Migrar um aplicativo Java para usar conexões sem senha com o Banco de Dados SQL do Azure

Este artigo explica como migrar dos métodos tradicionais de autenticação para conexões mais seguras e sem senha com o Banco de Dados SQL do Azure.

As solicitações de aplicativo para o Banco de Dados SQL do Azure devem ser autenticadas. O Banco de Dados SQL do Azure fornece várias maneiras diferentes de os aplicativos se conectarem com segurança. Uma das maneiras é usar senhas. No entanto, você deve priorizar conexões sem senha em seus aplicativos quando possível.

Comparar opções de autenticação

Quando o aplicativo é autenticado com o Banco de Dados SQL do Azure, ele fornece um par de nome de usuário e senha para se conectar ao banco de dados. Dependendo de onde as identidades são armazenadas, há dois tipos de autenticação: autenticação do Microsoft Entra e autenticação do Banco de Dados SQL do Azure.

autenticação do Microsoft Entra

A autenticação do Microsoft Entra é um mecanismo para se conectar ao Banco de Dados SQL do Azure usando identidades definidas na ID do Microsoft Entra. Usando Microsoft Entra autenticação, você pode gerenciar identidades de usuário de banco de dados e outras serviços Microsoft em um local central, o que simplifica o gerenciamento de permissões.

O uso da ID do Microsoft Entra para autenticação oferece os seguintes benefícios:

  • Autenticação de usuários nos Serviços do Azure de maneira uniforme.
  • Gerenciamento de políticas de senha e rotação de senha em um único lugar.
  • Várias formas de autenticação compatíveis com a ID do Microsoft Entra, que podem eliminar a necessidade de armazenar senhas.
  • Os clientes podem gerenciar permissões de banco de dados usando grupos externos (Microsoft Entra ID).
  • A autenticação do Microsoft Entra usa usuários do banco de dados SQL do Azure para autenticar identidades no nível do banco de dados.
  • Suporte à autenticação baseada em token para aplicativos que se conectam ao Banco de Dados SQL do Azure.

Autenticação do Banco de Dados SQL do Azure

Você pode criar contas no Banco de Dados SQL do Azure. Se você optar por usar senhas como credenciais para as contas, a sys.database_principals tabela armazenará essas credenciais. Como Banco de Dados SQL do Azure armazena essas senhas, você precisa gerenciar a rotação das senhas por conta própria.

Embora você possa se conectar a Banco de Dados SQL do Azure usando senhas, use-as com cuidado. Seja diligente para nunca expor as senhas em um local não seguro. Qualquer pessoa que tenha acesso às senhas pode se autenticar. Por exemplo, se você verificar acidentalmente um cadeia de conexão no controle do código-fonte, enviá-lo por um email não seguro, colá-lo no chat errado ou exibi-lo por alguém que não deve ter permissão, um usuário mal-intencionado poderá acessar o aplicativo. Em vez disso, considere atualizar seu aplicativo para usar conexões sem senha.

Introdução a conexões sem senha

Com uma conexão sem senha, você pode se conectar aos serviços do Azure sem armazenar credenciais no código do aplicativo, em seus arquivos de configuração ou em variáveis de ambiente.

Muitos serviços do Azure dão suporte a conexões sem senha, por exemplo, por meio da Identidade Gerenciada do Azure. Essas técnicas fornecem recursos de segurança robustos que você pode implementar usando DefaultAzureCredential das bibliotecas de clientes da Identidade do Azure. Neste tutorial, você aprenderá a atualizar um aplicativo existente para usar DefaultAzureCredential em vez de alternativas como cadeias de conexão.

DefaultAzureCredential dá suporte a vários métodos de autenticação e determina automaticamente quais devem ser usados em runtime. Essa abordagem permite que seu aplicativo use diferentes métodos de autenticação em ambientes diferentes (desenvolvimento local versus produção) sem implementar código específico do ambiente.

A ordem e os locais em que DefaultAzureCredential procura credenciais podem ser encontrados na visão geral da biblioteca Azure Identity. Por exemplo, ao trabalhar localmente, DefaultAzureCredential geralmente será autenticado usando a conta que o desenvolvedor usou para entrar no Visual Studio. Quando o aplicativo é implantado no Azure, DefaultAzureCredential alternará automaticamente para usar uma identidade gerenciada. Nenhuma alteração de código é necessária para essa transição.

Para garantir que as conexões sejam sem senha, você deve considerar tanto o desenvolvimento local quanto o ambiente de produção. Se uma cadeia de conexão for necessária em qualquer lugar, o aplicativo não será sem senha.

Em seu ambiente de desenvolvimento local, você pode se autenticar com a CLI do Azure, o Azure PowerShell, o Visual Studio ou plug-ins do Azure para Visual Studio Code ou IntelliJ. Nesse caso, você pode usar essa credencial em seu aplicativo em vez de configurar propriedades.

Ao implantar aplicativos em um ambiente de hospedagem do Azure, como uma máquina virtual, você pode atribuir identidade gerenciada nesse ambiente. Em seguida, você não precisará fornecer credenciais para se conectar aos serviços do Azure.

Observação

Uma identidade gerenciada fornece uma identidade de segurança para representar um aplicativo ou serviço. A identidade é gerenciada pela plataforma Azure e não exige que você faça o provisionamento nem a rotação de segredos. Você pode ler mais sobre identidades gerenciadas na documentação de visão geral .

Observação

Como o driver JDBC para Banco de Dados SQL do Azure ainda não dá suporte a conexões sem senha de ambientes locais, este artigo se concentra apenas em aplicativos implantados para Azure ambientes de hospedagem e como migrá-los para usar conexões sem senha.

Migrar um aplicativo existente para usar conexões sem senha

As etapas a seguir explicam como migrar um aplicativo existente para usar conexões sem senha em vez de uma solução baseada em senha.

0) Preparar o ambiente de trabalho

Primeiro, use o comando a seguir para configurar algumas variáveis de ambiente.

export AZ_RESOURCE_GROUP=<YOUR_RESOURCE_GROUP>
export AZ_DATABASE_SERVER_NAME=<YOUR_DATABASE_SERVER_NAME>
export AZ_DATABASE_NAME=demo
export CURRENT_USERNAME=$(az ad signed-in-user show --query userPrincipalName --output tsv)
export CURRENT_USER_OBJECTID=$(az ad signed-in-user show --query id --output tsv)

Substitua os marcadores de posição pelos seguintes valores, usados ao longo deste artigo:

  • <YOUR_RESOURCE_GROUP>: o nome do grupo de recursos para seus recursos.
  • <YOUR_DATABASE_SERVER_NAME>: o nome do servidor do Banco de Dados SQL do Azure. Ele deve ser exclusivo em todo o Azure.

1) Configurar o Banco de Dados SQL do Azure

1.1) Habilitar a autenticação baseada em ID do Microsoft Entra

Para usar o acesso do Microsoft Entra ID com o Banco de Dados SQL do Azure, configure primeiro o usuário administrador do Microsoft Entra. Somente um usuário Microsoft Entra administrador pode criar ou habilitar usuários para autenticação baseada em Microsoft Entra ID.

Se você estiver usando CLI do Azure, execute o seguinte comando para garantir que ele tenha permissão suficiente:

az login --scope https://graph.microsoft.com/.default

Em seguida, execute o seguinte comando para definir o administrador do Microsoft Entra:

az sql server ad-admin create \
    --resource-group $AZ_RESOURCE_GROUP \
    --server $AZ_DATABASE_SERVER_NAME \
    --display-name $CURRENT_USERNAME \
    --object-id $CURRENT_USER_OBJECTID

Esse comando define o Microsoft Entra administrador para o usuário conectado atual.

Observação

Você só pode criar um administrador do Microsoft Entra por servidor do Banco de Dados SQL do Azure. A seleção de outro administrador substitui o administrador Microsoft Entra existente configurado para o servidor.

2) Migrar o código do aplicativo para usar conexões sem senha

Em seguida, use as etapas a seguir para atualizar seu código para usar conexões sem senha. Embora conceitualmente semelhante, cada idioma usa detalhes de implementação diferentes.

  1. Dentro do projeto, adicione a referência a seguir ao azure-identity pacote. Essa biblioteca contém todas as entidades necessárias para implementar conexões sem senha.

    <dependency>
     <groupId>com.azure</groupId>
     <artifactId>azure-identity</artifactId>
     <version>1.5.4</version>
</dependency>

  2. Habilite a autenticação de identidade gerenciada do Microsoft Entra no URL JDBC. Identifique os locais no seu código que atualmente criam um java.sql.Connection para se conectar ao Banco de Dados SQL do Azure. Atualize seu código para corresponder ao seguinte exemplo:

    String url = "jdbc:sqlserver://$AZ_DATABASE_SERVER_NAME.database.windows.net:1433;databaseName=$AZ_DATABASE_NAME;authentication=ActiveDirectoryMSI;"   
Connection con = DriverManager.getConnection(url);

  3. Substitua as duas $AZ_DATABASE_SERVER_NAME variáveis e uma $AZ_DATABASE_NAME variável pelos valores configurados no início deste artigo.

  4. Remova o user e o password da URL JDBC.

3) Configurar o ambiente de hospedagem do Azure

Depois de configurar seu aplicativo para usar conexões sem senha, o mesmo código pode se autenticar nos serviços de Azure depois de implantá-lo no Azure. Por exemplo, um aplicativo implantado em uma instância do Serviço de Aplicativo do Azure que tem uma identidade gerenciada atribuída pode se conectar ao Armazenamento do Azure.

Nesta seção, você executará duas etapas para permitir que seu aplicativo seja executado em um ambiente de hospedagem Azure de maneira sem senha:

  • Atribua a identidade gerenciada para seu ambiente de hospedagem do Azure.
  • Atribua funções à identidade gerenciada.

Observação

O Azure também fornece o Service Connector, que pode ajudá-lo a conectar seu serviço de hospedagem com o SQL Server. Usando o Service Connector para configurar seu ambiente de hospedagem, você pode omitir a etapa de atribuir funções à sua identidade gerenciada porque o Service Connector faz isso para você. A seção a seguir descreve como configurar seu ambiente de hospedagem do Azure de duas maneiras: uma por meio do Service Connector e outra configurando cada ambiente de hospedagem diretamente.

Importante

Os comandos do Service Connector exigem a CLI do Azure 2.41.0 ou superior.

Atribuir a identidade gerenciada usando o portal do Azure

As etapas a seguir mostram como atribuir uma identidade gerenciada atribuída pelo sistema para vários serviços de hospedagem da Web. A identidade gerenciada pode se conectar com segurança a outros serviços Azure usando as configurações de aplicativo configuradas anteriormente.

  1. Na página de visão geral principal da instância do Serviço de Aplicativo do Azure, selecione Identidade no painel de navegação.

  2. Na guia Atribuído pelo sistema, certifique-se de definir o campo Status como ativado. Uma identidade atribuída pelo sistema é gerenciada internamente pelo Azure e manipula tarefas administrativas para você. Os detalhes e os IDs da identidade nunca são expostos no seu código.

Você também pode atribuir identidade gerenciada em um ambiente de hospedagem do Azure usando a CLI do Azure.

Você pode atribuir uma identidade gerenciada a uma instância do Serviço de Aplicativo do Azure com o comando az webapp identity assign , conforme mostrado no exemplo a seguir:

export AZ_MI_OBJECT_ID=$(az webapp identity assign \
    --resource-group $AZ_RESOURCE_GROUP \
    --name <service-instance-name> \
    --query principalId \
    --output tsv)

Atribuir funções à identidade gerenciada

Em seguida, conceda permissões à identidade gerenciada que você criou para acessar o banco de dados SQL.

Se você conectou seus serviços usando o Service Connector, os comandos na etapa anterior já atribuíram a função, para que você possa ignorar essa etapa.

Testar o aplicativo

Depois de fazer essas alterações de código, você pode compilar e reimplantar o aplicativo. Em seguida, navegue até o aplicativo hospedado no navegador. Seu aplicativo deve ser capaz de se conectar ao Banco de Dados SQL do Azure com êxito. Pode levar vários minutos para que as atribuições de função se propaguem por meio de seu ambiente de Azure. Seu aplicativo agora está configurado para ser executado localmente e em um ambiente de produção sem que os desenvolvedores precisem gerenciar segredos no próprio aplicativo.

Próximas etapas

Neste tutorial, você aprendeu a migrar um aplicativo para conexões sem senha.

Para explorar mais detalhadamente os conceitos abordados neste artigo, confira os seguintes recursos:

  • Last updated on