Используйте управляемое удостоверение для подключения Azure SQL Database к приложению, развернутому в Azure Spring Apps

Выдать разрешение управляемому удостоверению

Подключитесь к серверу SQL и выполните следующий SQL-запрос:

CREATE USER [<managed-identity-name>] FROM EXTERNAL PROVIDER;
ALTER ROLE db_datareader ADD MEMBER [<managed-identity-name>];
ALTER ROLE db_datawriter ADD MEMBER [<managed-identity-name>];
ALTER ROLE db_ddladmin ADD MEMBER [<managed-identity-name>];
GO

Значение <managed-identity-name> заполнителя следует правилу <service-instance-name>/apps/<app-name>, например: myspringcloud/apps/sqldemo. Для запроса имени управляемого удостоверения с помощью Azure CLI можно также использовать следующую команду:

az ad sp show --id <identity-object-ID> --query displayName

Настройте ваше Java-приложение для использования управляемого удостоверения

Откройте файл src/main/resources/application.properties, а затем добавьте Authentication=ActiveDirectoryMSI; в конец spring.datasource.url строки, как показано в следующем примере. Не забудьте использовать правильное значение для переменной $AZ_DATABASE_NAME.

spring.datasource.url=jdbc:sqlserver://$AZ_DATABASE_NAME.database.windows.net:1433;database=demo;encrypt=true;trustServerCertificate=false;hostNameInCertificate=*.database.windows.net;loginTimeout=30;Authentication=ActiveDirectoryMSI;

Настройте приложение, развернутое в Azure Spring Apps, для подключения к Azure SQL Database с помощью управляемого удостоверения, назначенного системой, используя команду az spring connection create, как показано в следующем примере.

1. Используйте следующую команду, чтобы установить расширение Service Connector без пароля для Azure CLI:

   az extension add --name serviceconnector-passwordless --upgrade
   

2. Используйте следующую команду для подключения к базе данных:

   az spring connection create sql \
       --resource-group $SPRING_APP_RESOURCE_GROUP \
       --service $SPRING_APP_SERVICE_NAME \
       --app $APP_NAME \
       --deployment $DEPLOYMENT_NAME \
       --target-resource-group $SQL_RESOURCE_GROUP \
       --server $SQL_SERVER_NAME \
       --database $DATABASE_NAME \
       --system-identity
   

3. Чтобы проверить результат создания, используйте следующую команду:

   export CONNECTION_NAME=$(az spring connection list \
      --resource-group $SPRING_APP_RESOURCE_GROUP \
      --service $SPRING_APP_SERVICE_NAME \
      --app $APP_NAME  \
      --query '[0].name' \
      --output tsv)
   
   az spring connection list-configuration \
      --resource-group $SPRING_APP_RESOURCE_GROUP \
      --service $SPRING_APP_SERVICE_NAME \
      --app $APP_NAME  \
      --connection $CONNECTION_NAME