Identidades gerenciadas nos Aplicativos de Contêiner do Azure

Uma identidade gerenciada do Microsoft Entra ID permite que seu aplicativo contêiner acesse outros recursos protegidos pelo Microsoft Entra. Para saber mais sobre identidades gerenciadas no Microsoft Entra ID, confira Identidades gerenciadas para recursos do Azure.

Seu aplicativo de contêiner pode receber dois tipos de identidades:

• Uma identidade atribuída pelo sistema é vinculada ao aplicativo de contêiner e é excluída quando o aplicativo de contêiner for excluído. Um aplicativo só pode ter uma identidade atribuída pelo sistema.
• Uma identidade atribuída pelo usuário é um recurso independente do Azure que você pode atribuir ao aplicativo contêiner e a outros recursos. Um aplicativo de contêiner pode ter várias identidades atribuídas pelo usuário. As identidades atribuídas pelo usuário existem até que você as exclua.

Por que usar uma identidade gerenciada?

Você pode usar uma identidade gerenciada em um aplicativo contêiner para autenticar em qualquer serviço que dê suporte à autenticação do Microsoft Entra.

Com identidades gerenciadas:

• Seu aplicativo se conecta a recursos com a identidade gerenciada. Você não precisa gerenciar credenciais no aplicativo de contêiner.
• Você pode usar o controle de acesso baseado em função para conceder permissões específicas a uma identidade gerenciada.
• As identidades atribuídas pelo sistema são criadas e gerenciadas automaticamente. Elas são excluídas quando o aplicativo de contêiner é excluído.
• Você pode adicionar e excluir identidades atribuídas pelo usuário e atribuí-las a vários recursos. Elas são independentes do ciclo de vida do aplicativo contêiner.
• Você pode usar a identidade gerenciada para autenticar com um Registro de Contêiner do Azure privado sem um nome de usuário e senha para baixar contêineres para seu aplicativo contêiner.
• Você pode usar uma identidade gerenciada para criar conexões para aplicativos habilitados para Dapr por meio de componentes da Dapr

Casos de uso comuns

As identidades atribuídas pelo sistema são melhores para cargas de trabalho que:

• estejam contidas em um único recurso
• precisem de identidades independentes

As identidades atribuídas pelo usuário são ideais para cargas de trabalho que:

• sejam executadas em vários recursos e que possam compartilhar uma só identidade
• precisem de pré-autorização para um recurso seguro

Limitações

• Não há suporte para identidades gerenciadas em regras de escala. Você precisa incluir cadeias de conexão ou chaves na regra de dimensionamento secretRef.
• Contêineres de inicialização não podem acessar identidades gerenciadas.

Configurar identidades gerenciadas

Você pode configurar suas identidades gerenciadas por meio de:

• o portal do Azure
• a CLI do Azure
• seu modelo do ARM (Azure Resource Manager)

Quando uma identidade gerenciada é adicionada, excluída ou modificada em um aplicativo de contêiner em execução, o aplicativo não é reiniciado automaticamente e uma nova revisão não é criada.

Observação

Ao adicionar uma identidade gerenciada a um aplicativo de contêiner implantado antes de 11 de abril de 2022, você deve criar uma nova revisão.

Adicionar uma identidade atribuída pelo sistema

Portal do Azure

1. Vá para o aplicativo de contêiner no portal do Azure.

2. No grupo Configurações, selecione Identidade.

3. Na guia Sistema atribuído, alterne o Status para Ligado.

4. Selecione Salvar.

CLI do Azure

Execute o comando az containerapp identity assign para criar uma identidade atribuída pelo sistema:

az containerapp identity assign --name myApp --resource-group myResourceGroup --system-assigned

Modelo de ARM

Um modelo do ARM pode ser usado para automatizar a implantação do aplicativo de contêiner e dos recursos. Para adicionar uma identidade atribuída pelo sistema, adicione uma seção identity ao modelo do ARM.

"identity": {
    "type": "SystemAssigned"
}

Adicionar o tipo atribuído pelo sistema diz ao Azure para criar e gerenciar a identidade do seu aplicativo. Para obter um exemplo completo de modelo do ARM, consulte Especificação de API do ARM.

YAML

Alguns comandos da CLI do Azure, incluindo az containerapp create e az containerapp job create, dão suporte a arquivos YAML como entrada. Para adicionar uma identidade atribuída pelo sistema, adicione uma seção identity ao arquivo YAML.

identity:
  type: SystemAssigned

Adicionar o tipo atribuído pelo sistema diz ao Azure para criar e gerenciar a identidade do seu aplicativo. Para obter um exemplo de modelo YAML completo, consulte Especificação da API do ARM.

Bicep

Um modelo do Bicep pode ser usado para automatizar a implantação do aplicativo e dos recursos do contêiner. Para adicionar uma identidade atribuída pelo sistema, adicione uma seção identity ao seu modelo Bicep.

identity: {
  type: 'SystemAssigned'
}

Adicionar o tipo atribuído pelo sistema diz ao Azure para criar e gerenciar a identidade do seu aplicativo. Para obter um exemplo completo de modelo do Bicep, consulte Microsoft.App containerApps Bicep, modelo do ARM e referência Terraform AzAPI.

Adicionar uma identidade atribuída pelo usuário

Configurar um aplicativo de contêiner com uma identidade atribuída pelo usuário requer que você primeiro crie a identidade e adicione seu identificador de recurso à configuração do aplicativo de contêiner. Você pode criar identidades atribuídas pelo usuário por meio do portal do Azure ou da CLI do Azure. Para obter informações sobre como criar e gerenciar identidades atribuídas pelo usuário, consulte Gerenciar identidades gerenciadas atribuídas pelo usuário.

Portal do Azure

Primeiro, você precisará criar um recurso de identidade atribuído pelo usuário.

1. Crie um recurso de identidade gerenciada atribuída pelo usuário de acordo com as etapas encontradas em Gerenciar identidades gerenciadas atribuídas pelo usuário.

2. Vá para o aplicativo de contêiner no portal do Azure.

3. No grupo Configurações, selecione Identidade.

4. Na guia Usuário atribuído, selecione Adicionar.

5. Procure e selecione a identidade que você criou anteriormente.

6. Selecione Adicionar.

CLI do Azure

1. Crie uma identidade atribuída pelo usuário.

   az identity create --resource-group <GROUP_NAME> --name <IDENTITY_NAME> --output json
   

   Observe a propriedade id da nova identidade.

2. Execute o comando az containerapp identity assign para atribuir a identidade ao aplicativo. O parâmetro de identidades é uma lista separada por espaço.

   az containerapp identity assign --resource-group <GROUP_NAME> --name <APP_NAME> \
       --user-assigned <IDENTITY_RESOURCE_ID>
   

   Substitua <IDENTITY_RESOURCE_ID> pela propriedade id da identidade. Para atribuir mais de uma identidade atribuída pelo usuário, forneça uma lista separada por espaço de IDs de identidade ao parâmetro --user-assigned.

Modelo de ARM

Para adicionar uma ou mais identidades atribuídas pelo usuário, adicione uma seção identity ao modelo do ARM. Substitua <IDENTITY1_RESOURCE_ID> e <IDENTITY2_RESOURCE_ID> pelos identificadores de recurso das identidades que você deseja adicionar.

Especifique cada identidade atribuída pelo usuário adicionando um item ao objeto userAssignedIdentities com o identificador de recurso da identidade como chave. Use um objeto vazio como valor.

"identity": {
    "type": "UserAssigned",
    "userAssignedIdentities": {
        "<IDENTITY1_RESOURCE_ID>": {},
        "<IDENTITY2_RESOURCE_ID>": {}
    }
}

Para obter um exemplo completo de modelo do ARM, consulte Especificação de API do ARM.

Observação

Um aplicativo pode ter identidades atribuídas pelo sistema e atribuídas pelo usuário ao mesmo tempo. Nesse caso, o valor da propriedade type seria SystemAssigned,UserAssigned.

YAML

Para adicionar uma ou mais identidades atribuídas pelo usuário, adicione uma seção identity ao arquivo de configuração YAML. Substitua <IDENTITY1_RESOURCE_ID> e <IDENTITY2_RESOURCE_ID> pelos identificadores de recurso das identidades que você deseja adicionar.

Especifique cada identidade atribuída pelo usuário adicionando um item ao objeto userAssignedIdentities com o identificador de recurso da identidade como chave. Use um objeto vazio como valor.

identity:
    type: UserAssigned
    userAssignedIdentities:
        <IDENTITY1_RESOURCE_ID>: {}
        <IDENTITY2_RESOURCE_ID>: {}

Para obter um exemplo de modelo YAML completo, consulte Especificação da API do ARM.

Observação

Um aplicativo pode ter identidades atribuídas pelo sistema e atribuídas pelo usuário ao mesmo tempo. Nesse caso, a propriedade type seria SystemAssigned,UserAssigned.

Bicep

Para adicionar uma ou mais identidades atribuídas pelo usuário, adicione uma seção identity ao seu modelo Bicep. Substitua <IDENTITY1_RESOURCE_ID> e <IDENTITY2_RESOURCE_ID> pelos identificadores de recurso das identidades que você deseja adicionar.

Especifique cada identidade atribuída pelo usuário adicionando um item ao objeto userAssignedIdentities com o identificador de recurso da identidade como chave. Use um objeto vazio como valor.

identity: {
  type: 'UserAssigned'
  userAssignedIdentities: {
    <IDENTITY1_RESOURCE_ID>: {}
    <IDENTITY2_RESOURCE_ID>: {}
  }
}

Para obter um exemplo completo de modelo do Bicep, consulte Microsoft.App containerApps Bicep, modelo do ARM e referência Terraform AzAPI.

Observação

Um aplicativo pode ter identidades atribuídas pelo sistema e atribuídas pelo usuário ao mesmo tempo. Nesse caso, a propriedade type seria SystemAssigned,UserAssigned.

Configurar um recurso de destino

Para alguns recursos, você precisará configurar atribuições de função para a identidade gerenciada do aplicativo a fim de conceder acesso. Caso contrário, as chamadas do seu aplicativo a serviços, como o Azure Key Vault e o Banco de Dados SQL do Azure, são rejeitadas mesmo quando você use um token válido para essa identidade. Para saber mais sobre o RBAC do Azure (controle de acesso baseado em função do Azure), consulte O que é o RBAC?. Para saber mais sobre quais recursos dão suporte a tokens do Microsoft Entra, consulte os Serviços do Azure que dão suporte à autenticação do Microsoft Entra.

Importante

Os serviços de back-end para identidades gerenciadas mantêm um cache por URI de recurso por cerca de 24 horas. Se você atualizar a política de acesso de um recurso de destino específico e recuperar imediatamente um token para esse recurso, você poderá continuar a obter um token em cache com permissões desatualizadas até que esse token expire. Não há suporte para forçar uma atualização de token.

Conectar-se aos serviços do Azure no código do aplicativo

Com identidades gerenciadas, um aplicativo pode obter tokens para acessar recursos do Azure que usam o Microsoft Entra ID, como o Banco de Dados SQL do Azure, o Azure Key Vault e o Armazenamento do Azure. Esses tokens representam o acesso do aplicativo ao recurso e não um usuário específico do aplicativo.

Os Aplicativos de Contêiner fornecem um ponto de extremidade REST acessível internamente para recuperar tokens. O ponto de extremidade REST está disponível de dentro do aplicativo com uma solicitação GET HTTP padrão, que você pode enviar com um cliente HTTP genérico na sua linguagem preferida. Para .NET, JavaScript, Java e Python, a biblioteca de clientes da Identidade do Azure fornece uma abstração desse ponto de extremidade REST. Você pode se conectar a outros serviços do Azure adicionando um objeto de credencial ao cliente específico do serviço.

Observação

Ao usar a biblioteca de clientes da Identidade do Azure, você precisa especificar explicitamente a ID do cliente de identidade gerenciada atribuída pelo usuário.

.NET

Observação

Ao se conectar a fontes de dados do SQL do Azure com o Entity Framework Core, considere usar o Microsoft.Data.SqlClient, que fornece cadeias de conexão especiais para conectividade de identidade gerenciada.

Para aplicativos .NET, a maneira mais simples de trabalhar com uma identidade gerenciada é por meio da biblioteca de clientes de Identidade do Azure para .NET. Confira os recursos a seguir para saber mais:

• Adicionar a biblioteca de clientes de Identidade do Azure ao seu projeto
• Acessar o serviço do Azure com uma identidade atribuída pelo sistema
• Acessar o serviço do Azure com uma identidade atribuída pelo usuário

Os exemplos vinculados usam DefaultAzureCredential. Esse objeto é eficaz na maioria dos cenários, pois o mesmo padrão funciona no Azure (com identidades gerenciadas) e no computador local (sem identidades gerenciadas).

JavaScript

Para aplicativos Node.js, a maneira mais simples de trabalhar com uma identidade gerenciada é por meio da biblioteca de clientes de Identidade do Azure para JavaScript. Confira os recursos a seguir para saber mais:

• Adicionar a biblioteca de clientes de Identidade do Azure ao seu projeto
• Acessar o serviço do Azure com uma identidade atribuída pelo sistema
• Acessar o serviço do Azure com uma identidade atribuída pelo usuário

Os exemplos vinculados usam DefaultAzureCredential. Esse objeto é eficaz na maioria dos cenários, pois o mesmo padrão funciona no Azure (com identidades gerenciadas) e no computador local (sem identidades gerenciadas).

Para obter mais exemplos de código da biblioteca de clientes de Identidade do Azure para JavaScript, confira os exemplos de Identidade do Azure.

Python

Para aplicativos do Python, a maneira mais simples de trabalhar com uma identidade gerenciada é por meio da biblioteca de clientes de Identidade do Azure para Python. Confira os recursos a seguir para saber mais:

• Adicionar a biblioteca de clientes de Identidade do Azure ao seu projeto
• Acessar o serviço do Azure com uma identidade atribuída pelo sistema
• Acessar o serviço do Azure com uma identidade atribuída pelo usuário

Os exemplos vinculados usam DefaultAzureCredential. Esse objeto é eficaz na maioria dos cenários, pois o mesmo padrão funciona no Azure (com identidades gerenciadas) e no computador local (sem identidades gerenciadas).

Java

Para aplicativos e funções Java, a maneira mais simples de trabalhar com uma identidade gerenciada é por meio da biblioteca de clientes de Identidade do Azure para Java. Confira os recursos a seguir para saber mais:

• Adicionar a biblioteca de clientes de Identidade do Azure ao seu projeto
• Acessar o serviço do Azure com uma identidade atribuída pelo sistema
• Acessar o serviço do Azure com uma identidade atribuída pelo usuário

Os exemplos vinculados usam DefaultAzureCredential. Esse objeto é eficaz na maioria dos cenários, pois o mesmo padrão funciona no Azure (com identidades gerenciadas) e no computador local (sem identidades gerenciadas).

Para obter mais exemplos de código da biblioteca de clientes de Identidade do Azure para Java, confira os exemplos de Identidade do Azure.

PowerShell

Use o seguinte script para recuperar um token do ponto de extremidade local especificando um URI de recurso de um serviço do Azure. Substitua o espaço reservado pelo URI do recurso para obter o token.

$resourceURI = "https://<AAD-resource-URI>"
$tokenAuthURI = $env:IDENTITY_ENDPOINT + "?resource=$resourceURI&api-version=2019-08-01"
$tokenResponse = Invoke-RestMethod -Method Get -Headers @{"X-IDENTITY-HEADER"="$env:IDENTITY_HEADER"} -Uri $tokenAuthURI
$accessToken = $tokenResponse.access_token

HTTP GET

Uma solicitação HTTP GET real tem aparência como a do seguinte exemplo.

Obtenha a URL do ponto de extremidade do token da variável de ambiente IDENTITY_ENDPOINT. x-identity-header contém o GUID armazenado na variável de ambiente IDENTITY_HEADER.

GET http://localhost:42356/msi/token?resource=https://vault.azure.net&api-version=2019-08-01 HTTP/1.1
x-identity-header: 853b9a84-5bfa-4b22-a3f3-0b9a43d9ad8a

Uma resposta poderá se parecer com este exemplo:

HTTP/1.1 200 OK
Content-Type: application/json

{
    "access_token": "eyJ0eXAi…",
    "expires_on": "1586984735",
    "resource": "https://vault.azure.net",
    "token_type": "Bearer",
    "client_id": "5E29463D-71DA-4FE0-8E69-999B57DB23B0"
}

Essa resposta é igual à resposta para a solicitação de token de acesso de serviço a serviço do Microsoft Entra. Para acessar o Key Vault, adicione o valor de access_token a uma conexão de cliente com o cofre.

Referência de ponto de extremidade REST

Um aplicativo de contêiner com uma identidade gerenciada expõe o ponto de extremidade de identidade definindo duas variáveis de ambiente:

• IDENTITY_ENDPOINT: a URL local a partir da qual o aplicativo contêiner pode solicitar tokens.
• IDENTITY_HEADER: um cabeçalho usado para ajudar a reduzir os ataques de falsificação da solicitação do lado do servidor (SSRF). O valor é trocado pela plataforma.

Para obter um token para um recurso, faça uma solicitação HTTP GET para o ponto de extremidade, incluindo os seguintes parâmetros:

Nome do Parâmetro	No	Descrição
recurso	Query	O URI do recurso do Microsoft Entra do recurso para o qual um token deve ser obtido. O recurso pode ser um dos serviços do Azure que dão suporte à autenticação do Microsoft Entra ou a qualquer outro URI de recurso.
api-version	Consulta	A versão da API do token a ser usada. Use a versão "2019-08-01" ou posterior.
X-IDENTITY-HEADER	Cabeçalho	O valor da variável de ambiente IDENTITY_HEADER. Esse cabeçalho reduz os ataques de falsificação da solicitação do lado do servidor (SSRF).
client_id	Consulta	(Opcional) A ID da identidade atribuída pelo usuário a ser usada. Não pode ser usada em uma solicitação que inclua principal_id, mi_res_id ou object_id. Se todos os parâmetros de ID (client_id, principal_id, object_ide mi_res_id) forem omitidos, será usada a identidade atribuída pelo sistema.
principal_id	Consulta	(Opcional) A ID principal da identidade atribuída pelo usuário a ser usada. object_id é um alias que pode ser usado no lugar dela. Não pode ser usada em uma solicitação que inclua client_id, mi_res_id ou object_id. Se todos os parâmetros de ID (client_id, principal_id, object_ide mi_res_id) forem omitidos, será usada a identidade atribuída pelo sistema.
mi_res_id	Consulta	(Opcional) A ID do recurso do Azure da identidade atribuída pelo usuário a ser usada. Não pode ser usada em uma solicitação que inclua principal_id, client_id ou object_id. Se todos os parâmetros de ID (client_id, principal_id, object_ide mi_res_id) forem omitidos, será usada a identidade atribuída pelo sistema.

Importante

Se você estiver tentando obter tokens para identidades atribuídas pelo usuário, deverá incluir uma das propriedades opcionais. Caso contrário, o serviço de token tentará obter um token para uma identidade atribuída pelo sistema, que pode ou não existir.

Exibir identidades gerenciadas

Você pode mostrar as identidades gerenciadas atribuídas pelo sistema e atribuídas pelo usuário usando o seguinte comando da CLI do Azure. A saída mostrará o tipo de identidade gerenciada, as IDs de locatário e as IDs de entidade de segurança de todas as identidades gerenciadas atribuídas ao seu aplicativo de contêiner.

az containerapp identity show --name <APP_NAME> --resource-group <GROUP_NAME>

Remover uma identidade gerenciada

Ao remover uma identidade atribuída pelo sistema, ela é excluída do Microsoft Entra ID. As identidades atribuídas pelo sistema também são removidas automaticamente do Microsoft Entra ID ao excluir o próprio recurso do aplicativo contêiner. A remoção de identidades gerenciadas atribuídas pelo usuário do seu aplicativo contêiner não as remove do Microsoft Entra ID.

Portal do Azure

1. No painel de navegação esquerdo da página do aplicativo, role para baixo até o grupo Configurações.

2. Selecionar Identidade. Em seguida, siga as etapas com base no tipo de identidade:

   • Identidade atribuída pelo sistema: na guia Atribuída pelo sistema, alterne Status para Desativado. Selecione Salvar.
   • Identidade atribuída pelo usuário: selecione a guia Atribuída pelo usuário, marque a caixa de seleção da identidade e selecione Remover. Clique em Sim para confirmar.

CLI do Azure

Para remover a identidade atribuída pelo sistema:

az containerapp identity remove --name <APP_NAME> --resource-group <GROUP_NAME> --system-assigned

Para remover uma ou mais identidades atribuídas pelo usuário:

az containerapp identity remove --name <APP_NAME> --resource-group <GROUP_NAME> \
    --user-assigned <IDENTITY1_RESOURCE_ID> <IDENTITY2_RESOURCE_ID>

Para remover todas as identidades atribuídas pelo usuário:

az containerapp identity remove --name <APP_NAME> --resource-group <GROUP_NAME> \
    --user-assigned <IDENTITY1_RESOURCE_ID> <IDENTITY2_RESOURCE_ID>

Modelo de ARM

Para remover todas as identidades, defina type da identidade do aplicativo de contêiner como None no modelo do ARM:

"identity": {
    "type": "None"
}

YAML

Para remover todas as identidades, defina o type da identidade do aplicativo contêiner como None no arquivo de configuração YAML:

identity:
    type: None

Bicep

Para remover todas as identidades, defina type da identidade do aplicativo de contêiner como None no modelo Bicep:

identity: {
  type: 'None'
}

Próximas etapas

Monitorar um aplicativo