Использование управляемого удостоверения для подключения База данных SQL Azure к приложению, развернутом в Azure Spring Apps

Примечание.

Azure Spring Apps — это новое название службы Azure Spring Cloud. Старое название будет еще некоторое время встречаться в наших материалах, пока мы не обновим ресурсы, такие как снимки экрана, видео и схемы.

Эта статья применима к: ✔️ Java ✔️ C#

Эта статья относится к: ✔️ Basic/Standard ✔️ Enterprise

В этой статье показано, как создать управляемое удостоверение для приложения, развернутого в Azure Spring Apps, и использовать его для доступа к База данных SQL Azure.

База данных SQL Azure — это интеллектуальная масштабируемая служба реляционной базы данных, созданная для облака. Она регулярно обновляется и включает основанные на ИИ и автоматизированные функции, которые оптимизируют производительность и устойчивость. При использовании бессерверных вычислений и хранилища уровня "Гипермасштабирование" ресурсы масштабируются в соответствии с текущими потребностями автоматически. Это позволяет вам сконцентрироваться на создании новых приложений и не беспокоиться о размере хранилища или управлении ресурсами.

Необходимые компоненты

• Учетная запись Azure с активной подпиской. Создайте учетную запись бесплатно .
• Azure CLI версии 2.45.0 или более поздней.
• Следуйте инструкциям по JPA Spring Data, чтобы подготовить База данных SQL Azure и получить его работу с приложением Java локально.
• Следуйте инструкциям по управляемому удостоверению, назначаемого системой Azure Spring Apps, чтобы подготовить приложение в Azure Spring Apps с включенным управляемым удостоверением.

Подключение База данных SQL Azure с управляемым удостоверением

Вы можете подключить приложение к База данных SQL Azure с управляемым удостоверением, выполнив инструкции вручную или выполнив Подключение службы.

Настройка вручную

Предоставление разрешения управляемому удостоверению

Подключитесь к серверу SQL и выполните следующий SQL-запрос:

CREATE USER [<managed-identity-name>] FROM EXTERNAL PROVIDER;
ALTER ROLE db_datareader ADD MEMBER [<managed-identity-name>];
ALTER ROLE db_datawriter ADD MEMBER [<managed-identity-name>];
ALTER ROLE db_ddladmin ADD MEMBER [<managed-identity-name>];
GO

Значение <managed-identity-name> заполнителя следует правилу <service-instance-name>/apps/<app-name>, например: myspringcloud/apps/sqldemo. Для запроса имени управляемого удостоверения с помощью Azure CLI можно также использовать следующую команду:

az ad sp show --id <identity-object-ID> --query displayName

Настройка приложения Java для использования управляемого удостоверения

Откройте файл src/main/resources/application.properties, а затем добавьте Authentication=ActiveDirectoryMSI; в конец spring.datasource.url строки, как показано в следующем примере. Не забудьте использовать правильное значение для переменной $AZ_DATABASE_NAME.

spring.datasource.url=jdbc:sqlserver://$AZ_DATABASE_NAME.database.windows.net:1433;database=demo;encrypt=true;trustServerCertificate=false;hostNameInCertificate=*.database.windows.net;loginTimeout=30;Authentication=ActiveDirectoryMSI;

Подключение службы

Примечание.

Подключение службы создаются на уровне развертывания. Таким образом, если создается другое развертывание, необходимо снова создать подключения.

Настройте приложение, развернутое в Azure Spring Apps, для подключения к База данных SQL Azure с управляемым удостоверением, назначаемое системой, с помощью az spring connection create команды, как показано в следующем примере.

1. Используйте следующую команду, чтобы установить расширение service Подключение or без пароля для Azure CLI:

   az extension add --name serviceconnector-passwordless --upgrade
   

2. Используйте следующую команду для подключения к базе данных:

   az spring connection create sql \
       --resource-group $SPRING_APP_RESOURCE_GROUP \
       --service $SPRING_APP_SERVICE_NAME \
       --app $APP_NAME \
       --deployment $DEPLOYMENT_NAME \
       --target-resource-group $SQL_RESOURCE_GROUP \
       --server $SQL_SERVER_NAME \
       --database $DATABASE_NAME \
       --system-identity
   

3. Используйте следующую команду, чтобы проверка результат создания:

   export CONNECTION_NAME=$(az spring connection list \
      --resource-group $SPRING_APP_RESOURCE_GROUP \
      --service $SPRING_APP_SERVICE_NAME \
      --app $APP_NAME  \
      --query '[0].name' \
      --output tsv)
   
   az spring connection list-configuration \
      --resource-group $SPRING_APP_RESOURCE_GROUP \
      --service $SPRING_APP_SERVICE_NAME \
      --app $APP_NAME  \
      --connection $CONNECTION_NAME
   

Сборка и развертывание приложения в Azure Spring Apps

Перестройте приложение и разверните его в Azure Spring Apps, подготовленной во второй точке маркера в разделе предварительных требований. Теперь у вас есть приложение Spring Boot, прошедшее проверку подлинности с помощью управляемого удостоверения, использующего JPA для хранения и получения данных из База данных SQL Azure в Azure Spring Apps.

Следующие шаги

• Как получить доступ к BLOB-объекту службы хранилища с помощью управляемого удостоверения в Azure Spring Apps
• Как включить управляемое удостоверение, назначенное системой, для приложений в Azure Spring Apps
• Что такое управляемые удостоверения для ресурсов Azure?
• Проверка подлинности Azure Spring Apps с использованием Key Vault в GitHub Actions