Autenticar aplicativos .NET nos serviços do Azure durante o desenvolvimento local usando contas de desenvolvedor

Os desenvolvedores precisam depurar e testar aplicativos de nuvem nas suas estações de trabalho locais. Quando um aplicativo é executado na estação de trabalho de um desenvolvedor durante o desenvolvimento local, ele ainda deve se autenticar em todos os serviços do Azure usados pelo aplicativo. Este artigo trata de como usar as credenciais do Azure de um desenvolvedor para autenticar o aplicativo no Azure durante o desenvolvimento local.

Para que um aplicativo se autentique no Azure durante o desenvolvimento local usando as credenciais do Azure do desenvolvedor, ele deve estar conectado ao Azure em uma das seguintes ferramentas de desenvolvedor:

• Visual Studio
• CLI do Azure
• CLI do Desenvolvedor do Azure
• PowerShell do Azure

A biblioteca de Identidade do Azure pode detectar que o desenvolvedor está conectado por uma dessas ferramentas. Assim, a biblioteca pode obter o token de acesso do Microsoft Entra pela ferramenta para autenticar o aplicativo no Azure como o usuário conectado.

Essa abordagem é mais fácil de configurar para uma equipe de desenvolvimento, pois aproveita as contas existentes do Azure dos desenvolvedores. Porém, é provável que a conta de um desenvolvedor tenha mais permissões do que as exigidas pelo aplicativo, excedendo, portanto, as permissões com as quais o aplicativo é executado na produção. Como alternativa, você pode criar entidades de serviço de aplicativo para usar durante o desenvolvimento local, que podem ter o escopo para terem apenas o acesso necessário pelo aplicativo.

1 – Criar um grupo do Microsoft Entra para desenvolvimento local

Como quase sempre há vários desenvolvedores trabalhando em um aplicativo, recomenda-se a criação de um grupo Microsoft Entra para encapsular as funções (permissões) de que o aplicativo precisa no desenvolvimento local. Essa abordagem oferece as seguintes vantagens:

• Cada desenvolvedor deve ter as mesmas funções atribuídas, já que as funções são atribuídas no nível do grupo.
• Se for necessária uma nova função para o aplicativo, ela só precisará ser adicionada ao grupo do aplicativo.
• Se um novo desenvolvedor ingressar na equipe, ele obterá as permissões necessárias para trabalhar no aplicativo depois de ser adicionado ao grupo.

Se você tiver um grupo existente do Microsoft Entra para sua equipe de desenvolvimento, poderá usar esse grupo. Caso contrário, conclua as etapas a seguir para criar um grupo do Microsoft Entra.

Portal do Azure

Instruções	Captura de tela
Navegue até a página do Microsoft Entra ID no portal do Azure digitando Microsoft Entra ID na caixa de pesquisa na parte superior da página. Selecione Microsoft Entra ID na seção Serviços.
Na página Microsoft Entra ID, selecione Grupos no menu à esquerda.
Na página Todos os grupos, selecione Novo grupo.
Na página Novo grupo: Selecione Segurança na lista suspensa Tipo de Grupo. Nome do grupo → Um nome para o grupo de segurança, normalmente criado com base no nome do aplicativo. Também é útil incluir uma cadeia de caracteres como desenvolvimento local no nome do grupo para indicar a finalidade do grupo. Descrição do grupo → Uma descrição da finalidade do grupo. Selecione o link Nenhum membro selecionado em Membros para adicionar membros ao grupo.
Na caixa de diálogo Adicionar membros: Use a caixa de pesquisa para filtrar a lista de nomes de usuário. Escolha um ou mais usuários para desenvolvimento local para esse aplicativo. À medida que você escolhe um objeto, o objeto se move para a lista Itens selecionados na parte inferior da caixa de diálogo. Quando terminar, escolha o botão Selecionar.
De volta à página Novo Grupo, selecione Criar para criar o grupo. O grupo será criado e você será levado de volta à página Todos os grupos. Pode levar até 30 segundos para que o grupo apareça e talvez seja necessário atualizar a página devido ao cache no portal do Azure.

CLI do Azure

O comando az ad group create é usado para criar grupos no Microsoft Entra ID. Os parâmetros --display-name e --mail-nickname são obrigatórios. O nome fornecido ao grupo deve ser baseado no nome do aplicativo. Também é útil incluir uma frase como "desenvolvimento local" no nome do grupo para indicar a finalidade do grupo.

az ad group create \
    --display-name MyDisplay \
    --mail-nickname MyDisplay \
    --description <group-description>

Copie o valor da propriedade id na saída do comando. Essa propriedade id representa a ID do objeto do grupo. Você precisa dele em etapas posteriores. Você também pode usar o comando az ad group show para recuperar essa propriedade.

Para adicionar membros ao grupo, você precisa da ID do objeto do usuário do Azure. Use o comando az ad user list para listar as entidades de serviço disponíveis. O comando do parâmetro --filter aceita filtros no estilo OData e pode ser usado para filtrar a lista no nome de exibição do usuário, conforme mostrado. O parâmetro --query limita a saída às colunas de interesse.

az ad user list \
    --filter "startswith(displayName, 'Bob')" \
    --query "[].{objectId:id, displayName:displayName}" \
    --output table

O comando az ad group member add pode ser usado para adicionar membros a um grupo:

az ad group member add \
    --group <group-name> \
    --member-id <object-id>

Observação

Por padrão, a criação de grupos do Microsoft Entra é limitada a determinadas funções privilegiadas em um diretório. Se não for possível criar um grupo, entre em contato com um administrador do seu diretório. Se você não puder adicionar membros a um grupo existente, entre em contato com o proprietário do grupo ou com um administrador de diretório. Para saber mais, consulte Gerenciar grupos do Microsoft Entra e associação de grupo.

2 – Atribuir funções ao grupo Microsoft Entra

Em seguida, determine quais funções (permissões) seu aplicativo precisa em quais recursos e atribua essas funções ao seu aplicativo. Nesse exemplo, as funções são atribuídas ao grupo do Microsoft Entra criado na etapa 1. Os grupos podem receber uma função em um recurso, grupo de recursos ou escopo de assinatura. Esse exemplo mostra como atribuir funções no grupo de recursos, pois a maioria dos aplicativos agrupa todos os recursos do Azure em um único grupo de recursos.

Portal do Azure

Instruções	Captura de tela
Localize o grupo de recursos no seu aplicativo pesquisando o nome do grupo de recursos usando a caixa de pesquisa na parte superior do portal do Azure. Navegue até o grupo de recursos selecionando o nome do grupo de recursos no título Grupos de recursos na caixa de diálogo.
Na página do grupo de recursos, selecione Controle de acesso (IAM) no menu à esquerda.
Na página Controle de acesso (IAM): Selecione a guia Atribuições de função. Selecione + Adicionar no menu superior e, em seguida, Adicionar atribuição de função no menu suspenso resultante.
A página Adicionar atribuição de função lista todas as funções que podem ser atribuídas ao grupo de recursos. Use a caixa de pesquisa para filtrar a lista para obter um tamanho mais gerenciável. Este exemplo mostra como filtrar as funções do Blob de Armazenamento. Selecione a função que você deseja atribuir. Selecione Avançar para ir para a próxima tela.
A próxima página Adicionar atribuição de função permite especificar a qual usuário atribuir a função. Selecione Usuário, grupo ou entidade de serviço emAtribuir acesso a. Selecione + Selecionar membros em Membros. Uma caixa de diálogo é aberta no lado direito do portal do Azure.
Na caixa de diálogo Selecionar membros: A caixa de texto Selecionar pode ser usada para filtrar a lista de usuários e grupos em sua assinatura. Se necessário, digite os primeiros caracteres do grupo de desenvolvimento local do Microsoft Entra que você criou para o aplicativo. Selecione o grupo de desenvolvimento local do Microsoft Entra associado ao seu aplicativo. Para continuar, selecione Selecionar na parte inferior da caixa de diálogo.
O grupo Microsoft Entra é exibido como selecionado na tela Adicionar atribuição da função. Selecione Revisar + atribuir para ir para a página final e, em seguida, Revisar + atribuir novamente para concluir o processo.

CLI do Azure

Uma entidade de serviço de aplicativo recebe uma função no Azure usando o comando az role assignment create:

az role assignment create \
    --assignee "{appId}" \
    --role "{roleName}" \
    --resource-group "{resourceGroupName}"

Para obter os nomes da função aos quais uma entidade de serviço pode ser atribuída, use o comando az role definition list:

az role definition list \
    --query "sort_by([].{roleName:roleName, description:description}, &roleName)" \
    --output table

Por exemplo, para permitir que a entidade de serviço do aplicativo com o appId do acesso 00000000-0000-0000-0000-000000000000 de leitura, gravação e exclusão aos contêineres de blobs e dados do Armazenamento do Azure para todas as contas de armazenamento no grupo de recursos msdocs-dotnet-sdk-auth-example, você atribuiria a entidade de serviço do aplicativo à função Colaborador de Dados do Blob de Armazenamento usando o seguinte comando:

az role assignment create \
    --assignee "00000000-0000-0000-0000-000000000000" \
    --role "Storage Blob Data Contributor" \
    --resource-group "msdocs-dotnet-sdk-auth-example"

Para obter informações sobre como atribuir as permissões no nível do recurso ou da assinatura usando a CLI do Azure, consulte Atribuir funções do Azure usando a CLI do Azure.

3 – Entrar no Azure usando as ferramentas de desenvolvedor

Em seguida, entre no Azure usando uma das várias ferramentas de desenvolvedor. A conta autenticada também deve existir no grupo do Microsoft Entra que você criou e configurou anteriormente.

Visual Studio

1. Navegue até Ferramentas>Opções para abrir a caixa de diálogo de opções.

2. Na caixa Opções de Pesquisa na parte superior, digite Azure para filtrar as opções disponíveis.

3. Em Autenticação de Serviço do Azure, escolha Seleção da Conta.

4. Selecione o menu suspenso em Escolher uma conta e escolha adicionar uma conta da Microsoft. Uma janela é aberta, solicitando que você escolha uma conta. Insira as credenciais da conta desejada do Azure e selecione a confirmação.

   

5. Selecione OK para fechar a caixa de diálogo de opções.

CLI do Azure

Abra um terminal na estação de trabalho do desenvolvedor e entre no Azure da CLI do Azure:

az login

CLI do Desenvolvedor do Azure

Abra um terminal na estação de trabalho do desenvolvedor e entre no Azure da CLI do desenvolvedor do Azure:

azd auth login

PowerShell do Azure

Abra um terminal na estação de trabalho do desenvolvedor e entre no Azure do Azure PowerShell:

Connect-AzAccount

4 – Implementar DefaultAzureCredential no seu aplicativo

DefaultAzureCredential é uma sequência opinativa e ordenada de mecanismos para autenticação no Microsoft Entra. Cada mecanismo de autenticação é uma classe derivada da classe TokenCredential e é conhecida como credenciais. No runtime, DefaultAzureCredential tenta autenticar usando a primeira credencial. Se essa credencial não conseguir adquirir um token de acesso, a próxima credencial na sequência será tentada e assim por diante, até que um token de acesso seja obtido com êxito. Dessa forma, seu aplicativo pode usar credenciais diferentes em ambientes diferentes sem escrever código específico para cada ambiente.

A ordem e os locais em que DefaultAzureCredential procura credenciais são encontrados em DefaultAzureCredential.

Para usar DefaultAzureCredential, adicione os pacotes Azure.Identity e, opcionalmente, os pacotes Microsoft.Extensions.Azure ao seu aplicativo:

Linha de comando

Em um terminal da sua escolha, navegue até o diretório do projeto de aplicativo e execute os seguintes comandos:

dotnet add package Azure.Identity
dotnet add package Microsoft.Extensions.Azure

Gerenciador de Pacotes NuGet

Clique com o botão direito do mouse no seu projeto na janela Gerenciador de Soluções do Visual Studio e selecione Gerenciar Pacotes NuGet. Pesquise Azure.Identity e instale o pacote correspondente. Repita esse processo no pacote Microsoft.Extensions.Azure.

Os serviços do Azure são acessados usando classes de cliente especializadas das várias bibliotecas de clientes do SDK do Azure. Essas classes e seus próprios serviços personalizados devem ser registrados para que possam ser acessados pela injeção de dependência no aplicativo. Em Program.cs, conclua as seguintes etapas para registrar uma classe cliente e DefaultAzureCredential:

1. Inclua os namespaces Azure.Identity e Microsoft.Extensions.Azure com pelas diretivas using.
2. Registre o cliente de serviço do Azure usando o método de extensão com prefixo Addcorrespondente.
3. Passe uma instância do DefaultAzureCredential para o método UseCredential.

Por exemplo:

using Microsoft.Extensions.Azure;
using Azure.Identity;

builder.Services.AddAzureClients(clientBuilder =>
{
    clientBuilder.AddBlobServiceClient(
        new Uri("https://<account-name>.blob.core.windows.net"));
    clientBuilder.UseCredential(new DefaultAzureCredential());
});

Uma alternativa para UseCredential é criar uma instância DefaultAzureCredential diretamente:

using Azure.Identity;

builder.Services.AddSingleton<BlobServiceClient>(_ =>
    new BlobServiceClient(
        new Uri("https://<account-name>.blob.core.windows.net"),
        new DefaultAzureCredential()));

Quando o código anterior é executado na sua estação de trabalho de desenvolvimento local, ele procura nas variáveis de ambiente uma entidade de serviço de aplicativo ou nas ferramentas de desenvolvedor instaladas localmente, como o Visual Studio, para um conjunto de credenciais de desenvolvedor. Qualquer abordagem pode ser usada para autenticar o aplicativo nos recursos do Azure durante o desenvolvimento local.

Quando implantado no Azure, esse mesmo código também pode autenticar seu aplicativo em outros recursos do Azure. DefaultAzureCredential pode recuperar configurações de ambiente e configurações de identidade gerenciada para autenticar-se em outros serviços automaticamente.