Аутентификация JavaScript-приложений, развернутых в Azure, для ресурсов Azure с использованием управляемого удостоверения, назначенного системой.

Рекомендуемый подход к проверке подлинности Azure приложения для доступа к другим ресурсам Azure — использовать управляемое удостоверение. Этот подход поддерживается для большинства служб Azure, включая приложения, размещенные на Azure App Service, Azure Container Apps и Azure Virtual Machines. Узнайте больше о различных методах проверки подлинности и подходах на странице обзора проверки подлинности . В следующих разделах вы узнаете:

• Основные понятия управляемого удостоверения
• Создание системного управляемого удостоверения для вашего приложения
• Назначение ролей управляемому удостоверению, назначаемого системой
• Проверка подлинности с помощью управляемого удостоверения, назначаемого системой, из кода приложения

Основные понятия управляемого удостоверения

Управляемое удостоверение позволяет приложению безопасно подключаться к другим ресурсам Azure без использования секретных ключей или других секретов приложения. Внутри Azure отслеживает идентификацию и то, к каким ресурсам разрешено подключаться. Azure использует эту информацию для автоматического получения токенов Microsoft Entra для приложения, чтобы оно могло подключаться к другим ресурсам Azure.

Существует два типа управляемых удостоверений, которые следует учитывать при настройке вашего хостинг-приложения.

• System-assigned удостоверения, управляемые системой, активируются непосредственно на ресурсе Azure и связаны с его жизненным циклом. Когда ресурс удаляется, Azure автоматически удаляет удостоверение для вас. Назначаемые системой удостоверения обеспечивают минимальный подход к использованию управляемых удостоверений.
• назначаемые пользователем управляемые удостоверения создаются как автономные ресурсы Azure и обеспечивают большую гибкость и возможности. Они идеально подходят для решений с несколькими Azure ресурсами, которые должны совместно использовать одинаковые удостоверения и разрешения. Например, если нескольким виртуальным машинам требуется доступ к одному набору ресурсов Azure, управляемое удостоверение, назначаемое пользователем, обеспечивает повторное использование и оптимизированное управление.

Подсказка

Узнайте больше о выборе и управлении управляемыми удостоверениями, назначаемыми системой и пользователем, в статье рекомендации по лучшим практикам работы с управляемыми удостоверениями.

** В следующих разделах приводятся шаги по включению и использованию управляемого удостоверения, назначенного системой, для размещённого в Azure приложения. Если вам нужно использовать управляемое удостоверение, назначаемое пользователем, посетите статью управляемых удостоверений, назначаемых пользователем для получения дополнительной информации.

Включите системно назначаемое управляемое удостоверение на ресурсе размещения Azure

Чтобы начать использовать системно назначенное управляемое удостоверение с вашим приложением, включите удостоверение на Azure-ресурсе, который размещает ваше приложение, например, Azure App Service, Azure Container Apps или экземпляр Azure Virtual Machines.

Управляемое удостоверение, назначаемое системой, можно включить для ресурса Azure с помощью портала Azure или Azure CLI.

Azure

1. В портале Azure перейдите к ресурсу, где размещен код вашего приложения, например, к экземпляру Azure App Service или Azure Container Apps.

2. На странице Обзор ресурса разверните Параметры и выберите Удостоверение в области навигации.

3. На странице "Удостоверение" переключите ползунок "Состояние" на "Вкл".

4. Нажмите кнопку Сохранить, чтобы применить изменения.

   

Azure CLI

команды Azure CLI можно выполнять в Azure Cloud Shell или на рабочей станции с установленным Azure CLI.

Команды Azure CLI, используемые для включения управляемого удостоверения для ресурса Azure, имеют форму az <command-group> identity --resource-group <resource-group-name> --name <resource-name>. Ниже показаны конкретные команды для популярных служб Azure.

Azure App Service:

az webapp identity assign \
    --resource-group <resource-group-name> \
    --name <web-app-name>

Azure Container Apps:

az containerapp identity assign \
    --resource-group <resource-group-name> \
    --name <container-app-name> \
    --system-assigned

Azure Virtual Machines:

az vm identity assign \
    --resource-group <resource-group-name> \
    --name <virtual-machine-name>

Выходные данные выглядят следующим образом:

{
  "principalId": "aaaaaaaa-bbbb-cccc-1111-222222222222",
  "tenantId": "aaaabbbb-0000-cccc-1111-dddd2222eeee",
  "type": "SystemAssigned",
  "userAssignedIdentities": null
}

Это principalId значение является уникальным идентификатором управляемого удостоверения. Сохраните копию этих выходных данных, так как эти значения потребуются на следующем шаге.

Назначьте роли управляемому удостоверению

Затем определите, какие роли необходимы вашему приложению, и назначьте их управляемому удостоверению. Роли можно назначать управляемой идентичности на следующих уровнях:

• Ресурс: назначенные роли применяются только к конкретному ресурсу.
• Группа ресурсов: назначенные роли применяются ко всем ресурсам, содержащимся в группе ресурсов.
• Подписка: назначенные роли применяются ко всем ресурсам, содержащимся в подписке.

В следующем примере показано, как назначать роли в области группы ресурсов, так как многие приложения управляют всеми связанными Azure ресурсами с помощью одной группы ресурсов.

Azure

1. Перейдите на страницу обзора группы ресурсов, содержащей приложение с управляемым удостоверением, назначаемое системой.

2. Выберите элемент управления доступом (IAM) на левой панели навигации.

3. На странице управления доступом (IAM) выберите +Добавить в верхнем меню, а затем выберите "Добавить назначение роли ", чтобы перейти на страницу "Добавить назначение ролей ".

   

4. Страница «Добавление назначения ролей» предлагает пошаговый рабочий процесс с вкладками для назначения ролей идентификациям. На первой вкладке Роль используйте поле поиска вверху, чтобы найти роль, которую вы хотите назначить идентификатору.

5. Выберите роль из результатов и нажмите кнопку "Далее ", чтобы перейти на вкладку "Члены ".

6. Для параметра "Назначить доступ к" выберите "Управляемое удостоверение".

7. Для параметра Участники выберите Выбрать участников, чтобы открыть панель Выбор управляемых удостоверений.

8. На панели "Выбор управляемых удостоверений" используйте раскрывающиеся списки "Подписка" и "Управляемое удостоверение", чтобы отфильтровать результаты поиска для удостоверений. Используйте поле поиска Select, чтобы найти системное удостоверение, которое вы включили для ресурса Azure, который размещает ваше приложение.

   

9. Выберите удостоверение и нажмите кнопку "Выбрать " в нижней части панели, чтобы продолжить.

10. Выберите "Рецензирование" и "Назначить" в нижней части страницы.

11. На последней вкладке "Рецензирование и назначение" нажмите кнопку "Рецензирование" и "Назначить ", чтобы завершить рабочий процесс.

Azure CLI

Управляемое удостоверение назначается на роль в Azure с помощью команды az role assignment create:

az role assignment create \
    --assignee "{managedIdentityId}" \
    --role "{roleName}" \
    --scope "{scope}"

Чтобы получить имена ролей, которым может быть назначен основной объект службы, используйте команду az role definition list:

az role definition list \
    --query "sort_by([].{roleName:roleName, description:description}, &roleName)" \
    --output table

Например, чтобы разрешить управляемому удостоверению с идентификатором aaaaaaaa-bbbb-cccc-1111-222222222222 права на чтение, запись и удаление к контейнерам и данным BLOB-объектов Azure Storage во всех учетных записях хранения в msdocs-sdk-auth-example группе ресурсов, назначьте субъект-справочник приложения участнику роли Вкладчик в данные BLOB-объектов хранилища с помощью следующей команды:

az role assignment create \
    --assignee aaaaaaaa-bbbb-cccc-1111-222222222222 \
    --role "Storage Blob Data Contributor" \
    --scope "/subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/msdocs-sdk-auth-example"

Сведения о назначении разрешений на уровне ресурса или подписки с помощью Azure CLI см. в статье Назначение ролей Azure с использованием Azure CLI.

Аутентификация для подключения к службам Azure из вашего приложения

Библиотека удостоверений Azure предоставляет различные учетные данные — реализации TokenCredential, поддерживающие различные сценарии и потоки проверки подлинности Microsoft Entra. Так как управляемое удостоверение недоступно при локальном выполнении, следующие шаги демонстрируют, какие учетные данные следует использовать в конкретном сценарии:

• Локальная среда разработки: только во время локальной разработки используйте класс DefaultAzureCredential для предварительно настроенной цепочки учетных данных. DefaultAzureCredential обнаруживает учетные данные пользователя из локального инструмента или интегрированной среды разработки, например Azure CLI или Visual Studio Code. Она также обеспечивает гибкость и удобство повторных попыток, время ожидания ответов и поддержку нескольких вариантов проверки подлинности. Дополнительные сведения см. в статье Аутентификация в службах Azure во время локальной разработки.
• Приложения, размещенные в Azure: Когда ваше приложение работает в Azure, используйте ManagedIdentityCredential для безопасного обнаружения управляемой идентичности, настроенной для вашего приложения. Указание этого точного типа учетных данных предотвращает неожиданное получение других доступных учетных данных.

Реализация кода

В проекте JavaScript добавьте пакет @azure/identity . В выбранном терминале перейдите к каталогу проекта приложения и выполните следующие команды:

npm install @azure/identity

доступ к службам Azure осуществляется с использованием специализированных классов клиентов из различных клиентских библиотек Azure SDK. В index.js выполните следующие действия, чтобы настроить аутентификацию на основании токенов:

1. Импортируйте пакет @azure/identity.

2. Передайте клиенту соответствующий TokenCredential экземпляр:

   • Используйте DefaultAzureCredential, когда ваше приложение работает локально
   • Используйте ManagedIdentityCredential при запуске приложения в Azure.

   import { BlobServiceClient } from '@azure/storage-blob';
   import { ManagedIdentityCredential, DefaultAzureCredential } from '@azure/identity';
   
   function createBlobServiceClient() {
       const accountName = process.env.AZURE_STORAGE_ACCOUNT_NAME;
       if (!accountName) throw Error('Azure Storage accountName not found');
   
       const url = `https://${accountName}.blob.core.windows.net`;
   
       if (process.env.NODE_ENV === "production") {
           return new BlobServiceClient(url, new ManagedIdentityCredential());
       } else {
           return new BlobServiceClient(url, new DefaultAzureCredential());
       }
   }
   
   async function main() {
       try {
           const blobServiceClient = createBlobServiceClient();
           const containerClient = blobServiceClient.getContainerClient(process.env.AZURE_STORAGE_CONTAINER_NAME);
           const properties = await containerClient.getProperties();
   
           console.log(properties);
       } catch (err) {
           console.error("Error retrieving container properties:", err.message);
           throw err;
       }
   }
   
   main().catch((err) => {
       console.error("Error running sample:", err.message);
       process.exit(1);
   });
   

Реализация кода

В проекте JavaScript добавьте пакет @azure/identity . В выбранном терминале перейдите к каталогу проекта приложения и выполните следующие команды:

npm install @azure/identity @types/node

доступ к службам Azure осуществляется с использованием специализированных классов клиентов из различных клиентских библиотек Azure SDK. В index.js, выполните следующие действия, чтобы настроить аутентификацию на основе токенов:

1. Импортируйте пакет @azure/identity.

2. Передайте клиенту соответствующий TokenCredential экземпляр:

   • Используйте DefaultAzureCredential при локальном запуске приложения
   • Используйте ManagedIdentityCredential при запуске приложения в Azure.

   import { BlobServiceClient } from '@azure/storage-blob';
   import { ManagedIdentityCredential, DefaultAzureCredential } from '@azure/identity';
   
   function createBlobServiceClient(): BlobServiceClient {
       const accountName = process.env.AZURE_STORAGE_ACCOUNT_NAME;
       if (!accountName) throw Error('Azure Storage accountName not found');
       const url = `https://${accountName}.blob.core.windows.net`;
   
       if (process.env.NODE_ENV === "production") {
           return new BlobServiceClient(url, new ManagedIdentityCredential());
       } else {
           return new BlobServiceClient(url, new DefaultAzureCredential());
       }
   }
   
   async function main(): Promise<void> {
       try {
           const blobServiceClient = createBlobServiceClient();
           const containerClient = blobServiceClient.getContainerClient(process.env.AZURE_STORAGE_CONTAINER_NAME!);
           const properties = await containerClient.getProperties();
   
           console.log(properties);
       } catch (err: any) {
           console.error("Error retrieving container properties:", err.message);
           throw err;
       }
   }
   
   main().catch((err: Error) => {
       console.error("Error running sample:", err.message);
       process.exit(1);
   });
   

Предыдущий код ведет себя по-разному в зависимости от среды, в которой она выполняется:

• На локальной рабочей станции разработки DefaultAzureCredential ищет в переменных среды учетную запись службы приложения или в локально установленных средствах разработки, таких как Visual Studio Code, чтобы получить набор учетных данных разработчика.
• При развертывании в Azure ManagedIdentityCredential обнаруживает конфигурации управляемого удостоверения для автоматической проверки подлинности в других службах.