Autenticar recursos do Azure a partir de aplicativos JavaScript locais
Os aplicativos executados fora do Azure (por exemplo, no local ou em um data center de terceiro) devem usar uma entidade de serviço de aplicativo para se autenticar no Azure ao acessar os recursos do Azure. Os objetos da entidade de serviço de aplicativo são criados com um processo de registro de aplicativo no Azure. Quando uma entidade de serviço de aplicativo é criada, uma ID de cliente e um segredo de cliente são gerados para seu aplicativo. Você armazena a ID do cliente, o segredo do cliente e a ID do locatário em variáveis de ambiente para que o SDK do Azure para JavaScript use as variáveis de ambiente para autenticar seu aplicativo no Azure em tempo de execução.
Um registro de aplicativo diferente deve ser criado para cada ambiente (como teste, etapa, produção) em que o aplicativo está sendo executado. Isso possibilita a configuração de permissões de recursos específicas do ambiente para cada entidade de serviço e garante que um aplicativo implantado em um ambiente não se comunique com os recursos do Azure que fazem parte de outro ambiente.
1 – Registrar o aplicativo no Azure
Um aplicativo pode ser registrado no Azure usando o portal do Azure ou a CLI do Azure.
Entre no portal do Azure e siga estas etapas.
| Instruções | Captura de tela |
|---|---|
No portal do Azure:
|
|
| Na página Registros de aplicativo, selecione + Novo registro. | 
|
Na página Registrar um aplicativo, preencha o formulário conforme segue.
|
|
Na página Registro de aplicativo do seu aplicativo:
|
|
| Na página Certificados e segredos, selecione + Novo segredo do cliente. | 
|
A caixa de diálogo Adicionar um segredo de cliente será exibida do lado direito da página. Nesta caixa de diálogo:
IMPORTANTE: defina um lembrete em seu calendário antes da data de validade do segredo. Dessa forma, você pode adicionar um novo segredo antes e atualizar seus aplicativos antes da expiração desse segredo e evitar uma interrupção de serviço em seu aplicativo. |
|
| A página Certificados e segredos mostra o valor do segredo do cliente. Copie esse valor para um local temporário em um editor de texto, pois você precisará dele em uma etapa futura. IMPORTANTE: esta é a única vez que você verá esse valor. Depois de sair ou atualizar esta página, você não poderá ver esse valor novamente. Você pode adicionar outro segredo de cliente sem invalidar o segredo anterior, mas não verá esse valor novamente. |
|
2 – Atribuir funções à entidade de serviço de aplicativo
Em seguida, você precisa determinar as funções (permissões) de que seu aplicativo precisa em quais recursos e atribuir essas funções ao seu aplicativo. As funções podem ser atribuídas a uma função em um recurso, grupo de recursos ou escopo de assinatura. Este exemplo mostra como atribuir funções para a entidade de serviço no escopo do grupo de recursos, uma vez que a maioria dos aplicativos agrupa todos os seus recursos do Azure em um único grupo de recursos.
| Instruções | Captura de tela |
|---|---|
| Localize o grupo de recursos do aplicativo pesquisando pelo nome do grupo de recursos e usando a caixa de pesquisa na parte superior do portal do Azure. Navegue até o grupo de recursos selecionando o nome do grupo de recursos no título Grupos de recursos na caixa de diálogo. |
|
| Na página do grupo de recursos, selecione Controle de acesso (IAM) no menu à esquerda. | 
|
Na página Controle de acesso (IAM):
|
|
A página Adicionar atribuição de função lista todas as funções que podem ser atribuídas ao grupo de recursos.
|
|
A próxima página Adicionar atribuição de função permite especificar a qual usuário atribuir a função.
|
|
Na caixa de diálogo Selecionar membros:
|
|
| A entidade de serviço aparece como selecionada na tela Adicionar atribuição de função. Selecione Revisar + atribuir para ir para a página final e, em seguida, Revisar + atribuir novamente para concluir o processo. |
|
3 – Configurar variáveis de ambiente para o aplicativo
Você deve definir as variáveis de ambiente AZURE_CLIENT_ID, AZURE_TENANT_ID e AZURE_CLIENT_SECRET para o processo que executa o aplicativo JavaScript a fim de disponibilizar as credenciais principais do serviço de aplicativos para o aplicativo em tempo de execução. O objeto DefaultAzureCredential procura as informações principais do serviço nessas variáveis de ambiente.
AZURE_CLIENT_ID=<value>
AZURE_TENANT_ID=<value>
AZURE_CLIENT_SECRET=<value>
4 – Implementar DefaultAzureCredential no aplicativo
Para autenticar objetos clientes do SDK do Azure no Azure, seu aplicativo deve usar a classe DefaultAzureCredential do pacote @azure/identity.
Primeiro, adicione o pacote @azure/identity ao seu aplicativo.
npm install @azure/identity
Em seguida, para qualquer código JavaScript que crie um objeto cliente do SDK do Azure em seu aplicativo, você deverá:
- Importar a classe
DefaultAzureCredentialdo módulo@azure/identity. - Crie um objeto
DefaultAzureCredential. - Passar o objeto
DefaultAzureCredentialpara o construtor do objeto do cliente do SDK do Azure.
Um exemplo disso é mostrado na ilustração a seguir.
// connect-with-default-azure-credential.js
import { BlobServiceClient } from '@azure/storage-blob';
import { DefaultAzureCredential } from '@azure/identity';
import 'dotenv/config'
const accountName = process.env.AZURE_STORAGE_ACCOUNT_NAME;
if (!accountName) throw Error('Azure Storage accountName not found');
const blobServiceClient = new BlobServiceClient(
`https://${accountName}.blob.core.windows.net`,
new DefaultAzureCredential()
);
Quando o código acima instanciar o objeto DefaultAzureCredential, o DefaultAzureCredential lê as variáveis de ambiente AZURE_SUBSCRIPTION_ID, AZURE_TENANT_ID, AZURE_CLIENT_ID e AZURE_CLIENT_SECRET para obter as informações principais do serviço de aplicativo com as quais deve se conectar ao Azure.