uruchamiania zarówno lokalnie, jak i w środowisku produkcyjnym bez konieczności zarządzania wpisami tajnymi w samej aplikacji.

Następne kroki

W tym samouczku przedstawiono sposób migrowania aplikacji do połączeń bez hasła.

Aby zapoznać się z pojęciami omówionymi w tym artykule, zapoznaj się z następującymi zasobami:

• Połączenia bez hasła dla usług platformy Azure
• Aby dowiedzieć się więcej na temat platformy .NET, zobacz Wprowadzenie do platformy .NET w ciągu 10 minut.