Azure'da barındırılan Java uygulamalarını, sistem tarafından atanan yönetilen kimlik kullanarak Azure kaynaklarına kimlik doğrulaması yapın.

Azure barındırılan bir uygulamanın kimliğini diğer Azure kaynaklarda doğrulamak için önerilen yaklaşım, managed identity kullanmaktır. Azure App Service, Azure Container Apps ve Azure Virtual Machines üzerinde barındırılan uygulamalar dahil olmak üzere çoğu Azure hizmeti bu yaklaşımı destekler. Daha fazla bilgi için bkz. yönetilen kimlikleri destekleyen Azure hizmetleri ve kaynak türleri. Farklı kimlik doğrulama teknikleri ve yaklaşımları hakkında daha fazla bilgi için Azure Identity kitaplığını kullanarak Java uygulamalarını Azure hizmetlerine kimlik doğrulama bölümüne bakın.

Aşağıdaki bölümlerde şunları öğrenirsiniz:

  • Temel yönetilen kimlik kavramları.
  • Uygulamanız için sistem tarafından atanan yönetilen bir kimlik nasıl oluşturulur.
  • Sistem tarafından yönetilen kimliğe rol atama.
  • Uygulama kodunuzdan sistemin atadığı yönetilen kimliği kullanarak nasıl kimlik doğrulaması yapacağınızı öğrenin.

Temel yönetilen kimlik kavramları

Yönetilen kimlik, uygulamanızın gizli anahtarlar veya diğer uygulama gizli dizileri kullanmadan diğer Azure kaynaklarına güvenli bir şekilde bağlanmasını sağlar. Azure, kimliği ve bağlanmasına izin verilen kaynakları dahili olarak izler. Azure, uygulamanın diğer Azure kaynaklarına bağlanmasına izin vermek üzere Microsoft Entra belirteçlerini otomatik olarak almak için bu bilgileri kullanır.

Barındırılan uygulamanızı yapılandırırken göz önünde bulundurmanız gereken iki tür yönetilen kimlik vardır:

  • System-assigned yönetilen kimlikler doğrudan bir Azure kaynağında etkinleştirilerek yaşam döngüsüne bağlanır. Kaynak silindiğinde Azure sizin için kimliği otomatik olarak siler. Sistem tarafından atanan kimlikler, yönetilen kimlikleri kullanmaya yönelik minimalist bir yaklaşım sağlar.
  • User tarafından atanan yönetilen kimlikler tek başına Azure kaynakları olarak oluşturulur ve daha fazla esneklik ve yetenek sunar. Bunlar, aynı kimliği ve izinleri paylaşması gereken birden çok Azure kaynağı içeren çözümler için idealdir. Örneğin, birden çok sanal makinenin aynı Azure kaynakları kümesine erişmesi gerekiyorsa, kullanıcı tarafından atanan yönetilen kimlik yeniden kullanılabilirlik ve iyileştirilmiş yönetim sağlar.

Tavsiye

Yönetilen kimlik en iyi uygulama önerileri makalesinde sistem tarafından atanan ve kullanıcı tarafından atanan yönetilen kimlikleri seçme ve yönetme hakkında daha fazla bilgi edinin.

Aşağıdaki bölümlerde, Azure barındırılan bir uygulama için sistem tarafından atanan yönetilen kimliği etkinleştirme ve kullanma adımları açıklanmaktadır. Bakınız, kullanıcı tarafından atanan yönetilen kimlik kullanarak Azure kaynaklarına erişmek için Azure üzerinde barındırılan Java uygulamalarını kimlik doğrulama.

Azure barındırma kaynağında sistem tarafından atanan yönetilen kimliği etkinleştirme

Uygulamanızla sistem tarafından atanan yönetilen kimliği kullanmaya başlamak için, Azure App Service, Azure Container Apps veya Azure Virtual Machines örneği gibi uygulamanızı barındıran Azure kaynağında kimliği etkinleştirin.

Azure portalını veya Azure CLI kullanarak bir Azure kaynağı için sistem tarafından atanan yönetilen kimliği etkinleştirebilirsiniz.

  1. Azure portalında, Azure App Service veya Azure Container Apps örneği gibi uygulama kodunuzu barındıran kaynağa gidin.

  2. Kaynağın Genel Bakış sayfasında Ayarlar bölümünü genişletin ve navigasyon menüsünden Kimlik'i seçin.

  3. Kimlik sayfasında, Durum kaydırıcısını Açıkkonumuna getirin.

  4. Yaptığınız değişiklikleri uygulamak için Kaydet'i seçin.

    Kapsayıcı uygulamasında sistem tarafından atanan yönetilen kimliği etkinleştirmeyi gösteren ekran görüntüsü.

Yönetilen kimliğe roller atayın

Ardından, uygulamanızın hangi rollere ihtiyacı olduğunu belirleyin ve bu rolleri yönetilen kimliğe atayın. Yönetilen kimliğe aşağıdaki kapsamlarda rol atayabilirsiniz:

  • Kaynak: Atanan roller yalnızca o belirli kaynağa uygulanır.
  • Kaynak grubu: Atanan roller, kaynak grubunda yer alan tüm kaynaklara uygulanır.
  • abonelik : Atanan roller, abonelikte yer alan tüm kaynaklar için geçerlidir.

Aşağıdaki örnekte, birçok uygulama tüm ilgili Azure kaynaklarını tek bir kaynak grubu kullanarak yönettiğinden kaynak grubu kapsamında rollerin nasıl atandığı gösterilmektedir.

  1. Sistem tarafından atanan yönetilen kimlikle uygulamayı içeren kaynak grubunun Genel Bakış sayfasına gidin.

  2. Soldaki gezinti bölmesinde Erişim Denetimi (IAM) seçin.

  3. Erişim denetimi (IAM) sayfasında, üst menüden + Ekle'yi seçin ve ardından Rol Ataması Ekle'yi seçerek Rol Ataması Ekle sayfasına gidin.

    Kimlik rolü atama sayfasına erişmeyi gösteren ekran görüntüsü.

  4. Rol ataması ekle sayfası, kimliklere rol atamak için sekmeli, çok adımlı bir iş akışı sunar. İlk Rol sekmesinde, kimliğe atamak istediğiniz rolü bulmak için üstteki arama kutusunu kullanın.

  5. Sonuçlardan rolü seçin ve ardından İleri seçeneğine tıklayarak Üyeler sekmesine geçin.

  6. erişim atama seçeneği için yönetilen kimlikseçin.

  7. Üyeler seçeneği için, + Üyeleri seç'ni seçin ve Yönetilen kimlikleri seç panelini açın.

  8. Yönetilen kimlikleri seçin panelinde Abonelik kullanın ve yönetilen kimlik açılan listelerini kullanarak kimliklerinizin arama sonuçlarını filtreleyin. Uygulamanızı barındıran Azure kaynağı için etkinleştirdiğiniz sistem kimliğini bulmak için Select arama kutusunu kullanın.

    Yönetilen kimlik atama işlemini gösteren ekran görüntüsü.

  9. Devam etmek için kimliği seçin ve panelin altındaki seçeneğini tıklayın.

  10. Sayfanın alt kısmındaki Gözden Geçir + Ata seçeneğini seçin.

  11. Son gözden geçir + ata sekmesinde, iş akışını tamamlamak için gözden geçir + ata'ü seçin.

Uygulamanızdan Azure hizmetleri için kimlik doğrulaması

Azure Identity kitaplığı, çeşitli kimlik bilgileri—TokenCredential uygulamaları, farklı senaryoları ve Microsoft Entra kimlik doğrulama akışlarını desteklemeye uyarlanmıştır. Yönetilen kimlik yerel olarak çalıştırılırken kullanılamadığından, sonraki adımlar hangi senaryoda hangi kimlik bilgilerinin kullanılacağını gösterir:

  • Yerel geliştirme ortamı: Yalnızca yerel geliştirme sırasında, belirli kurallar doğrultusunda önceden yapılandırılmış bir kimlik bilgileri zinciri için DefaultAzureCredential adlı bir sınıf kullanın. DefaultAzureCredential, Azure CLI veya Visual Studio Code gibi yerel araçlarınızdan veya IDE'nizden kullanıcı kimlik bilgilerini bulur. Ayrıca yeniden denemeler, yanıtlar için bekleme süreleri ve birden çok kimlik doğrulama seçeneği için destek için esneklik ve kolaylık sağlar. Daha fazla bilgi edinmek için Authenticate to Azure services during local development makalesini ziyaret edin.
  • Azure barındırılan uygulamalar: Uygulamanız Azure çalışırken, uygulamanız için yapılandırılan yönetilen kimliği güvenli bir şekilde bulmak için ManagedIdentityCredential kullanın. Bu tam kimlik bilgisi türünün belirtilmesi, diğer kullanılabilir kimlik bilgilerinin beklenmedik bir şekilde alınmasını engeller.

Kodu uygulama

azure-identity Dosyanıza pom.xml bağımlılığı ekleyin:

<dependency>
    <groupId>com.azure</groupId>
    <artifactId>azure-identity</artifactId>
</dependency>

Azure hizmetlerine çeşitli Azure SDK istemci kitaplıklarından özel istemci sınıfları kullanılarak erişilir. Aşağıdaki kod örneğinde bir kimlik bilgisi örneğinin nasıl oluşturulacağı ve bir Azure SDK hizmet istemcisiyle nasıl kullanılacağı gösterilmektedir. Uygulama kodunuzda, yönetilen kimlik kullanarak kimlik doğrulaması yapmak için aşağıdaki adımları tamamlayın:

  1. , DefaultAzureCredentialBuilderve ManagedIdentityCredentialBuilder sınıflarını TokenCredentialiçeri aktarın.
  2. İstemciye uygun TokenCredential bir örnek geçirin:
    • Yerel olarak çalışırken DefaultAzureCredential kullan
    • Uygulamanız Azure'da çalışırken kullanma ManagedIdentityCredential

Aşağıdaki örnekte, sistem tarafından atanan yönetilen kimlik kullanılarak kimlik SecretClient doğrulaması gösterilmektedir:

import com.azure.core.credential.TokenCredential;
import com.azure.identity.DefaultAzureCredentialBuilder;
import com.azure.identity.ManagedIdentityCredentialBuilder;
import com.azure.security.keyvault.secrets.SecretClient;
import com.azure.security.keyvault.secrets.SecretClientBuilder;

TokenCredential credential = null;

// Set up credential based on environment (Azure or local development)
String environment = System.getenv("ENV");

if (environment != null && environment.equals("production")) {
    credential = new ManagedIdentityCredentialBuilder()
        .build();
} else {
    credential = new DefaultAzureCredentialBuilder()
        .build();
}

// Azure SDK client builders accept the credential as a parameter
SecretClient client = new SecretClientBuilder()
    .vaultUrl("https://<your-key-vault-name>.vault.azure.net")
    .credential(credential)
    .buildClient();

Sonraki Adımlar

Bu makalede, sistem tarafından atanan yönetilen kimlik kullanılarak kimlik doğrulaması ele alınmıştır. Bu kimlik doğrulama biçimi, Java için Azure SDK kimlik doğrulaması yapabileceğiniz birden çok yöntemden biridir. Aşağıdaki makalelerde diğer yollar açıklanmaktadır:

Azure barındırılan uygulama kimlik doğrulamasıyla ilgili sorunlarla karşılaşırsanız bkz. Sorun Azure barındırılan uygulama kimlik doğrulaması.

  • Last updated on