Autenticar aplicativos Python nos serviços do Azure usando o SDK do Azure para Python
Quando um aplicativo precisa acessar um recurso do Azure, como o Armazenamento do Azure, o Azure Key Vault ou os serviços de IA do Azure, o aplicativo deve ser autenticado no Azure. Esse requisito é verdadeiro para todos os aplicativos, sejam eles implantados no Azure, implantados localmente ou em desenvolvimento em uma estação de trabalho de desenvolvedor local. Este artigo descreve as abordagens recomendadas para autenticar um aplicativo no Azure quando você usa o SDK do Azure para Python.
Abordagem de autenticação de aplicativo recomendada
Use a autenticação baseada em token em vez de cadeias de conexão para seus aplicativos quando eles se autenticarem nos recursos do Azure. A biblioteca de clientes do Azure Identity para Python fornece classes que suportam a autenticação baseada em token e permitem que os aplicativos se autentiquem facilmente nos recursos do Azure, independente de o aplicativo estar em desenvolvimento local, implantado no Azure ou implantado em um servidor local.
O tipo específico de autenticação baseada em token que um aplicativo usa para autenticar nos recursos do Azure depende de onde o aplicativo está sendo executado. Os tipos de autenticação baseada em token são mostrados no diagrama a seguir.
- Quando um desenvolvedor está executando um aplicativo durante o desenvolvimento local: O aplicativo é autenticado no Azure usando uma entidade de serviço de aplicativo para desenvolvimento local ou as credenciais do Azure do desenvolvedor. Essas opções são discutidas na seção Autenticação durante o desenvolvimento local.
- Quando um aplicativo é hospedado no Azure: O aplicativo é autenticado nos recursos do Azure usando uma identidade gerenciada. Essa opção é discutida na seção Autenticação em ambientes de servidor.
- Quando um aplicativo é hospedado e implantado localmente: O aplicativo é autenticado nos recursos do Azure usando uma entidade de serviço de aplicativo. Essa opção é discutida na seção Autenticação em ambientes de servidor.
DefaultAzureCredential
A classe DefaultAzureCredential fornecida pela biblioteca de clientes do Azure Identity permite que os aplicativos usem métodos de autenticação diferentes, dependendo do ambiente em que são executados. Dessa forma, os aplicativos podem ser promovidos do desenvolvimento local para ambientes de teste e produção sem alterações de código.
Você configura o método de autenticação apropriado para cada ambiente e DefaultAzureCredential detecta e usa automaticamente esse método de autenticação. O uso de DefaultAzureCredential é preferível à codificação manual de lógica condicional ou sinalizadores de recursos para usar diferentes métodos de autenticação em ambientes diferentes.
Detalhes sobre como usar a classe DefaultAzureCredential são discutidos na seção Usar DefaultAzureCredential em um aplicativo.
Vantagens da autenticação baseada em token
Use a autenticação baseada em token em vez de usar cadeias de conexão ao criar aplicativos para o Azure. A autenticação baseada em token oferece as seguintes vantagens sobre a autenticação com cadeias de conexão:
- Os métodos de autenticação baseados em token descritos neste artigo permitem que você estabeleça as permissões específicas necessárias para o aplicativo no recurso do Azure. Essas diretrizes seguem o princípio de privilégios mínimos. Por outro lado, uma cadeia de conexão concede direitos completos ao recurso do Azure.
- Qualquer pessoa ou qualquer aplicativo com uma cadeia de conexão pode se conectar a um recurso do Azure, mas os métodos de autenticação baseados em token definem o escopo do acesso ao recurso apenas para os aplicativos destinados a acessar o recurso.
- Com uma identidade gerenciada, não há segredo de aplicativo para armazenar. O aplicativo é mais seguro porque não há nenhuma cadeia de conexão ou segredo do aplicativo que possa ser comprometido.
- O pacote azure-identity obtém e gerencia os tokens Microsoft Entra para você. Isso torna o uso da autenticação baseada em token tão fácil de usar como uma cadeia de conexão.
Limite o uso de cadeias de conexão a aplicativos iniciais de prova de conceito ou protótipos de desenvolvimento que não acessam dados confidenciais ou de produção. Caso contrário, as classes de autenticação baseadas em token disponíveis na biblioteca de clientes do Azure Identity são sempre preferidas quando estão autenticando recursos do Azure.
Autenticação em ambientes de servidor
Quando você está hospedando em um ambiente de servidor, cada aplicativo recebe uma identidade de aplicativo exclusiva por ambiente em que o aplicativo é executado. No Azure, uma identidade de aplicativo é representada por uma entidade de serviço. Esse tipo especial de entidade de segurança identifica e autentica aplicativos no Azure. O tipo de entidade de serviço a ser usada para seu aplicativo depende de onde seu aplicativo está em execução:
| Método de autenticação | Descrição |
|---|---|
| Aplicativos hospedados no Azure | Os aplicativos hospedados no Azure devem usar uma entidade de serviço de identidade gerenciada. As identidades gerenciadas foram projetadas para representar a identidade de um aplicativo hospedado no Azure e só podem ser usadas com aplicativos hospedados no Azure. Por exemplo, um aplicativo Web Django hospedado em Serviço de Aplicativo do Azure receberia uma identidade gerenciada. A identidade gerenciada atribuída ao aplicativo seria usada para autenticar o aplicativo em outros serviços do Azure. Os aplicativos em execução no AKS (Serviço de Kubernetes do Azure) podem usar uma credencial de identidade de carga de trabalho. Essa credencial é baseada em uma identidade gerenciada que tem uma relação de confiança com uma conta de serviço do AKS. , |
| Aplicativos hospedados fora do Azure (por exemplo, aplicativos locais) |
Os aplicativos hospedados fora do Azure (por exemplo, aplicativos locais) que precisam se conectar aos serviços do Azure devem usar uma entidade de serviço de aplicativo. Uma entidade de serviço de aplicativo representa a identidade do aplicativo no Azure e é criada por meio do processo de registro de aplicativo. Por exemplo, considere um aplicativo Web Django hospedado localmente que usa o Armazenamento de Blobs do Azure. Você criaria uma entidade de serviço de aplicativo para o aplicativo usando o processo de registro do aplicativo. O AZURE_CLIENT_ID, AZURE_TENANT_ID e AZURE_CLIENT_SECRET seriam todos armazenados como variáveis de ambiente a serem lidas pelo aplicativo em runtime e permitir que o aplicativo se autenticasse no Azure usando a entidade de serviço do aplicativo. |
Autenticação durante o desenvolvimento local
Quando um aplicativo é executado na estação de trabalho de um desenvolvedor durante o desenvolvimento local, ele ainda deve ser autenticado em todos os serviços do Azure usados pelo aplicativo. Há duas estratégias principais para autenticar aplicativos no Azure durante o desenvolvimento local:
| Método de autenticação | Descrição |
|---|---|
| Criar objetos de entidade de serviço de aplicativo dedicados a serem usados durante o desenvolvimento local. | Nesse método, os objetos de entidade de serviço de aplicativo dedicados são configurados usando o processo de registro do aplicativo para uso durante o desenvolvimento local. A identidade da entidade de serviço é armazenada como variáveis de ambiente a serem acessadas pelo aplicativo quando ele é executado no desenvolvimento local. Esse método permite atribuir as permissões de recurso específicas necessárias pelo aplicativo aos objetos da entidade de serviço usados pelos desenvolvedores durante o desenvolvimento local. Essa prática garante que o aplicativo tenha acesso apenas aos recursos específicos necessários e replica as permissões que o aplicativo terá na produção. A desvantagem dessa abordagem é a necessidade de criar objetos de entidade de serviço separados para cada desenvolvedor que trabalha em um aplicativo. |
| Autentique o aplicativo no Azure usando as credenciais do desenvolvedor durante o desenvolvimento local. | Nesse método, um desenvolvedor deve estar conectado ao Azure da CLI do Azure, do Azure PowerShell ou da CLI do Desenvolvedor do Azure em sua estação de trabalho local. Em seguida, o aplicativo pode acessar as credenciais do desenvolvedor no repositório de credenciais e usar essas credenciais para acessar os recursos do Azure do aplicativo. Esse método tem a vantagem de facilitar a configuração porque um desenvolvedor só precisa fazer logon em sua conta do Azure por meio de uma das ferramentas de desenvolvedor mencionadas acima. A desvantagem dessa abordagem é que provavelmente a conta do desenvolvedor tem mais permissões do que o exigido pelo aplicativo. Como resultado, o aplicativo não replica com precisão as permissões com as quais será executado em produção. |
Usar DefaultAzureCredential em um aplicativo
DefaultAzureCredential é uma sequência ordenada e opinativa de mecanismos para autenticação no Microsoft Entra ID. Cada mecanismo de autenticação é uma classe que implementa o protocolo TokenCredential e é conhecido como credencial. No runtime, DefaultAzureCredential tenta autenticar usando a primeira credencial. Se essa credencial não conseguir adquirir um token de acesso, a próxima credencial na sequência será tentada e assim por diante, até que um token de acesso seja obtido com êxito. Dessa forma, seu aplicativo pode usar credenciais diferentes em ambientes diferentes sem escrever código específico do ambiente.
Para usar o DefaultAzureCredential em um aplicativo Python, adicione o pacote azure-identity ao seu aplicativo.
pip install azure-identity
Os serviços do Azure são acessados usando classes de cliente especializadas das várias bibliotecas de clientes do SDK do Azure. O exemplo de código a seguir mostra como instanciar um objeto DefaultAzureCredential e usá-lo com uma classe de cliente do SDK do Azure. Nesse caso, é um objeto BlobServiceClient usado para acessar o Armazenamento de Blobs do Azure.
from azure.identity import DefaultAzureCredential
from azure.storage.blob import BlobServiceClient
# Acquire a credential object
credential = DefaultAzureCredential()
blob_service_client = BlobServiceClient(
account_url="https://<my_account_name>.blob.core.windows.net",
credential=credential)
Quando o código anterior é executado em sua estação de trabalho de desenvolvimento local, ele procura nas variáveis de ambiente por uma entidade de serviço de aplicativo ou em ferramentas para desenvolvedores instaladas localmente, como a CLI do Azure, por um conjunto de credenciais de desenvolvedor. Qualquer abordagem pode ser usada para autenticar o aplicativo nos recursos do Azure durante o desenvolvimento local.
Quando implantado no Azure, esse mesmo código também pode autenticar seu aplicativo nos recursos do Azure. DefaultAzureCredential pode recuperar configurações de ambiente e configurações de identidade gerenciada para autenticar automaticamente nos serviços do Azure.