Autenticar aplicativos Python para serviços do Azure durante o desenvolvimento local usando contas de desenvolvedor

Durante o desenvolvimento local, os aplicativos precisam se autenticar no Azure para usar diferentes serviços do Azure. Autentique-se localmente usando uma destas abordagens:

• Use uma conta de desenvolvedor com uma das ferramentas de desenvolvedor compatíveis com a biblioteca de Identidade do Azure.
• Use um broker para gerenciar credenciais.
• Use uma entidade de serviço.

Este artigo explica como autenticar usando uma conta de desenvolvedor com ferramentas compatíveis com a biblioteca de Identidades do Azure. Nas seções a seguir, você aprenderá:

• Como usar grupos do Microsoft Entra para gerenciar com eficiência permissões para várias contas de desenvolvedor.
• Como atribuir funções a contas de desenvolvedor para definir o escopo das permissões.
• Como fazer login em ferramentas de desenvolvimento locais compatíveis.
• Como autenticar usando uma conta de desenvolvedor do código do aplicativo.

Ferramentas de desenvolvedor com suporte para autenticação

Para que um aplicativo se autentique no Azure durante o desenvolvimento local usando as credenciais do desenvolvedor do Azure, o desenvolvedor deve estar conectado ao Azure de uma das seguintes ferramentas de desenvolvedor:

• CLI do Azure
• Azure Developer CLI
• Azure PowerShell
• Visual Studio Code

A biblioteca de Identidades do Azure pode detectar que o desenvolvedor está conectado a partir de uma dessas ferramentas. A biblioteca pode usar a ferramenta para obter o token de acesso do Microsoft Entra e autenticar o aplicativo no Azure como o usuário que fez login.

Essa abordagem aproveita as contas existentes do Azure do desenvolvedor para simplificar o processo de autenticação. No entanto, a conta de um desenvolvedor provavelmente tem mais permissões do que o exigido pelo aplicativo, excedendo, portanto, as permissões com as quais o aplicativo é executado em produção. Como alternativa, você pode criar entidades de serviço de aplicativo para usar durante o desenvolvimento local, que podem ter o escopo para ter apenas o acesso necessário pelo aplicativo.

Criar um grupo do Microsoft Entra para desenvolvimento local

Crie um grupo do Microsoft Entra para encapsular as funções (permissões) que o aplicativo precisa durante o desenvolvimento local, em vez de atribuir as funções a objetos principais de serviço individuais. Essa abordagem oferece as seguintes vantagens:

• Cada desenvolvedor tem as mesmas funções atribuídas no nível do grupo.
• Se uma nova função for necessária para o aplicativo, ela só precisará ser adicionada ao grupo do aplicativo.
• Se um novo desenvolvedor ingressar na equipe, um novo principal de serviço de aplicativo será criado para o desenvolvedor e adicionado ao grupo, garantindo que o desenvolvedor tenha as permissões corretas para trabalhar no aplicativo.

Portal do Azure

1. Navegue até a página de visão geral do Microsoft Entra ID no portal do Azure.

2. Selecione Todos os grupos no menu à esquerda.

3. Na página Grupos , selecione Novo grupo.

4. Na página Novo grupo , preencha os seguintes campos de formulário:

   • Tipo de grupo: selecione Segurança.
   • Nome do grupo: insira um nome para o grupo que inclui uma referência ao nome do aplicativo ou do ambiente.
   • Descrição do grupo: insira uma descrição que explique a finalidade do grupo.

   

5. Selecione o link Nenhum membro selecionado em Membros para adicionar membros ao grupo.

6. No painel de submenu que é aberto, procure a entidade de serviço que você criou anteriormente e selecione-a nos resultados filtrados. Escolha o botão Selecionar na parte inferior do painel para confirmar sua seleção.

7. Selecione Criar na parte inferior da página Novo grupo para criar o grupo e retornar à página Todos os grupos . Se você não vir o novo grupo listado, aguarde um momento e atualize a página.

CLI do Azure

1. Use o comando az ad group create para criar grupos na ID do Microsoft Entra.

   az ad group create \
       --display-name <group-name> \
       --mail-nickname <group-mail-nickname> \
       --description <group-description>
   

   Os parâmetros --display-name e --mail-nickname são obrigatórios. O nome dado ao grupo deve ser baseado no nome e no ambiente do aplicativo para indicar a finalidade do grupo.

2. Para adicionar membros ao grupo, você precisará da ID do objeto da entidade de serviço do aplicativo, que é diferente da ID do aplicativo. Utilize o comando az ad sp list para listar as entidades de serviço disponíveis.

   az ad sp list \
       --filter "startswith(displayName, '<group-name>')" \
       --query "[].{objectId:id, displayName:displayName}"
   

   O parâmetro --filter aceita filtros no estilo OData e pode ser usado para filtrar a lista, conforme mostrado. O --query parâmetro limita a saída apenas às colunas de interesse.

3. Use o comando adicionar membros do grupo az ad para adicionar membros ao grupo:

   az ad group member add \
       --group <group-name> \
       --member-id <object-id>
   

Atribuir funções ao grupo

Em seguida, determine quais funções (permissões) seu aplicativo precisa em quais recursos e atribua essas funções ao grupo Microsoft Entra que você criou. Os grupos podem ser atribuídos a uma função no nível do recurso, do grupo de recursos ou da assinatura. Este exemplo mostra como atribuir funções no escopo do grupo de recursos, já que a maioria dos aplicativos agrupa todos os recursos do Azure em um único grupo de recursos.

Portal do Azure

1. No portal do Azure, navegue até a página Visão geral do grupo de recursos que contém seu aplicativo.

2. Selecione Controle de acesso (IAM) na navegação à esquerda.

3. Na página controle de acesso (IAM), selecione + Adicionar e escolha Adicionar atribuição de função no menu suspenso. A página Adicionar atribuição de função fornece várias guias para configurar e atribuir funções.

4. Na guia Função , use a caixa de pesquisa para localizar a função que você deseja atribuir. Selecione a função e escolha Avançar.

5. Na guia Membros :

   • Para atribuir acesso ao valor, selecione Usuário, grupo ou entidade de serviço .
   • Para o valor Membros, escolha + Selecionar membros para abrir o painel de seleção Selecionar membros.
   • Pesquise o grupo do Microsoft Entra criado anteriormente e selecione-o nos resultados filtrados. Escolha Selecionar para escolher o grupo e fechar o painel de menu.
   • Selecione Examinar + atribuir na parte inferior da guia Membros .

   

6. Na guia Revisão + atribuição , selecione Examinar + atribuir na parte inferior da página.

CLI do Azure

1. Use o comando az role definition list para obter os nomes das funções às quais um grupo ou entidade de serviço do Microsoft Entra pode ser atribuído:

   az role definition list \
       --query "sort_by([].{roleName:roleName, description:description}, &roleName)" \
       --output table
   

2. Use o comando az role assignment create para atribuir uma função ao grupo do Microsoft Entra que você criou:

   az role assignment create \
       --assignee "<group-object-Id>" \
       --role "<role-name>" \
       --resource-group "<resource-group-name>"
   

   Para obter informações sobre como atribuir permissões no nível do recurso ou da assinatura usando a CLI do Azure, consulte Atribuir funções do Azure usando a CLI do Azure.

Entrar no Azure usando ferramentas de desenvolvedor

Para autenticar com sua conta do Azure, escolha um dos seguintes métodos:

Código do Visual Studio

Desenvolvedores que utilizam o Visual Studio Code podem se autenticar com sua conta de desenvolvedor diretamente através do editor usando o intermediário. Os aplicativos que usam DefaultAzureCredential ou VisualStudioCodeCredential podem usar essa conta para autenticar solicitações de aplicativo por meio de uma experiência de logon único perfeita.

1. No Visual Studio Code, vá para o painel Extensões e instale a extensão de Recursos do Azure . Essa extensão permite exibir e gerenciar recursos do Azure diretamente do Visual Studio Code. Ele também usa o provedor interno de autenticação do Microsoft Visual Studio Code para autenticação com o Azure.

   

2. Abra a Paleta de Comandos no Visual Studio Code e, em seguida, pesquise e selecione Azure: Entrar.

   

   Dica

   Abra a Paleta de Comandos usando Ctrl+Shift+P no Windows/Linux ou Cmd+Shift+P no macOS.

3. Adicione o pacote python azure-identity-broker ao seu aplicativo:

   pip install azure-identity-broker
   

CLI do Azure

Os desenvolvedores podem usar a CLI do Azure para autenticar na ID do Microsoft Entra. Os aplicativos que usam DefaultAzureCredential ou AzureCliCredential podem usar essa conta para autenticar solicitações de aplicativo ao serem executados localmente.

Para autenticar com a CLI do Azure, execute o az login comando. Em um sistema com um navegador da Web padrão, a CLI do Azure inicia o navegador para autenticar o usuário.

az login

Para sistemas sem um navegador da Web padrão, o comando az login usa o fluxo de autenticação de código do dispositivo. O usuário também pode forçar a CLI do Azure a usar o fluxo de código do dispositivo em vez de iniciar um navegador especificando o argumento --use-device-code.

az login --use-device-code

CLI para Desenvolvedores do Azure

Os desenvolvedores podem usar a CLI do Desenvolvedor do Azure para autenticar com o Microsoft Entra ID. Os aplicativos que usam DefaultAzureCredential ou AzureDeveloperCliCredential podem usar essa conta para autenticar solicitações de aplicativo ao serem executados localmente.

Para autenticar com a CLI do Desenvolvedor do Azure, execute o azd auth login comando. Em um sistema com um navegador da Web padrão, a CLI do Desenvolvedor do Azure inicia o navegador para autenticar o usuário.

azd auth login

Para sistemas sem um navegador da web padrão, o azd auth login --use-device-code utiliza o fluxo de autenticação por código do dispositivo. O usuário também pode forçar a CLI do Desenvolvedor do Azure a usar o fluxo de código do dispositivo em vez de iniciar um navegador especificando o --use-device-code argumento.

azd auth login --use-device-code

Azure PowerShell

Os desenvolvedores podem usar o Azure PowerShell para autenticar na ID do Microsoft Entra. Os aplicativos que usam DefaultAzureCredential ou AzurePowerShellCredential podem usar essa conta para autenticar solicitações de aplicativo ao serem executados localmente.

Para autenticar com o Azure PowerShell, execute o comando Connect-AzAccount. Em um sistema com um navegador da Web padrão e versão 5.0.0 ou posterior do Azure PowerShell, ele inicia o navegador para autenticar o usuário.

Connect-AzAccount

Para sistemas sem um navegador da Web padrão, o comando Connect-AzAccount usa o fluxo de autenticação de código do dispositivo. O usuário também pode forçar o Azure PowerShell a usar o fluxo de código do dispositivo em vez de iniciar um navegador especificando o UseDeviceAuthentication argumento.

Connect-AzAccount -UseDeviceAuthentication

Autenticar nos serviços do Azure em seu aplicativo

A biblioteca de Identidade do Azure fornece implementações de TokenCredential que dão suporte a vários cenários e fluxos de autenticação do Microsoft Entra. As etapas a seguir demonstram como usar DefaultAzureCredential ou uma credencial de ferramenta de desenvolvimento específica ao trabalhar com contas de usuário localmente.

Implementar o código

1. Adicione o pacote azure-identity ao seu aplicativo:

   pip install azure-identity
   

   Observação

   Ao usar VisualStudioCodeCredential, você também deve instalar o azure-identity-broker pacote:

   pip install azure-identity-broker
   

   Adicione as instruções necessárias import para o azure.identity módulo e o módulo do cliente de serviço do Azure que seu aplicativo requer.

2. Escolha uma das implementações de credencial com base em seu cenário.

   • Use uma credencial específica para sua ferramenta de desenvolvimento: essa opção é melhor para cenários de uma única pessoa ou de ferramenta única.
   • Use uma credencial disponível para uso em qualquer ferramenta de desenvolvimento: essa opção é melhor para projetos de software livre e equipes de ferramentas diversas.

Use uma credencial específica para sua ferramenta de desenvolvimento

Passe uma TokenCredential instância correspondente a uma ferramenta de desenvolvimento específica para o construtor do cliente de serviço do Azure, como AzureCliCredential.

from azure.identity import AzureCliCredential
from azure.storage.blob import BlobServiceClient

credential = AzureCliCredential()

blob_service_client = BlobServiceClient(
   account_url="https://<account-name>.blob.core.windows.net",
   credential=credential)

Usar uma credencial disponível para uso em qualquer ferramenta de desenvolvimento

Use uma DefaultAzureCredential instância otimizada para todas as ferramentas de desenvolvimento locais. Este exemplo requer a variável AZURE_TOKEN_CREDENTIALS de ambiente definida como dev. Para obter mais informações, consulte Excluir uma categoria de tipo de credencial.

from azure.identity import DefaultAzureCredential
from azure.storage.blob import BlobServiceClient

credential = DefaultAzureCredential(require_envvar=True)

blob_service_client = BlobServiceClient(
   account_url="https://<account-name>.blob.core.windows.net",
   credential=credential)

Dica

Quando sua equipe usa várias ferramentas de desenvolvimento para autenticar com o Azure, prefira DefaultAzureCredential em vez de às credenciais específicas da ferramenta.