Usar uma identidade gerenciada para conectar o Banco de Dados SQL do Azure a um aplicativo implantado no Azure Spring Apps

Artigo
02/02/2024

Nota

Azure Spring Apps é o novo nome para o serviço Azure Spring Cloud. Embora o serviço tenha um novo nome, você verá o nome antigo em alguns lugares por um tempo enquanto trabalhamos para atualizar ativos, como capturas de tela, vídeos e diagramas.

Este artigo aplica-se a: ✔️ Java ✔️ C#

Este artigo aplica-se a: ✔️ Basic/Standard ✔️ Enterprise

Este artigo mostra como criar uma identidade gerenciada para um aplicativo implantado no Azure Spring Apps e usá-lo para acessar o Banco de Dados SQL do Azure.

O Banco de Dados SQL do Azure é o serviço de banco de dados relacional, escalável e inteligente criado para a nuvem. Está sempre atualizado, com recursos automatizados e alimentados por IA que otimizam o desempenho e a durabilidade. A computação sem servidor e as opções de armazenamento do Hyperscale dimensionam os recursos automaticamente a pedido, pelo que se pode concentrar em criar aplicações novas sem se preocupar com a gestão do tamanho do armazenamento ou com os recursos.

Pré-requisitos

Uma conta do Azure com uma subscrição ativa. Crie uma conta gratuitamente.
Azure CLI versão 2.45.0 ou superior.
Siga o tutorial JPA do Spring Data para provisionar um Banco de Dados SQL do Azure e fazê-lo funcionar com um aplicativo Java localmente.
Siga o tutorial de identidade gerenciada atribuída pelo sistema do Azure Spring Apps para provisionar um aplicativo no Azure Spring Apps com identidade gerenciada habilitada.

Conectar-se ao Banco de Dados SQL do Azure com uma identidade gerenciada

Você pode conectar seu aplicativo a um Banco de Dados SQL do Azure com uma identidade gerenciada seguindo etapas manuais ou usando o Service Connector.

Configuração manual
Conector de serviço

Conceder permissão à identidade gerenciada

Conecte-se ao seu servidor SQL e execute a seguinte consulta SQL:

CREATE USER [<managed-identity-name>] FROM EXTERNAL PROVIDER;
ALTER ROLE db_datareader ADD MEMBER [<managed-identity-name>];
ALTER ROLE db_datawriter ADD MEMBER [<managed-identity-name>];
ALTER ROLE db_ddladmin ADD MEMBER [<managed-identity-name>];
GO

O valor do espaço reservado <managed-identity-name> segue a regra <service-instance-name>/apps/<app-name>, por exemplo: myspringcloud/apps/sqldemo. Você também pode usar o seguinte comando para consultar o nome da identidade gerenciada com a CLI do Azure:

az ad sp show --id <identity-object-ID> --query displayName

Configure seu aplicativo Java para usar uma identidade gerenciada

Abra o arquivo src/main/resources/application.properties e adicione Authentication=ActiveDirectoryMSI; no final da spring.datasource.url linha, conforme mostrado no exemplo a seguir. Certifique-se de usar o valor correto para a variável $AZ_DATABASE_NAME.

spring.datasource.url=jdbc:sqlserver://$AZ_DATABASE_NAME.database.windows.net:1433;database=demo;encrypt=true;trustServerCertificate=false;hostNameInCertificate=*.database.windows.net;loginTimeout=30;Authentication=ActiveDirectoryMSI;

Nota

Os conectores de serviço são criados no nível de implantação. Portanto, se outra implantação for criada, você precisará criar as conexões novamente.

Configure seu aplicativo implantado no Azure Spring Apps para se conectar a um Banco de Dados SQL do Azure com uma identidade gerenciada atribuída ao sistema usando o az spring connection create comando, conforme mostrado no exemplo a seguir.

Use o seguinte comando para instalar a extensão sem senha do Service Connector para a CLI do Azure:
```
az extension add --name serviceconnector-passwordless --upgrade
```

Use o seguinte comando para se conectar ao banco de dados:

az spring connection create sql \
    --resource-group $SPRING_APP_RESOURCE_GROUP \
    --service $SPRING_APP_SERVICE_NAME \
    --app $APP_NAME \
    --deployment $DEPLOYMENT_NAME \
    --target-resource-group $SQL_RESOURCE_GROUP \
    --server $SQL_SERVER_NAME \
    --database $DATABASE_NAME \
    --system-identity

Use o seguinte comando para verificar o resultado da criação:

export CONNECTION_NAME=$(az spring connection list \
   --resource-group $SPRING_APP_RESOURCE_GROUP \
   --service $SPRING_APP_SERVICE_NAME \
   --app $APP_NAME  \
   --query '[0].name' \
   --output tsv)

az spring connection list-configuration \
   --resource-group $SPRING_APP_RESOURCE_GROUP \
   --service $SPRING_APP_SERVICE_NAME \
   --app $APP_NAME  \
   --connection $CONNECTION_NAME

Criar e implantar o aplicativo no Azure Spring Apps

Recrie o aplicativo e implante-o no Azure Spring Apps provisionado no segundo ponto em Pré-requisitos. Agora você tem um aplicativo Spring Boot autenticado por uma identidade gerenciada que usa JPA para armazenar e recuperar dados de um Banco de Dados SQL do Azure no Azure Spring Apps.