Esempio: Accesso ad Archiviazione di Azure utilizzando le librerie di Azure per Python

DefaultAzureCredential è una catena di credenziali preconfigurata e orientata. È progettata per supportare molti ambienti, insieme ai flussi di autenticazione e agli strumenti di sviluppo più comuni. Un'istanza di DefaultAzureCredential determina quali tipi di credenziali provare a ottenere un token basato su una combinazione dell'ambiente di runtime, del valore di determinate variabili di ambiente note e, se necessario, dai parametri forniti al suo costruttore.

Nei passaggi seguenti viene configurata un'entità servizio dell'applicazione come identità dell'applicazione. I principali del servizio applicativo sono adatti per l'uso sia durante lo sviluppo locale che per le app ospitate in sede. Per configurare DefaultAzureCredential l'uso dell'entità servizio dell'applicazione, impostare le variabili di ambiente seguenti: AZURE_CLIENT_ID, AZURE_TENANT_IDe AZURE_CLIENT_SECRET.

Si noti che è configurato un segreto del client. Questa operazione è necessaria per un'entità servizio dell'applicazione, ma, a seconda dello scenario, è anche possibile configurare DefaultAzureCredential per usare credenziali che non richiedono l'impostazione di un segreto o una password in una variabile di ambiente.

Ad esempio, nello sviluppo locale, se DefaultAzureCredential non è possibile ottenere un token usando le variabili di ambiente configurate, prova a ottenerlo usando l'utente (già) connesso agli strumenti di sviluppo come l'interfaccia della riga di comando di Azure. Per un'app ospitata in Azure, DefaultAzureCredential può essere configurata per l'uso di un'identità gestita. In tutti i casi, il codice nell'app rimane invariato, solo la configurazione e/o l'ambiente di runtime cambia.

1. Creare un file denominato use_blob_auth.py con il codice seguente. I commenti spiegano i passaggi.

   import os
   import uuid
   
   from azure.identity import DefaultAzureCredential
   
   # Import the client object from the SDK library
   from azure.storage.blob import BlobClient
   
   credential = DefaultAzureCredential()
   
   # Retrieve the storage blob service URL, which is of the form
   # https://<your-storage-account-name>.blob.core.windows.net/
   storage_url = os.environ["AZURE_STORAGE_BLOB_URL"]
   
   # Create the client object using the storage URL and the credential
   blob_client = BlobClient(
       storage_url,
       container_name="blob-container-01",
       blob_name=f"sample-blob-{str(uuid.uuid4())[0:5]}.txt",
       credential=credential,
   )
   
   # Open a local file and upload its contents to Blob Storage
   with open("./sample-source.txt", "rb") as data:
       blob_client.upload_blob(data)
       print(f"Uploaded sample-source.txt to {blob_client.url}")
   

   Collegamenti di riferimento:

   • DefaultAzureCredential (azure.identity)
   • BlobClient (azure.storage.blob)

2. Creare una variabile di ambiente chiamata AZURE_STORAGE_BLOB_URL:

   • cmd
   • bash

   set AZURE_STORAGE_BLOB_URL=https://pythonazurestorage12345.blob.core.windows.net
   

   Sostituire "pythonazurestorage12345" con il nome dell'account di archiviazione.

   La variabile di ambiente AZURE_STORAGE_BLOB_URL viene usata solo da questo esempio. Non viene usato dalle librerie di Azure.

3. Usare il comando az ad sp create-for-rbac per creare un nuovo principale del servizio per l'applicazione. Il comando crea simultaneamente la registrazione per l'app. Assegna all'entità servizio un nome a tua scelta.

   az ad sp create-for-rbac --name <service-principal-name>
   

   L'output di questo comando sarà simile al seguente. Prendere nota di questi valori o mantenere aperta questa finestra perché saranno necessari questi valori nel passaggio successivo e non sarà più in grado di visualizzare di nuovo il valore della password (segreto client). È tuttavia possibile aggiungere una nuova password in un secondo momento senza invalidare l'entità servizio o le password esistenti, se necessario.

   {
     "appId": "00001111-aaaa-2222-bbbb-3333cccc4444",
     "displayName": "<service-principal-name>",
     "password": "Aa1Bb~2Cc3.-Dd4Ee5Ff6Gg7Hh8Ii9_Jj0Kk1Ll2",
     "tenant": "aaaabbbb-0000-cccc-1111-dddd2222eeee"
   }
   

   I comandi dell'interfaccia della riga di comando di Azure possono essere eseguiti in Azure Cloud Shell o in una workstation con l'interfaccia della riga di comando di Azure installata.

4. Creare variabili di ambiente per il principale del servizio applicativo:

   Creare le variabili di ambiente seguenti con i valori dell'output del comando precedente. Queste variabili indicano a DefaultAzureCredential di usare il principale del servizio dell'applicazione.

   • Il valore dell'ID dell'app.
   • Il valore dell'ID del tenant.
   • AZURE_CLIENT_SECRET → Password/credenziale generata per l'applicazione.
   • cmd
   • bash

   set AZURE_CLIENT_ID=00001111-aaaa-2222-bbbb-3333cccc4444
   set AZURE_TENANT_ID=aaaabbbb-0000-cccc-1111-dddd2222eeee
   set AZURE_CLIENT_SECRET=Aa1Bb~2Cc3.-Dd4Ee5Ff6Gg7Hh8Ii9_Jj0Kk1Ll2
   

5. Tentativo di eseguire il codice (che fallisce intenzionalmente):

   python use_blob_auth.py
   

6. Prendere nota dell'errore "Questa richiesta non è autorizzata a eseguire questa operazione usando questa autorizzazione". L'errore è previsto perché l'entità servizio locale in uso non dispone ancora dell'autorizzazione per accedere al contenitore di blob.

7. Concedere le autorizzazioni collaboratore ai dati dei BLOB di archiviazione nel contenitore BLOB all'entità servizio usando il comando az role assignment create dell'interfaccia della riga di comando di Azure:

   az role assignment create --assignee <AZURE_CLIENT_ID> \
       --role "Storage Blob Data Contributor" \
       --scope "/subscriptions/<AZURE_SUBSCRIPTION_ID>/resourceGroups/PythonAzureExample-Storage-rg/providers/Microsoft.Storage/storageAccounts/pythonazurestorage12345/blobServices/default/containers/blob-container-01"
   

   L'argomento --assignee identifica il principale del servizio. Sostituire <AZURE_CLIENT_ID> segnaposto con l'ID app del principale del servizio.

   L'argomento --scope identifica dove si applica questa assegnazione di ruolo. In questo esempio, si assegna il ruolo di "Storage Blob Data Contributor" all'entità servizio per il contenitore denominato "blob-container-01".

   • Sostituire PythonAzureExample-Storage-rg e pythonazurestorage12345 con il gruppo di risorse che contiene l'account di archiviazione e il nome esatto dell'account di archiviazione. Inoltre, modificare il nome del contenitore blob, se necessario. Se si usa il nome errato, viene visualizzato l'errore "Impossibile eseguire l'operazione richiesta sulla risorsa nidificata. La risorsa principale 'pythonazurestorage12345' non è stata trovata.

   • Sostituire il <AZURE_SUBSCRIPTION_ID> segnaposto con l'ID sottoscrizione di Azure. È possibile eseguire il comando az account show e ottenere l'ID della sottoscrizione dalla proprietà id nell'output.

   Suggerimento

   Se il comando di assegnazione di ruolo restituisce l'errore "Nessun adattatore di connessione trovato" quando si utilizza la shell bash, provare a impostare `export MSYS_NO_PATHCONV=1` per evitare la traduzione del percorso. Per ulteriori informazioni, consultare questa segnalazione.

8. Attendere un minuto o due affinché le autorizzazioni vengano propagate, quindi eseguire di nuovo il codice per verificare che funzioni. Se l'errore delle autorizzazioni persiste, attendere un po' più a lungo, quindi riprovare a eseguire il codice.

Per altre informazioni sulle assegnazioni di ruolo, vedere Come assegnare le autorizzazioni per i ruoli con l'interfaccia della riga di comando di Azure.

Una stringa di connessione include la chiave di accesso dell'account di archiviazione e la usa per autorizzare le richieste. Prestare sempre attenzione a non esporre mai le chiavi in una posizione non sicura.

1. Creare un file Python denominato use_blob_conn_string.py con il codice seguente. I commenti spiegano i passaggi.

   import os
   import uuid
   
   # Import the client object from the SDK library
   from azure.storage.blob import BlobClient
   
   # Retrieve the connection string from an environment variable. Note that a
   # connection string grants all permissions to the caller, making it less
   # secure than obtaining a BlobClient object using credentials.
   conn_string = os.environ["AZURE_STORAGE_CONNECTION_STRING"]
   
   # Create the client object for the resource identified by the connection
   # string, indicating also the blob container and the name of the specific
   # blob we want.
   blob_client = BlobClient.from_connection_string(
       conn_string,
       container_name="blob-container-01",
       blob_name=f"sample-blob-{str(uuid.uuid4())[0:5]}.txt",
   )
   
   # Open a local file and upload its contents to Blob Storage
   with open("./sample-source.txt", "rb") as data:
       blob_client.upload_blob(data)
       print(f"Uploaded sample-source.txt to {blob_client.url}")
   

2. Crea una variabile di ambiente chiamata AZURE_STORAGE_CONNECTION_STRING, il cui valore è la stringa di connessione completa per l'account di archiviazione. Questa variabile di ambiente viene utilizzata anche da vari comandi dell'interfaccia della riga di comando di Azure. È possibile ottenere la stringa di connessione per l'account di archiviazione eseguendo il comando az storage account show-connection-string.

   az storage account show-connection-string --resource-group PythonAzureExample-Storage-rg --name pythonazurestorage12345
   

   Sostituire PythonAzureExample-Storage-rg e pythonazurestorage12345 con il gruppo di risorse che contiene l'account di archiviazione e il nome esatto dell'account di archiviazione.

   Quando si imposta la variabile di ambiente, usare l'intero valore della connectionString nella proprietà nell'output, incluse le virgolette.

3. Eseguire il codice:

   python use_blob_conn_string.py
   

Anche in questo caso, sebbene il metodo sia semplice, una stringa di connessione autorizza tutte le operazioni in un account di archiviazione. Con il codice di produzione, è preferibile usare autorizzazioni specifiche, come descritto nella sezione precedente.