Como autenticar aplicativos .NET nos serviços do Azure usando o Azure .NET SDK

Quando um aplicativo precisa acessar um recurso do Azure, como armazenamento, cofre de chaves ou serviços cognitivos, o aplicativo deve ser autenticado no Azure. Isso vale para todos os aplicativos, independentemente de serem implantados no Azure, localmente ou em desenvolvimento em uma estação de trabalho de desenvolvedor local. Este artigo descreve as abordagens recomendadas para autenticar um aplicativo no Azure ao usar o Azure SDK para .NET.

É recomendável que os aplicativos usem autenticação baseada em token em vez de cadeias de conexão ao autenticar recursos do Azure. O Azure SDK para .NET fornece classes que dão suporte à autenticação baseada em token e permitem que os aplicativos se autentiquem perfeitamente nos recursos do Azure se o aplicativo estiver em desenvolvimento local, implantado no Azure ou implantado em um servidor local.

O tipo específico de autenticação baseada em token que um aplicativo deve usar para autenticar nos recursos do Azure depende de onde o aplicativo está sendo executado e é mostrado no diagrama a seguir.

Um diagrama mostrando as estratégias de autenticação recomendadas baseadas em token para um aplicativo que depende do local de execução.

  • Quando um desenvolvedor está executando um aplicativo durante o desenvolvimento local - O aplicativo pode se autenticar no Azure usando uma entidade de serviço de aplicativo para desenvolvimento local ou usando as credenciais do Azure do desenvolvedor. Cada uma dessas opções é discutida mais detalhadamente na seção autenticação durante o desenvolvimento local.
  • Quando um aplicativo é hospedado no Azure - O aplicativo deve se autenticar nos recursos do Azure usando uma identidade gerenciada. Essa opção é discutida mais detalhadamente abaixo na seção autenticação em ambientes de servidor.
  • Quando um aplicativo é hospedado e implantado localmente - O aplicativo deve se autenticar nos recursos do Azure usando uma entidade de serviço de aplicativo. Essa opção é discutida mais detalhadamente abaixo na seção autenticação em ambientes de servidor.

DefaultAzureCredential

A classe DefaultAzureCredential fornecida pelo Azure SDK permite que os aplicativos usem métodos de autenticação diferentes dependendo do ambiente em que são executados. Isso permite que os aplicativos sejam promovidos do desenvolvimento local para os ambientes de teste para a produção sem alterações de código. Você configura o método de autenticação apropriado para cada ambiente e DefaultAzureCredential detectará e usará automaticamente esse método de autenticação. O uso de DefaultAzureCredential deve ser preferido em vez de codificar manualmente a lógica condicional ou sinalizadores de recursos para usar diferentes métodos de autenticação em ambientes diferentes.

Os detalhes sobre como usar a classe DefaultAzureCredential são abordados posteriormente neste artigo na seção Usar DefaultAzureCredential em um aplicativo.

Vantagens da autenticação baseada em token

A autenticação baseada em token é altamente recomendada ao usar cadeias de conexão ao criar aplicativos para o Azure. A autenticação baseada em token oferece as seguintes vantagens sobre a autenticação com cadeias de conexão.

  • Os métodos de autenticação baseados em token descritos abaixo permitem estabelecer as permissões específicas necessárias para o aplicativo no recurso do Azure. Isso segue o princípio de privilégios mínimos. Por outro lado, uma cadeia de conexão concede direitos completos ao recurso do Azure.
  • Enquanto qualquer pessoa ou qualquer aplicativo com uma cadeia de conexão pode se conectar a um recurso do Azure, os métodos de autenticação baseados em token têm acesso ao recurso apenas para os aplicativos destinados a acessar o recurso.
  • No caso de uma identidade gerenciada, não há nenhum segredo do aplicativo a ser armazenado. Isso torna o aplicativo mais seguro porque não há nenhuma cadeia de conexão ou segredo do aplicativo do que pode ser comprometido.
  • O pacote Azure.identity no Azure SDK gerencia tokens para você nos bastidores. Isso torna o uso da autenticação baseada em token tão fácil de usar como uma cadeia de conexão.

O uso de cadeias de conexão deve ser limitado à prova inicial de aplicativos conceituais ou protótipos de desenvolvimento que não acessam dados confidenciais ou de produção. Caso contrário, as classes de autenticação baseadas em token disponíveis no SDK do Azure devem ser sempre preferenciais ao autenticar recursos do Azure.

Autenticação em ambientes de servidor

Ao hospedar em um ambiente de servidor, cada aplicativo deve receber uma identidade de aplicativo exclusiva por ambiente em que o aplicativo é executado. No Azure, uma identidade de aplicativo é representada por uma entidade de serviço, um tipo especial de entidade de segurança destinada a identificar e autenticar aplicativos no Azure. O tipo de entidade de serviço a ser usada para seu aplicativo depende de onde seu aplicativo está em execução.

Método de autenticação Descrição
Aplicativos hospedados no Azure Os aplicativos hospedados no Azure devem usar uma entidade de serviço de Identidade Gerenciada. As identidades gerenciadas foram projetadas para representar a identidade de um aplicativo hospedado no Azure e só podem ser usadas com aplicativos hospedados no Azure.

Por exemplo, um aplicativo Web .NET hospedado em Serviço de Aplicativo do Azure seria atribuído a uma Identidade Gerenciada. A Identidade Gerenciada atribuída ao aplicativo seria usada para autenticar o aplicativo em outros serviços do Azure.

Aplicativos hospedados fora do Azure
(por exemplo, aplicativos locais)
Os aplicativos hospedados fora do Azure (por exemplo, aplicativos locais) que precisam se conectar aos serviços do Azure devem usar uma entidade de serviço de aplicativo. Uma entidade de serviço de aplicativo representa a identidade do aplicativo no Azure e é criada por meio do processo de registro do aplicativo.

Por exemplo, considere um aplicativo Web .NET hospedado localmente que usa Armazenamento de Blobs do Azure. Você criaria uma entidade de serviço de aplicativo para o aplicativo usando o processo de registro de aplicativo. O AZURE_CLIENT_ID, AZURE_TENANT_ID e AZURE_CLIENT_SECRET seriam armazenados como variáveis de ambiente para serem lidos pelo aplicativo em runtime e permitir que o aplicativo se autenticasse no Azure usando a entidade de serviço de aplicativo.

Autenticação durante o desenvolvimento local

Quando um aplicativo é executado na estação de trabalho de um desenvolvedor durante o desenvolvimento local, ele ainda deve se autenticar em todos os serviços do Azure usados pelo aplicativo. As duas principais estratégias para autenticar aplicativos no Azure durante o desenvolvimento local são:

Método de autenticação Descrição
Criar objetos de entidade de serviço de aplicativo dedicados a serem usados durante o desenvolvimento local Nesse método, os objetos de entidade de serviço de aplicativo dedicados são configurados usando o processo de registro de aplicativo para uso durante o desenvolvimento local. A identidade da entidade de serviço é armazenada como variáveis de ambiente a serem acessadas pelo aplicativo quando ela é executada no desenvolvimento local.

Esse método permite atribuir as permissões de recurso específicas necessárias pelo aplicativo aos objetos da entidade de serviço usados pelos desenvolvedores durante o desenvolvimento local. Isso garante que o aplicativo tenha acesso somente aos recursos específicos necessários e replica as permissões que o aplicativo terá em produção.

A desvantagem dessa abordagem é a necessidade de criar objetos de entidade de serviço separados para cada desenvolvedor que trabalha em um aplicativo.

Autentique o aplicativo no Azure usando as credenciais do desenvolvedor durante o desenvolvimento local Nesse método, um desenvolvedor deve estar inscrito no Azure a partir do Visual Studio, da extensão Azure Tools para VS Code, do CLI do Azure ou do Azure PowerShell na sua estação de trabalho local. A aplicação pode então aceder às credenciais do desenvolvedor a partir da loja de credenciais e utilizar essas credenciais para aceder aos recursos do Azure a partir da aplicação.

Esse método tem a vantagem de uma configuração mais fácil, uma vez que um desenvolvedor só precisa fazer login em sua conta do Azure no Visual Studio, no VS Code ou na CLI do Azure. A desvantagem dessa abordagem é que provavelmente a conta do desenvolvedor tem mais permissões do que o exigido pelo aplicativo. Portanto, essa abordagem não replica com precisão as permissões com as quais o aplicativo será executado na produção.

Usar DefaultAzureCredential em um aplicativo

DefaultAzureCredential dá suporte a vários métodos de autenticação e determina o método de autenticação que está sendo usado em runtime. Dessa forma, seu aplicativo pode usar diferentes métodos de autenticação em ambientes diferentes sem implementar código específico do ambiente.

A ordem e os locais em que DefaultAzureCredential procura credenciais são encontrados em DefaultAzureCredential.

Para implementar DefaultAzureCredential, primeiro adicione os pacotes Azure.Identity e, opcionalmente, os pacotes Microsoft.Extensions.Azure ao seu aplicativo. Você pode fazer isso usando a linha de comando ou o Gerenciador de Pacotes NuGet.

Abra um ambiente de terminal de sua escolha no diretório do projeto do aplicativo e insira o comando abaixo.

dotnet add package Azure.Identity
dotnet add package Microsoft.Extensions.Azure

Os serviços do Azure geralmente são acessados usando classes de cliente correspondentes do SDK. Essas classes e seus próprios serviços personalizados devem ser registrados no arquivo Program.cs para que possam ser acessados por meio de injeção de dependência em todo o aplicativo. Dentro de Program.cs, siga as etapas abaixo para configurar corretamente seu serviço e DefaultAzureCredential.

  1. Inclua os namespaces Azure.Identity e Microsoft.Extensions.Azure com uma instrução em uso.
  2. Registre o serviço do Azure usando métodos auxiliares relevantes.
  3. Passe uma instância do objeto DefaultAzureCredential para o método UseCredential.

Um exemplo disso é mostrado na ilustração a seguir.

using Microsoft.Extensions.Azure;
using Azure.Identity;

// Inside of Program.cs
builder.Services.AddAzureClients(x =>
{
    x.AddBlobServiceClient(new Uri("https://<account-name>.blob.core.windows.net"));
    x.UseCredential(new DefaultAzureCredential());
});

Como alternativa, você também pode utilizar DefaultAzureCredential em seus serviços mais diretamente sem a ajuda de métodos de registro adicionais do Azure, conforme visto abaixo.

using Azure.Identity;

// Inside of Program.cs
builder.Services.AddSingleton<BlobServiceClient>(x => 
    new BlobServiceClient(
        new Uri("https://<account-name>.blob.core.windows.net"),
        new DefaultAzureCredential()));

Quando o código acima for executado em sua estação de trabalho local durante o desenvolvimento local, ele procurará nas variáveis de ambiente de uma entidade de serviço de aplicativo ou no Visual Studio, VS Code, na CLI do Azure ou Azure PowerShell um conjunto de credenciais de desenvolvedor, que podem ser usadas para autenticar o aplicativo nos recursos do Azure durante o desenvolvimento local.

Quando implantado no Azure, esse mesmo código também pode autenticar seu aplicativo em outros recursos do Azure. DefaultAzureCredential pode recuperar configurações de ambiente e configurações de identidade gerenciada para autenticar-se em outros serviços automaticamente.

Explorando a sequência de métodos de autenticação DefaultAzureCredential

Internamente, DefaultAzureCredential implementa uma cadeia de provedores de credenciais para autenticar aplicativos em recursos do Azure. Cada provedor de credenciais é capaz de detectar se as credenciais desse tipo estão configuradas para o aplicativo. DefaultAzureCredential verifica sequencialmente cada provedor em ordem e usa as credenciais do primeiro provedor que tem credenciais configuradas.

A ordem e os locais em que DefaultAzureCredential procura credenciais são encontrados em DefaultAzureCredential.

Tipo de credencial Descrição
Entidade de serviço de aplicativo DefaultAzureCredential lê um conjunto de variáveis de ambiente para determinar se uma entidade de serviço de aplicativo (usuário do aplicativo) foi definida para o aplicativo. Nesse caso, DefaultAzureCredential usa esses valores para autenticar o aplicativo no Azure.

Esse método geralmente é usado em ambientes de servidor, mas também pode ser usado ao desenvolver localmente.
Identidade Gerenciada Se o aplicativo for implantado em um host do Azure com identidade gerenciada habilitada, DefaultAzureCredential autenticará o aplicativo no Azure usando essa Identidade gerenciada. A autenticação usando uma Identidade Gerenciada é discutida na seção Autenticação em ambientes de servidor deste documento.

Esse método só estará disponível quando um aplicativo é hospedado no Azure usando um serviço como Serviço de Aplicativo do Azure, Azure Functions ou Máquinas Virtuais do Azure.
Visual Studio Se o desenvolvedor tiver se autenticado no Azure fazendo logon no Visual Studio, DefaultAzureCredential autenticará o aplicativo no Azure usando essa mesma conta.
Visual Studio Code Se o desenvolvedor tiver autenticado no Azure usando o Visual Studio Code plug-in da Conta do Azure, DefaultAzureCredential autenticará o aplicativo no Azure usando essa mesma conta.
CLI do Azure Se um desenvolvedor tiver autenticado no Azure usando o comando az login na CLI do Azure, DefaultAzureCredential autenticará o aplicativo no Azure usando essa mesma conta.
Azure PowerShell Se um desenvolvedor tiver autenticado no Azure usando o Connect-AzAccount do Azure PowerShell, DefaultAzureCredential autenticará o aplicativo no Azure usando essa mesma conta.
Interativo Se habilitado, DefaultAzureCredential autenticará interativamente o desenvolvedor por meio do navegador padrão do sistema atual. Por padrão, essa opção está desabilitada.