Пример. Доступ к служба хранилища Azure с помощью библиотек Azure для Python

DefaultAzureCredential представляет собой предварительно настроенную цепочку учетных данных. Она предназначена для поддержки многих сред, а также наиболее распространенных потоков проверки подлинности и средств разработчика. Экземпляр DefaultAzureCredential определяет, какие типы учетных данных пытаются получить маркер на основе сочетания среды выполнения, значения определенных известных переменных среды и, при необходимости, параметров, передаваемых в конструктор.

В следующих шагах вы настроите субъект-службу приложения в качестве удостоверения приложения. Субъекты-службы приложений подходят для использования как во время локальной разработки, так и для приложений, размещенных в локальной среде. Чтобы настроить DefaultAzureCredential использование субъекта-службы приложений, задайте следующие переменные среды: AZURE_CLIENT_IDи AZURE_TENANT_IDAZURE_CLIENT_SECRET.

Обратите внимание, что секрет клиента настроен. Это необходимо для субъекта-службы приложений, но в зависимости от сценария можно также настроить DefaultAzureCredential использование учетных данных, которые не требуют установки секрета или пароля в переменной среды.

Например, в локальной разработке, если DefaultAzureCredential не удается получить маркер с помощью настроенных переменных среды, он пытается получить его с помощью пользователя (уже вошедшего в систему) средств разработки, таких как Azure CLI; для приложения, размещенного в Azure, DefaultAzureCredential можно настроить для использования управляемого удостоверения. Во всех случаях код в приложении остается неизменным, изменяется только конфигурация и (или) среда выполнения.

1. Создайте файл с именем use_blob_auth.py с указанным ниже кодом. Подробные объяснения даны в комментариях.

   import os
   import uuid
   
   from azure.identity import DefaultAzureCredential
   
   # Import the client object from the SDK library
   from azure.storage.blob import BlobClient
   
   credential = DefaultAzureCredential()
   
   # Retrieve the storage blob service URL, which is of the form
   # https://<your-storage-account-name>.blob.core.windows.net/
   storage_url = os.environ["AZURE_STORAGE_BLOB_URL"]
   
   # Create the client object using the storage URL and the credential
   blob_client = BlobClient(
       storage_url,
       container_name="blob-container-01",
       blob_name=f"sample-blob-{str(uuid.uuid4())[0:5]}.txt",
       credential=credential,
   )
   
   # Open a local file and upload its contents to Blob Storage
   with open("./sample-source.txt", "rb") as data:
       blob_client.upload_blob(data)
       print(f"Uploaded sample-source.txt to {blob_client.url}")
   

   Ссылки для справки:

   • DefaultAzureCredential (azure.identity)
   • BlobClient (azure.storage.blob)

2. Создайте переменную среды с именем AZURE_STORAGE_BLOB_URL.

   • cmd
   • bash

   set AZURE_STORAGE_BLOB_URL=https://pythonazurestorage12345.blob.core.windows.net
   

   Замените pythonazurestorage12345 именем учетной записи хранения.

   Переменная AZURE_STORAGE_BLOB_URL среды используется только в этом примере. Он не используется библиотеками Azure.

3. Используйте команду az ad sp create-for-rbac, чтобы создать новый субъект-службу для приложения. Команда создает регистрацию приложения для приложения одновременно. Присвойте субъекту-службе имя выбранного объекта.

   az ad sp create-for-rbac --name <service-principal-name>
   

   Выходные данные этой команды будут выглядеть следующим образом. Запишите эти значения или оставьте это окно открытым, так как вам потребуется эти значения на следующем шаге и не сможет снова просмотреть значение пароля (секрет клиента). Однако при необходимости можно добавить новый пароль без недопустимого субъекта-службы или существующих паролей.

   {
     "appId": "00001111-aaaa-2222-bbbb-3333cccc4444",
     "displayName": "<service-principal-name>",
     "password": "Aa1Bb~2Cc3.-Dd4Ee5Ff6Gg7Hh8Ii9_Jj0Kk1Ll2",
     "tenant": "aaaabbbb-0000-cccc-1111-dddd2222eeee"
   }
   

   Команды Azure CLI могут выполняться в Azure Cloud Shell или на рабочей станции с установленным интерфейсом Azure CLI.

4. Создайте переменные среды для субъекта-службы приложения:

   Создайте следующие переменные среды со значениями из выходных данных предыдущей команды. Эти переменные сообщают DefaultAzureCredential об использовании субъекта-службы приложения.

   • AZURE_CLIENT_ID → значение идентификатора приложения.
   • AZURE_TENANT_ID → Значение идентификатора клиента.
   • AZURE_CLIENT_SECRET → пароль или учетные данные, созданные для приложения.
   • cmd
   • bash

   set AZURE_CLIENT_ID=00001111-aaaa-2222-bbbb-3333cccc4444
   set AZURE_TENANT_ID=aaaabbbb-0000-cccc-1111-dddd2222eeee
   set AZURE_CLIENT_SECRET=Aa1Bb~2Cc3.-Dd4Ee5Ff6Gg7Hh8Ii9_Jj0Kk1Ll2
   

5. Попытайтесь выполнить код (что должно завершиться сбоем):

   python use_blob_auth.py
   

6. Обратите внимание на ошибку "Этот запрос не авторизован для выполнения этой операции с помощью этого разрешения". Ожидается ошибка, так как локальный субъект-служба, который вы используете, еще не имеет разрешения на доступ к контейнеру BLOB-объектов.

7. Предоставьте участникам больших двоичных объектов хранилища разрешения для контейнера BLOB-объектов субъекту-службе с помощью команды az role assignment create Azure CLI:

   az role assignment create --assignee <AZURE_CLIENT_ID> \
       --role "Storage Blob Data Contributor" \
       --scope "/subscriptions/<AZURE_SUBSCRIPTION_ID>/resourceGroups/PythonAzureExample-Storage-rg/providers/Microsoft.Storage/storageAccounts/pythonazurestorage12345/blobServices/default/containers/blob-container-01"
   

   Аргумент --assignee определяет субъект-службу. Замените <заполнитель AZURE_CLIENT_ID> идентификатором приложения субъекта-службы.

   Аргумент --scope определяет, к чему применяется это назначение ролей. В этом примере вы предоставляете роль "Участник данных BLOB-объектов хранилища" субъекту-службе для контейнера с именем BLOB-container-01.

   • Замените PythonAzureExample-Storage-rg и pythonazurestorage12345 на группу ресурсов, содержащую учетную запись хранения и точное имя учетной записи хранения. При необходимости настройте имя контейнера BLOB-объектов. Если вы используете неправильное имя, появится сообщение об ошибке "Не удается выполнить запрошенную операцию в вложенном ресурсе. Parent resource 'pythonazurestorage12345' not found" (Не удается выполнить запрошенную операцию с вложенным ресурсом. Родительский ресурс pythonazurestorage12345 не найден).

   • Замените <держатель AZURE_SUBSCRIPTION_ID> место идентификатором подписки Azure. (Вы можете запустить команду az account show и получить идентификатор подписки из id свойства в выходных данных.)

   Совет

   Если команда назначения ролей возвращает ошибку "Адаптеры подключения не найдены" при использовании оболочки Bash, попробуйте export MSYS_NO_PATHCONV=1 избежать перевода путей. Дополнительные сведения см. в этой проблеме.

8. Подождите 1–2 минуты, пока разрешения не будут назначены, и снова запустите код, чтобы убедиться, что он работает. Если ошибка прав доступа происходит снова, подождите еще и повторите попытку.

Дополнительные сведения о назначении ролей см. в статье о назначении разрешений ролей с помощью Azure CLI.

Строка подключения содержит ключ доступа к учетной записи хранения и использует ее для авторизации запросов. Всегда будьте осторожны и никогда не предоставляйте ключи в небезопасном расположении.

1. Создайте файл Python с именем use_blob_conn_string.py с указанным ниже содержимым. Подробные объяснения даны в комментариях.

   import os
   import uuid
   
   # Import the client object from the SDK library
   from azure.storage.blob import BlobClient
   
   # Retrieve the connection string from an environment variable. Note that a
   # connection string grants all permissions to the caller, making it less
   # secure than obtaining a BlobClient object using credentials.
   conn_string = os.environ["AZURE_STORAGE_CONNECTION_STRING"]
   
   # Create the client object for the resource identified by the connection
   # string, indicating also the blob container and the name of the specific
   # blob we want.
   blob_client = BlobClient.from_connection_string(
       conn_string,
       container_name="blob-container-01",
       blob_name=f"sample-blob-{str(uuid.uuid4())[0:5]}.txt",
   )
   
   # Open a local file and upload its contents to Blob Storage
   with open("./sample-source.txt", "rb") as data:
       blob_client.upload_blob(data)
       print(f"Uploaded sample-source.txt to {blob_client.url}")
   

2. Создайте переменную среды с именем AZURE_STORAGE_CONNECTION_STRING, значением которой является полная строка подключения для учетной записи хранения. (Эта переменная среды также используется различными комментариями Azure CLI.) Вы можете получить строка подключения для учетной записи хранения, выполнив команду az storage account show-connection-string.

   az storage account show-connection-string --resource-group PythonAzureExample-Storage-rg --name pythonazurestorage12345
   

   Замените PythonAzureExample-Storage-rg и pythonazurestorage12345 на группу ресурсов, содержащую учетную запись хранения и точное имя учетной записи хранения.

   При установке переменной среды используйте все значение connectionString свойства в выходных данных, включая кавычки.

3. Выполните код.

   python use_blob_conn_string.py
   

Как мы уже говорили, хотя этот метод прост, строка подключения дает разрешение на выполнение любых операций в учетной записи хранения. В рабочем коде лучше использовать определенные разрешения, как описано в предыдущем разделе.