Использование управляемых удостоверений в Службе приложений и Функциях Azure

1. Доступ к параметрам приложения в портал Azure в группе "Параметры" в области навигации слева.

2. Выберите Удостоверение.

3. На вкладке Назначено системой для параметра Состояние установите значение Вкл. Нажмите кнопку Сохранить.

   

Выполните команду az webapp identity assign, чтобы создать удостоверение, назначаемое системой.

az webapp identity assign --name myApp --resource-group myResourceGroup

Для Службы приложений

Выполните команду Set-AzWebApp -AssignIdentity, чтобы создать удостоверение, назначаемое системой, для Службы приложений:

Set-AzWebApp -AssignIdentity $true -Name <app-name> -ResourceGroupName <group-name> 

Для Функций Azure

Выполните команду Update-AzFunctionApp -IdentityType, чтобы создать удостоверение, назначаемое системой, для приложения-функции:

Update-AzFunctionApp -Name $functionAppName -ResourceGroupName $resourceGroupName -IdentityType SystemAssigned

Шаблон Azure Resource Manager можно использовать для автоматизации развертывания ресурсов Azure. Дополнительные сведения о развертывании в службе приложений и Функциях см. в статьях Предсказуемые подготовка и развертывание микрослужб в Azure и Автоматизация развертывания ресурсов приложения-функции для службы "Функции Azure".

Любой ресурс типа Microsoft.Web/sites можно создать с помощью удостоверения, добавив следующее свойство в определение ресурса:

"identity": {
    "type": "SystemAssigned"
}

При добавлении назначаемого системой удостоверения Azure создает удостоверение для приложения и управляет им.

Например, шаблон веб-приложения может выглядеть как следующий JSON:

{
    "apiVersion": "2022-03-01",
    "type": "Microsoft.Web/sites",
    "name": "[variables('appName')]",
    "location": "[resourceGroup().location]",
    "identity": {
        "type": "SystemAssigned"
    },
    "properties": {
        "name": "[variables('appName')]",
        "serverFarmId": "[resourceId('Microsoft.Web/serverfarms', variables('hostingPlanName'))]",
        "hostingEnvironment": "",
        "clientAffinityEnabled": false,
        "alwaysOn": true
    },
    "dependsOn": [
        "[resourceId('Microsoft.Web/serverfarms', variables('hostingPlanName'))]"
    ]
}

Созданный сайт будет иметь следующие дополнительные свойства:

"identity": {
    "type": "SystemAssigned",
    "tenantId": "<tenant-id>",
    "principalId": "<principal-id>"
}

Свойство tenantId определяет, к чему принадлежит клиент Microsoft Entra. principalId — это уникальный идентификатор для нового удостоверения приложения. В идентификаторе Microsoft Entra субъект-служба имеет то же имя, которое вы предоставили Служба приложений или Функции Azure экземпляру.

Если необходимо сослаться на эти свойства в шаблоне на более позднем этапе, можно использовать reference()функцию шаблона с флагом'Full', как в следующем примере:

{
    "tenantId": "[reference(resourceId('Microsoft.Web/sites', variables('appName')), '2018-02-01', 'Full').identity.tenantId]",
    "objectId": "[reference(resourceId('Microsoft.Web/sites', variables('appName')), '2018-02-01', 'Full').identity.principalId]",
}

Сначала необходимо создать ресурс назначаемого пользователем удостоверения.

1. Создайте ресурс назначаемого пользователем управляемого удостоверения в соответствии с этими инструкциями.

2. В левой области навигации на странице вашего приложения прокрутите вниз до группы Параметры.

3. Выберите Удостоверение.

4. Выберите "Назначаемое пользователем>" добавление.

5. Найдите созданное ранее удостоверение, выберите его и нажмите кнопку "Добавить".

   

   После нажатия кнопки "Добавить" приложение перезапускается.

1. Создайте удостоверение, назначаемое пользователем.

   az identity create --resource-group <group-name> --name <identity-name>
   

2. Выполните команду az webapp identity assign, чтобы назначить удостоверение приложению.

   az webapp identity assign --resource-group <group-name> --name <app-name> --identities <identity-id>
   

Для Службы приложений

Добавление удостоверения, назначаемого пользователем, в Службе приложений в настоящее время не поддерживается.

Для Функций Azure

1. Создайте удостоверение, назначаемое пользователем.

   Install-Module -Name Az.ManagedServiceIdentity -AllowPrerelease
   $userAssignedIdentity = New-AzUserAssignedIdentity -Name $userAssignedIdentityName -ResourceGroupName <group-name>
   

2. Выполните команду Update-AzFunctionApp -IdentityType UserAssigned -IdentityId, чтобы назначить удостоверение в Функциях:

   Update-AzFunctionApp -Name <app-name> -ResourceGroupName <group-name> -IdentityType UserAssigned -IdentityId $userAssignedIdentity.Id
   

Шаблон Azure Resource Manager можно использовать для автоматизации развертывания ресурсов Azure. Дополнительные сведения о развертывании в службе приложений и Функциях см. в статьях Предсказуемые подготовка и развертывание микрослужб в Azure и Автоматизация развертывания ресурсов приложения-функции для службы "Функции Azure".

Любой ресурс типа Microsoft.Web/sites можно создать с помощью удостоверения, добавив следующий блок в определение ресурса, заменив <resource-id> идентификатором ресурса необходимого удостоверения:

"identity": {
    "type": "UserAssigned",
    "userAssignedIdentities": {
        "<resource-id>": {}
    }
}

При добавлении назначаемого пользователем типа служба Azure будет использовать назначаемое пользователем удостоверение, указанное для вашего приложения.

Например, шаблон веб-приложения может выглядеть как следующий JSON:

{
    "apiVersion": "2022-03-01",
    "type": "Microsoft.Web/sites",
    "name": "[variables('appName')]",
    "location": "[resourceGroup().location]",
    "identity": {
        "type": "UserAssigned",
        "userAssignedIdentities": {
            "[resourceId('Microsoft.ManagedIdentity/userAssignedIdentities', variables('identityName'))]": {}
        }
    },
    "properties": {
        "name": "[variables('appName')]",
        "serverFarmId": "[resourceId('Microsoft.Web/serverfarms', variables('hostingPlanName'))]",
        "hostingEnvironment": "",
        "clientAffinityEnabled": false,
        "alwaysOn": true
    },
    "dependsOn": [
        "[resourceId('Microsoft.Web/serverfarms', variables('hostingPlanName'))]",
        "[resourceId('Microsoft.ManagedIdentity/userAssignedIdentities', variables('identityName'))]"
    ]
}

Созданный сайт будет иметь следующие дополнительные свойства:

"identity": {
    "type": "UserAssigned",
    "userAssignedIdentities": {
        "<resource-id>": {
            "principalId": "<principal-id>",
            "clientId": "<client-id>"
        }
    }
}

PrincipalId — это уникальный идентификатор удостоверения, используемого для администрирования Microsoft Entra. clientId — это уникальный идентификатор нового удостоверения приложения, который используется для того, чтобы указать, какое удостоверение следует использовать во время вызовов среды выполнения.

Необработанный HTTP-запрос GET использует две предоставленные переменные среды и выглядит следующим образом:

GET /MSI/token?resource=https://vault.azure.net&api-version=2019-08-01 HTTP/1.1
Host: <ip-address-:-port-in-IDENTITY_ENDPOINT>
X-IDENTITY-HEADER: <value-of-IDENTITY_HEADER>

Пример ответа может выглядеть следующим образом:

HTTP/1.1 200 OK
Content-Type: application/json

{
    "access_token": "eyJ0eXAi…",
    "expires_on": "1586984735",
    "resource": "https://vault.azure.net",
    "token_type": "Bearer",
    "client_id": "00001111-aaaa-2222-bbbb-3333cccc4444"
}

Этот ответ совпадает с ответом на запрос маркера доступа microsoft Entra для службы к службе. Чтобы получить доступ к Key Vault, вам нужно будет затем добавить значение access_token в клиентское подключение к хранилищу.

Для приложений и функций .NET самый простой способ работы с управляемым удостоверением заключается в использовании клиентской библиотеки удостоверений Azure для .NET. Подробные инструкции см. в статье Руководство. Подключение к базам данных Azure из Службы приложений без секретов с помощью управляемого удостоверения.

Дополнительные сведения см. в документации с соответствующими заголовками из клиентской библиотеки:

• Добавление клиентской библиотеки удостоверений Azure в проект
• Доступ к службе Azure с помощью удостоверения, назначаемого системой
• Доступ к службе Azure с помощью удостоверения, назначаемого пользователем

В связанных примерах используется DefaultAzureCredential. Это удобно в большинстве сценариев, так как один и тот же шаблон работает в Azure (с управляемыми удостоверениями) и на локальном компьютере (без управляемых удостоверений).

Для приложений Node.js и функций JavaScript самый простой способ работы с управляемым удостоверением заключается в использовании клиентской библиотеки удостоверений Azure для JavaScript. Подробные инструкции см. в статье Руководство. Подключение к базам данных Azure из Службы приложений без секретов с помощью управляемого удостоверения.

Дополнительные сведения см. в документации с соответствующими заголовками из клиентской библиотеки:

• Добавление клиентской библиотеки удостоверений Azure в проект
• Доступ к службе Azure с помощью удостоверения, назначаемого системой
• Доступ к службе Azure с помощью удостоверения, назначаемого пользователем

В связанных примерах используется DefaultAzureCredential. Это удобно в большинстве сценариев, так как один и тот же шаблон работает в Azure (с управляемыми удостоверениями) и на локальном компьютере (без управляемых удостоверений).

Дополнительные примеры кода клиентской библиотеки удостоверений Azure для JavaScript см. в разделе Примеры удостоверений Azure.

Для приложений и функций Python самый простой способ работы с управляемым удостоверением заключается в использовании клиентской библиотеки удостоверений Azure для Python. Подробные инструкции см. в статье Руководство. Подключение к базам данных Azure из Службы приложений без секретов с помощью управляемого удостоверения.

Дополнительные сведения см. в документации с соответствующими заголовками из клиентской библиотеки:

• Добавление клиентской библиотеки удостоверений Azure в проект
• Доступ к службе Azure с помощью удостоверения, назначаемого системой
• Доступ к службе Azure с помощью удостоверения, назначаемого пользователем

В связанных примерах используется DefaultAzureCredential. Это удобно в большинстве сценариев, так как один и тот же шаблон работает в Azure (с управляемыми удостоверениями) и на локальном компьютере (без управляемых удостоверений).

Для приложений и функций Java самый простой способ работы с управляемым удостоверением заключается в использовании клиентской библиотеки удостоверений Azure для Java. Подробные инструкции см. в статье Руководство. Подключение к базам данных Azure из Службы приложений без секретов с помощью управляемого удостоверения.

Дополнительные сведения см. в документации с соответствующими заголовками из клиентской библиотеки:

• Добавление клиентской библиотеки удостоверений Azure в проект
• Доступ к службе Azure с помощью удостоверения, назначаемого системой
• Доступ к службе Azure с помощью удостоверения, назначаемого пользователем

В связанных примерах используется DefaultAzureCredential. Это удобно в большинстве сценариев, так как один и тот же шаблон работает в Azure (с управляемыми удостоверениями) и на локальном компьютере (без управляемых удостоверений).

Дополнительные примеры кода клиентской библиотеки удостоверений Azure для Java см. в разделе Примеры удостоверений Azure.

Используйте следующий скрипт для получения маркера из локальной конечной точки путем указания URI ресурса службы Azure:

$resourceURI = "https://<AAD-resource-URI-for-resource-to-obtain-token>"
$tokenAuthURI = $env:IDENTITY_ENDPOINT + "?resource=$resourceURI&api-version=2019-08-01"
$tokenResponse = Invoke-RestMethod -Method Get -Headers @{"X-IDENTITY-HEADER"="$env:IDENTITY_HEADER"} -Uri $tokenAuthURI
$accessToken = $tokenResponse.access_token

1. В левой области навигации на странице вашего приложения прокрутите вниз до группы Параметры.

2. Выберите Удостоверение. Затем выполните следующие действия в зависимости от типа удостоверения.

   • Удостоверение, назначаемое системой: на вкладке Назначается системой переключите состояние на Off. Нажмите кнопку Сохранить.
   • Удостоверение, назначаемое пользователем: перейдите на вкладку Назначается пользователем, установите флажок для удостоверения и нажмите Удалить. Выберите Да для подтверждения.

Чтобы удалить удостоверение, назначаемое системой, выполните следующие действия.

az webapp identity remove --name <app-name> --resource-group <group-name>

Чтобы удалить одно или несколько удостоверений, назначаемых пользователем, выполните следующие действия.

az webapp identity remove --name <app-name> --resource-group <group-name> --identities <identity-id1> <identity-id2> ...

Удостоверение, назначаемое системой, можно также удалить, указав [system] в --identities.

Для Службы приложений

Выполните команду Set-AzWebApp -AssignIdentity, чтобы удалить удостоверение, назначаемое системой, для Службы приложений:

Set-AzWebApp -AssignIdentity $false -Name <app-name> -ResourceGroupName <group-name> 

Для Функций Azure

Удаление всех удостоверений в Azure PowerShell (только Функции Azure):

# Update an existing function app to have IdentityType "None".
Update-AzFunctionApp -Name $functionAppName -ResourceGroupName $resourceGroupName -IdentityType None

Удаление всех удостоверений в шаблоне ARM:

"identity": {
    "type": "None"
}