Identidades gerenciadas em Aplicativos de Contêiner do Azure

Uma identidade gerenciada do Microsoft Entra ID permite que seu aplicativo de contêiner acesse outros recursos protegidos pelo Microsoft Entra. Para obter mais informações sobre identidades gerenciadas no Microsoft Entra ID, consulte Identidades gerenciadas para recursos do Azure.

Seu aplicativo de contêiner pode receber dois tipos de identidades:

• Uma identidade atribuída pelo sistema é vinculada ao seu aplicativo de contêiner e é excluída quando seu aplicativo de contêiner é excluído. Uma aplicação só pode ter uma identidade atribuída pelo sistema.
• Uma identidade atribuída pelo usuário é um recurso autônomo do Azure que pode ser atribuído ao seu aplicativo de contêiner e outros recursos. Um aplicativo de contêiner pode ter várias identidades atribuídas pelo usuário. A identidade existe até que você os exclua.

Por que usar uma identidade gerenciada?

Você pode usar uma identidade gerenciada em um aplicativo de contêiner em execução para autenticar em qualquer serviço que ofereça suporte à autenticação do Microsoft Entra.

Com identidades gerenciadas:

• Seu aplicativo se conecta a recursos com a identidade gerenciada. Você não precisa gerenciar credenciais em seu aplicativo de contêiner.
• Você pode usar o controle de acesso baseado em função para conceder permissões específicas a uma identidade gerenciada.
• As identidades atribuídas pelo sistema são criadas e gerenciadas automaticamente. Eles são excluídos quando seu aplicativo de contêiner é excluído.
• Você pode adicionar e excluir identidades atribuídas pelo usuário e atribuí-las a vários recursos. Eles são independentes do ciclo de vida do seu aplicativo de contêiner.
• Você pode usar a identidade gerenciada para autenticar com um Registro de Contêiner do Azure privado sem um nome de usuário e senha para extrair contêineres para seu Aplicativo de Contêiner.
• Você pode usar a identidade gerenciada para criar conexões para aplicativos habilitados para Dpr por meio de componentes do Dapr

Casos comuns de utilização

As identidades atribuídas pelo sistema são melhores para cargas de trabalho que:

• estão contidos num único recurso
• precisam de identidades independentes

As identidades atribuídas pelo usuário são ideais para cargas de trabalho que:

• executar em vários recursos e pode compartilhar uma única identidade
• precisa de pré-autorização para um recurso seguro

Limitações

Não há suporte para o uso de identidades gerenciadas em regras de escala. Você ainda precisará incluir a cadeia de conexão ou a chave na secretRef regra de dimensionamento.

Os contêineres de inicialização não podem acessar identidades gerenciadas.

Configurar identidades geridas

Você pode configurar suas identidades gerenciadas através de:

• Portal do Azure
• da CLI do Azure
• seu modelo do Azure Resource Manager (ARM)

Quando uma identidade gerenciada é adicionada, excluída ou modificada em um aplicativo de contêiner em execução, o aplicativo não é reiniciado automaticamente e uma nova revisão não é criada.

Nota

Ao adicionar uma identidade gerenciada a um aplicativo de contêiner implantado antes de 11 de abril de 2022, você deve criar uma nova revisão.

Adicionar uma identidade atribuída ao sistema

Portal do Azure

1. Na navegação à esquerda da página do aplicativo contêiner, role para baixo até o grupo Configurações .

2. Selecione Identidade.

3. Na guia Sistema atribuído, alterne Status para Ativado. Selecione Guardar.

CLI do Azure

Execute o comando para criar uma identidade atribuída ao az containerapp identity assign sistema:

az containerapp identity assign --name myApp --resource-group myResourceGroup --system-assigned

Modelo ARM

Um modelo ARM pode ser usado para automatizar a implantação de seu aplicativo de contêiner e recursos. Para adicionar uma identidade atribuída ao sistema, adicione uma identity seção ao seu modelo ARM.

"identity": {
    "type": "SystemAssigned"
}

Adicionar o tipo atribuído pelo sistema informa ao Azure para criar e gerenciar a identidade para seu aplicativo. Para obter um exemplo completo de modelo ARM, consulte Especificação da API ARM.

YAML

Alguns comandos da CLI do Azure, incluindo az containerapp create e az containerapp job create, dão suporte a arquivos YAML para entrada. Para adicionar uma identidade atribuída ao sistema, adicione uma identity seção ao seu arquivo YAML.

identity:
  type: SystemAssigned

Adicionar o tipo atribuído pelo sistema informa ao Azure para criar e gerenciar a identidade para seu aplicativo. Para obter um exemplo completo de modelo YAML, consulte Especificação da API ARM.

Adicionar uma identidade atribuída pelo usuário

Configurar um aplicativo de contêiner com uma identidade atribuída pelo usuário requer que você primeiro crie a identidade e, em seguida, adicione seu identificador de recurso à configuração do aplicativo de contêiner. Você pode criar identidades atribuídas pelo usuário por meio do portal do Azure ou da CLI do Azure. Para obter informações sobre como criar e gerenciar identidades atribuídas pelo usuário, consulte Gerenciar identidades gerenciadas atribuídas pelo usuário.

Portal do Azure

Primeiro, você precisará criar um recurso de identidade atribuído pelo usuário.

1. Crie um recurso de identidade gerenciada atribuído pelo usuário de acordo com as etapas encontradas em Gerenciar identidades gerenciadas atribuídas pelo usuário.

2. Na navegação à esquerda da página do aplicativo contêiner, role para baixo até o grupo Configurações .

3. Selecione Identidade.

4. Na guia Usuário atribuído, selecione Adicionar.

5. Procure a identidade que criou anteriormente e selecione-a. Selecione Adicionar.

CLI do Azure

1. Crie uma identidade atribuída pelo usuário.

   az identity create --resource-group <GROUP_NAME> --name <IDENTITY_NAME> --output json
   

   Observe a id propriedade da nova identidade.

2. Execute o az containerapp identity assign comando para atribuir a identidade ao aplicativo. O parâmetro identities é uma lista separada por espaço.

   az containerapp identity assign --resource-group <GROUP_NAME> --name <APP_NAME> \
       --user-assigned <IDENTITY_RESOURCE_ID>
   

   Substitua <IDENTITY_RESOURCE_ID>id pela propriedade da identidade. Para atribuir mais de uma identidade atribuída pelo usuário, forneça uma lista separada por espaços de IDs de identidade para o --user-assigned parâmetro.

Modelo ARM

Para adicionar uma ou mais identidades atribuídas pelo usuário, adicione uma identity seção ao seu modelo ARM. Substitua <IDENTITY1_RESOURCE_ID> e <IDENTITY2_RESOURCE_ID> pelos identificadores de recursos das identidades que você deseja adicionar.

Especifique cada identidade atribuída pelo usuário adicionando um item ao userAssignedIdentities objeto com o identificador de recurso da identidade como chave. Use um objeto vazio como o valor.

"identity": {
    "type": "UserAssigned",
    "userAssignedIdentities": {
        "<IDENTITY1_RESOURCE_ID>": {},
        "<IDENTITY2_RESOURCE_ID>": {}
    }
}

Para obter um exemplo completo de modelo ARM, consulte Especificação da API ARM.

Nota

Um aplicativo pode ter identidades atribuídas ao sistema e ao usuário ao mesmo tempo. Nesse caso, a propriedade type seria SystemAssigned,UserAssigned.

YAML

Para adicionar uma ou mais identidades atribuídas pelo usuário, adicione uma identity seção ao arquivo de configuração do YAML. Substitua <IDENTITY1_RESOURCE_ID> e <IDENTITY2_RESOURCE_ID> pelos identificadores de recursos das identidades que você deseja adicionar.

Especifique cada identidade atribuída pelo usuário adicionando um item ao userAssignedIdentities objeto com o identificador de recurso da identidade como chave. Use um objeto vazio como o valor.

identity:
    type: UserAssigned
    userAssignedIdentities:
        <IDENTITY1_RESOURCE_ID>: {}
        <IDENTITY2_RESOURCE_ID>: {}

Para obter um exemplo completo de modelo YAML, consulte Especificação da API ARM.

Nota

Um aplicativo pode ter identidades atribuídas ao sistema e ao usuário ao mesmo tempo. Nesse caso, a propriedade type seria SystemAssigned,UserAssigned.

Configurar um recurso de destino

Para alguns recursos, você precisará configurar atribuições de função para a identidade gerenciada do seu aplicativo para conceder acesso. Caso contrário, as chamadas do seu aplicativo para serviços, como o Cofre da Chave do Azure e o Banco de Dados SQL do Azure, serão rejeitadas mesmo se você usar um token válido para essa identidade. Para saber mais sobre o controle de acesso baseado em função do Azure (Azure RBAC), consulte O que é RBAC?. Para saber mais sobre quais recursos oferecem suporte a tokens do Microsoft Entra, consulte Serviços do Azure que oferecem suporte à autenticação do Microsoft Entra.

Importante

Os serviços back-end para identidades gerenciadas mantêm um cache por URI de recurso por cerca de 24 horas. Se você atualizar a política de acesso de um recurso de destino específico e recuperar imediatamente um token para esse recurso, poderá continuar a obter um token armazenado em cache com permissões desatualizadas até que esse token expire. Atualmente, não há como forçar uma atualização de token.

Conectar-se aos serviços do Azure no código do aplicativo

Com identidades gerenciadas, um aplicativo pode obter tokens para acessar recursos do Azure que usam a ID do Microsoft Entra, como o Banco de Dados SQL do Azure, o Cofre da Chave do Azure e o Armazenamento do Azure. Esses tokens representam o aplicativo que acessa o recurso, e não qualquer usuário específico do aplicativo.

Container Apps fornece um ponto de extremidade REST acessível internamente para recuperar tokens. O ponto de extremidade REST pode ser acessado de dentro do aplicativo com um HTTP GET padrão, que pode ser implementado com um cliente HTTP genérico em todos os idiomas. Para .NET, JavaScript, Java e Python, a biblioteca de cliente do Azure Identity fornece uma abstração sobre esse ponto de extremidade REST. Conectar-se a outros serviços do Azure é tão simples quanto adicionar um objeto de credencial ao cliente específico do serviço.

Nota

Ao usar a biblioteca de cliente do Azure Identity, a ID do cliente de identidade gerenciada atribuída pelo usuário deve ser especificada.

.NET

Nota

Ao conectar-se a fontes de dados SQL do Azure com o Entity Framework Core, considere usar Microsoft.Data.SqlClient, que fornece cadeias de conexão especiais para conectividade de identidade gerenciada.

Para aplicativos .NET, a maneira mais simples de trabalhar com uma identidade gerenciada é por meio da biblioteca de cliente do Azure Identity para .NET. Consulte os respetivos títulos de documentação da biblioteca do cliente para obter informações:

• Adicionar a biblioteca de cliente do Azure Identity ao seu projeto
• Acessar o serviço do Azure com uma identidade atribuída pelo sistema
• Acessar o serviço do Azure com uma identidade atribuída pelo usuário

Os exemplos vinculados usam DefaultAzureCredential. É útil para a maioria dos cenários porque o mesmo padrão funciona no Azure (com identidades gerenciadas) e em sua máquina local (sem identidades gerenciadas).

JavaScript

Para aplicativos Node.js, a maneira mais simples de trabalhar com uma identidade gerenciada é por meio da biblioteca de cliente do Azure Identity para JavaScript. Consulte os respetivos títulos de documentação da biblioteca do cliente para obter informações:

• Adicionar a biblioteca de cliente do Azure Identity ao seu projeto
• Acessar o serviço do Azure com uma identidade atribuída pelo sistema
• Acessar o serviço do Azure com uma identidade atribuída pelo usuário

Os exemplos vinculados usam DefaultAzureCredential. É útil para a maioria dos cenários porque o mesmo padrão funciona no Azure (com identidades gerenciadas) e em sua máquina local (sem identidades gerenciadas).

Para obter mais exemplos de código da biblioteca de cliente do Azure Identity para JavaScript, consulte Exemplos do Azure Identity.

Python

Para aplicativos Python, a maneira mais simples de trabalhar com uma identidade gerenciada é por meio da biblioteca de cliente do Azure Identity para Python. Consulte os respetivos títulos de documentação da biblioteca do cliente para obter informações:

• Adicionar a biblioteca de cliente do Azure Identity ao seu projeto
• Acessar o serviço do Azure com uma identidade atribuída pelo sistema
• Acessar o serviço do Azure com uma identidade atribuída pelo usuário

Os exemplos vinculados usam DefaultAzureCredential. É útil para a maioria dos cenários porque o mesmo padrão funciona no Azure (com identidades gerenciadas) e em sua máquina local (sem identidades gerenciadas).

Java

Para aplicativos e funções Java, a maneira mais simples de trabalhar com uma identidade gerenciada é por meio da biblioteca de cliente do Azure Identity para Java. Consulte os respetivos títulos de documentação da biblioteca do cliente para obter informações:

• Adicionar a biblioteca de cliente do Azure Identity ao seu projeto
• Acessar o serviço do Azure com uma identidade atribuída pelo sistema
• Acessar o serviço do Azure com uma identidade atribuída pelo usuário

Os exemplos vinculados usam DefaultAzureCredential. É útil para a maioria dos cenários porque o mesmo padrão funciona no Azure (com identidades gerenciadas) e em sua máquina local (sem identidades gerenciadas).

Para obter mais exemplos de código da biblioteca de cliente do Azure Identity para Java, consulte Exemplos de identidade do Azure.

PowerShell

Use o script a seguir para recuperar um token do ponto de extremidade local especificando um URI de recurso de um serviço do Azure. Substitua o espaço reservado pelo URI do recurso para obter o token.

$resourceURI = "https://<AAD-resource-URI>"
$tokenAuthURI = $env:IDENTITY_ENDPOINT + "?resource=$resourceURI&api-version=2019-08-01"
$tokenResponse = Invoke-RestMethod -Method Get -Headers @{"X-IDENTITY-HEADER"="$env:IDENTITY_HEADER"} -Uri $tokenAuthURI
$accessToken = $tokenResponse.access_token

HTTP GET

Uma solicitação HTTP GET bruta se parece com o exemplo a seguir.

Obtenha a URL do ponto de extremidade do token da IDENTITY_ENDPOINT variável de ambiente. x-identity-header contém o GUID armazenado na IDENTITY_HEADER variável de ambiente.

GET http://localhost:42356/msi/token?resource=https://vault.azure.net&api-version=2019-08-01 HTTP/1.1
x-identity-header: 853b9a84-5bfa-4b22-a3f3-0b9a43d9ad8a

Uma resposta pode ser semelhante a este exemplo:

HTTP/1.1 200 OK
Content-Type: application/json

{
    "access_token": "eyJ0eXAi…",
    "expires_on": "1586984735",
    "resource": "https://vault.azure.net",
    "token_type": "Bearer",
    "client_id": "5E29463D-71DA-4FE0-8E69-999B57DB23B0"
}

Essa resposta é a mesma que a resposta para a solicitação de token de acesso de serviço a serviço do Microsoft Entra. Para acessar o Cofre da Chave, você adicionará o valor de a uma conexão de access_token cliente com o cofre.

Referência do ponto de extremidade REST

Um aplicativo de contêiner com uma identidade gerenciada expõe o ponto de extremidade de identidade definindo duas variáveis de ambiente:

• IDENTITY_ENDPOINT - URL local a partir da qual seu aplicativo de contêiner pode solicitar tokens.
• IDENTITY_HEADER - um cabeçalho usado para ajudar a mitigar ataques de falsificação de solicitação do lado do servidor (SSRF). O valor é girado pela plataforma.

Para obter um token para um recurso, faça uma solicitação HTTP GET para o ponto de extremidade, incluindo os seguintes parâmetros:

Nome do parâmetro	Está presente em	Description
recurso	Consulta	O URI do recurso Microsoft Entra do recurso para o qual um token deve ser obtido. O recurso pode ser um dos serviços do Azure que dão suporte à autenticação do Microsoft Entra ou qualquer outro URI de recurso.
api-version	Consulta	A versão da API de token a ser usada. Use "2019-08-01" ou posterior.
CABEÇALHO DE IDENTIDADE X	Cabeçalho	O valor da IDENTITY_HEADER variável de ambiente. Esse cabeçalho atenua os ataques de falsificação de solicitação do lado do servidor (SSRF).
client_id	Consulta	(Opcional) O ID do cliente da identidade atribuída pelo usuário a ser usada. Não pode ser usado em uma solicitação que inclua principal_id, mi_res_idou object_id. Se todos os parâmetros de ID (client_id, , , e ) forem omitidos, principal_idobject_idmi_res_ida identidade atribuída ao sistema será usada.
principal_id	Consulta	(Opcional) O ID principal da identidade atribuída pelo usuário a ser usada. object_id é um alias que pode ser usado em vez disso. Não pode ser usado em uma solicitação que inclua client_id, mi_res_id ou object_id. Se todos os parâmetros de ID (client_id, , , e ) forem omitidos, principal_idobject_idmi_res_ida identidade atribuída ao sistema será usada.
mi_res_id	Consulta	(Opcional) A ID de recurso do Azure da identidade atribuída pelo usuário a ser usada. Não pode ser usado em uma solicitação que inclua principal_id, client_idou object_id. Se todos os parâmetros de ID (client_id, , , e ) forem omitidos, principal_idobject_idmi_res_ida identidade atribuída ao sistema será usada.

Importante

Se você estiver tentando obter tokens para identidades atribuídas pelo usuário, deverá incluir uma das propriedades opcionais. Caso contrário, o serviço de token tentará obter um token para uma identidade atribuída ao sistema, que pode ou não existir.

Exibir identidades gerenciadas

Você pode mostrar as identidades gerenciadas atribuídas pelo sistema e pelo usuário usando o seguinte comando da CLI do Azure. A saída mostra o tipo de identidade gerenciada, IDs de locatário e IDs principais de todas as identidades gerenciadas atribuídas ao seu aplicativo de contêiner.

az containerapp identity show --name <APP_NAME> --resource-group <GROUP_NAME>

Remover uma identidade gerenciada

Quando você remove uma identidade atribuída ao sistema, ela é excluída da ID do Microsoft Entra. As identidades atribuídas ao sistema também são removidas automaticamente do Microsoft Entra ID quando você exclui o próprio recurso do aplicativo contêiner. A remoção de identidades gerenciadas atribuídas pelo usuário do seu aplicativo de contêiner não as remove da ID do Microsoft Entra.

Portal do Azure

1. Na navegação à esquerda da página da sua aplicação, desloque-se para baixo até ao grupo Definições .

2. Selecione Identidade. Em seguida, siga as etapas com base no tipo de identidade:

   • Identidade atribuída ao sistema: na guia Sistema atribuído, alterne Status para Desativado. Selecione Guardar.
   • Identidade atribuída pelo usuário: selecione a guia Usuário atribuído, marque a caixa de seleção da identidade e selecione Remover. Selecione Sim para confirmar.

CLI do Azure

Para remover a identidade atribuída ao sistema:

az containerapp identity remove --name <APP_NAME> --resource-group <GROUP_NAME> --system-assigned

Para remover uma ou mais identidades atribuídas pelo usuário:

az containerapp identity remove --name <APP_NAME> --resource-group <GROUP_NAME> \
    --user-assigned <IDENTITY1_RESOURCE_ID> <IDENTITY2_RESOURCE_ID>

Para remover todas as identidades atribuídas pelo usuário:

az containerapp identity remove --name <APP_NAME> --resource-group <GROUP_NAME> \
    --user-assigned <IDENTITY1_RESOURCE_ID> <IDENTITY2_RESOURCE_ID>

Modelo ARM

Para remover todas as identidades, defina a type identidade do aplicativo contêiner como None no modelo ARM:

"identity": {
    "type": "None"
}

YAML

Para remover todas as identidades, defina a type identidade do aplicativo contêiner como None no arquivo de configuração YAML:

identity:
    type: None

Próximos passos

Monitorar um aplicativo