Verwenden verwalteter Identitäten für App Service und Azure Functions

1. Greifen Sie auf die Einstellungen Ihrer App im Azure-Portal unter der Gruppe Einstellungen im linken Navigationsbereich zu.

2. Wählen Sie Identität aus.

3. Ändern Sie auf der Registerkarte Systemseitig zugewiesen den Status in Ein. Klicken Sie auf Speichern.

   

Führen Sie den Befehl az webapp identity assign aus, um eine vom System zugewiesene Identität zu erstellen:

az webapp identity assign --name myApp --resource-group myResourceGroup

Für App Service

Führen Sie den Befehl Set-AzWebApp -AssignIdentity aus, um eine vom System zugewiesene Identität für App Service zu erstellen:

Set-AzWebApp -AssignIdentity $true -Name <app-name> -ResourceGroupName <group-name> 

Für Funktionen

Führen Sie den Befehl Update-AzFunctionApp -IdentityType aus, um eine vom System zugewiesene Identität für eine Funktions-App zu erstellen:

Update-AzFunctionApp -Name $functionAppName -ResourceGroupName $resourceGroupName -IdentityType SystemAssigned

Mithilfe einer Azure Resource Manager-Vorlage kann die Bereitstellung Ihrer Azure-Ressourcen automatisiert werden. Weitere Informationen zum Bereitstellen von App Service und Azure Functions finden Sie unter Automatisieren der Ressourcenbereitstellung in App Service und Automatisieren der Ressourcenbereitstellung in Azure Functions.

Ressourcen vom Typ Microsoft.Web/sites können mit einer Identität erstellt werden, indem die folgende Eigenschaft in der Ressourcendefinition eingeschlossen wird:

"identity": {
    "type": "SystemAssigned"
}

Durch das Hinzufügen des systemseitig zugewiesenen Typs wird Azure angewiesen, die Identität für Ihre Anwendung zu erstellen und zu verwalten.

Eine Vorlage der Web-App kann beispielsweise wie die folgende JSON aussehen:

{
    "apiVersion": "2022-03-01",
    "type": "Microsoft.Web/sites",
    "name": "[variables('appName')]",
    "location": "[resourceGroup().location]",
    "identity": {
        "type": "SystemAssigned"
    },
    "properties": {
        "name": "[variables('appName')]",
        "serverFarmId": "[resourceId('Microsoft.Web/serverfarms', variables('hostingPlanName'))]",
        "hostingEnvironment": "",
        "clientAffinityEnabled": false,
        "alwaysOn": true
    },
    "dependsOn": [
        "[resourceId('Microsoft.Web/serverfarms', variables('hostingPlanName'))]"
    ]
}

Wenn die Website erstellt wurde, weist sie folgende zusätzliche Eigenschaften auf:

"identity": {
    "type": "SystemAssigned",
    "tenantId": "<tenant-id>",
    "principalId": "<principal-id>"
}

Die tenantId-Eigenschaft gibt an, zu welchem Microsoft Entra-Mandanten die Identität gehört. Die Eigenschaft „principalId“ ist ein eindeutiger Bezeichner für die neue Identität der Anwendung. In Microsoft Entra ID weist der Dienstprinzipal den gleichen Namen auf, den Sie für Ihre App Service- oder Azure Functions-Instanz vergeben haben.

Wenn Sie in einer späteren Phase in der Vorlage auf diese Eigenschaften verweisen müssen, können Sie dies über die reference()-Vorlagenfunktion mit dem Flag 'Full' erledigen, wie in diesem Beispiel gezeigt:

{
    "tenantId": "[reference(resourceId('Microsoft.Web/sites', variables('appName')), '2018-02-01', 'Full').identity.tenantId]",
    "objectId": "[reference(resourceId('Microsoft.Web/sites', variables('appName')), '2018-02-01', 'Full').identity.principalId]",
}

Zunächst müssen Sie eine Ressource für eine benutzerseitig zugewiesene Identität erstellen.

1. Folgen Sie zum Erstellen einer benutzerseitig verwalteten Identitätsressource diesen Anweisungen.

2. Scrollen Sie im linken Navigationsbereich der Seite Ihrer App nach unten zur Gruppe Einstellungen.

3. Wählen Sie Identität aus.

4. Wählen Sie Benutzerseitig zugewiesen>Hinzufügen aus.

5. Suchen Sie nach der zuvor erstellten Identität, und wählen Sie Hinzufügen aus.

   

   Nachdem Sie Hinzufügen ausgewählt haben, wird die App neu gestartet.

1. Erstellen Sie eine benutzerseitig zugewiesene Identität.

   az identity create --resource-group <group-name> --name <identity-name>
   

2. Führen Sie den Befehl az webapp identity assign aus, um die Identität der App zuzuweisen.

   az webapp identity assign --resource-group <group-name> --name <app-name> --identities <identity-id>
   

Für App Service

Das Hinzufügen einer vom Benutzer zugewiesenen Identität in App Service wird derzeit nicht unterstützt.

Für Funktionen

1. Erstellen Sie eine benutzerseitig zugewiesene Identität.

   Install-Module -Name Az.ManagedServiceIdentity -AllowPrerelease
   $userAssignedIdentity = New-AzUserAssignedIdentity -Name $userAssignedIdentityName -ResourceGroupName <group-name>
   

2. Führen Sie den Befehl Update-AzFunctionApp -IdentityType UserAssigned -IdentityId aus, um die Identität in Funktionen zuzuweisen.

   Update-AzFunctionApp -Name <app-name> -ResourceGroupName <group-name> -IdentityType UserAssigned -IdentityId $userAssignedIdentity.Id
   

Mithilfe einer Azure Resource Manager-Vorlage kann die Bereitstellung Ihrer Azure-Ressourcen automatisiert werden. Weitere Informationen zum Bereitstellen von App Service und Azure Functions finden Sie unter Automatisieren der Ressourcenbereitstellung in App Service und Automatisieren der Ressourcenbereitstellung in Azure Functions.

Ressourcen vom Typ Microsoft.Web/sites können mit einer Identität erstellt werden, indem den folgenden Block in die Ressourcendefinition einschließen. Ersetzen Sie hierbei <resource-id> durch die Ressourcen-ID der gewünschten Identität:

"identity": {
    "type": "UserAssigned",
    "userAssignedIdentities": {
        "<resource-id>": {}
    }
}

Durch das Hinzufügen des benutzerseitig zugewiesenen Typs wird Azure angewiesen, die vom Benutzer zugewiesene Identität zu verwenden, die für Ihre Anwendung angegeben ist.

Eine Vorlage der Web-App kann beispielsweise wie die folgende JSON aussehen:

{
    "apiVersion": "2022-03-01",
    "type": "Microsoft.Web/sites",
    "name": "[variables('appName')]",
    "location": "[resourceGroup().location]",
    "identity": {
        "type": "UserAssigned",
        "userAssignedIdentities": {
            "[resourceId('Microsoft.ManagedIdentity/userAssignedIdentities', variables('identityName'))]": {}
        }
    },
    "properties": {
        "name": "[variables('appName')]",
        "serverFarmId": "[resourceId('Microsoft.Web/serverfarms', variables('hostingPlanName'))]",
        "hostingEnvironment": "",
        "clientAffinityEnabled": false,
        "alwaysOn": true
    },
    "dependsOn": [
        "[resourceId('Microsoft.Web/serverfarms', variables('hostingPlanName'))]",
        "[resourceId('Microsoft.ManagedIdentity/userAssignedIdentities', variables('identityName'))]"
    ]
}

Wenn die Website erstellt wurde, weist sie folgende zusätzliche Eigenschaften auf:

"identity": {
    "type": "UserAssigned",
    "userAssignedIdentities": {
        "<resource-id>": {
            "principalId": "<principal-id>",
            "clientId": "<client-id>"
        }
    }
}

„principalId“ ist ein eindeutiger Bezeichner für die Identität, der bei der Microsoft Entra-Verwaltung verwendet wird. „clientId“ ist ein eindeutiger Bezeichner für die neue Identität der Anwendung, der bei Runtimeaufrufen angibt, welche Identität verwendet werden soll.

Eine unformatierte HTTP GET-Anforderung verwendet die zwei bereitgestellten Umgebungsvariablen und sieht wie im folgenden Beispiel aus:

GET /MSI/token?resource=https://vault.azure.net&api-version=2019-08-01 HTTP/1.1
Host: <ip-address-:-port-in-IDENTITY_ENDPOINT>
X-IDENTITY-HEADER: <value-of-IDENTITY_HEADER>

Eine Beispielantwort könnte folgendermaßen aussehen:

HTTP/1.1 200 OK
Content-Type: application/json

{
    "access_token": "eyJ0eXAi…",
    "expires_on": "1586984735",
    "resource": "https://vault.azure.net",
    "token_type": "Bearer",
    "client_id": "00001111-aaaa-2222-bbbb-3333cccc4444"
}

Diese Antwort ist mit der Antwort auf die Zugriffstokenanforderung zwischen zwei Diensten in Microsoft Entra identisch. Um auf Key Vault zugreifen zu können, fügen Sie den Wert access_token einer Clientverbindung mit dem Tresor hinzu.

In .NET-Apps und -Funktionen ist es am einfachsten, über die Azure Identity-Clientbibliothek mit einer verwalteten Identität zu arbeiten. Ausführliche Anleitungen finden Sie im Tutorial: Herstellen einer Verbindung mit Azure-Datenbanken aus App Service ohne Geheimnisse mithilfe einer verwalteten Identität.

Weitere Informationen finden Sie in den entsprechenden Dokumentationsüberschriften der Clientbibliothek:

• Hinzufügen der Azure Identity-Clientbibliothek zu Ihrem Projekt
• Zugreifen auf den Azure-Dienst mit einer vom System zugewiesenen Identität
• Zugreifen auf den Azure-Dienst mit einer vom Benutzer zugewiesenen Identität

In den verknüpften Beispielen wird DefaultAzureCredential verwendet. Dies ist für die meisten Szenarien nützlich, da das gleiche Muster in Azure (mit verwalteten Identitäten) und auf Ihrem lokalen Computer (ohne verwaltete Identitäten) funktioniert.

In Node.js-Apps und JavaScript-Funktionen ist es am einfachsten, über die Azure Identity-Clientbibliothek für JavaScript mit einer verwalteten Identität zu arbeiten. Ausführliche Anleitungen finden Sie im Tutorial: Herstellen einer Verbindung mit Azure-Datenbanken aus App Service ohne Geheimnisse mithilfe einer verwalteten Identität.

Weitere Informationen finden Sie in den entsprechenden Dokumentationsüberschriften der Clientbibliothek:

• Hinzufügen der Azure Identity-Clientbibliothek zu Ihrem Projekt
• Zugreifen auf den Azure-Dienst mit einer vom System zugewiesenen Identität
• Zugreifen auf den Azure-Dienst mit einer vom Benutzer zugewiesenen Identität

In den verknüpften Beispielen wird DefaultAzureCredential verwendet. Dies ist für die meisten Szenarien nützlich, da das gleiche Muster in Azure (mit verwalteten Identitäten) und auf Ihrem lokalen Computer (ohne verwaltete Identitäten) funktioniert.

Weitere Codebeispiele für die Azure Identity-Clientbibliothek für JavaScript finden Sie unter Beispiele für Azure-Identitäten.

In Python-Apps und -Funktionen ist es am einfachsten, über die Azure Identity-Clientbibliothek für Pythonmit einer verwalteten Identität zu arbeiten. Ausführliche Anleitungen finden Sie im Tutorial: Herstellen einer Verbindung mit Azure-Datenbanken aus App Service ohne Geheimnisse mithilfe einer verwalteten Identität.

Weitere Informationen finden Sie in den entsprechenden Dokumentationsüberschriften der Clientbibliothek:

• Hinzufügen der Azure Identity-Clientbibliothek zu Ihrem Projekt
• Zugreifen auf den Azure-Dienst mit einer vom System zugewiesenen Identität
• Zugreifen auf den Azure-Dienst mit einer vom Benutzer zugewiesenen Identität

In den verknüpften Beispielen wird DefaultAzureCredential verwendet. Dies ist für die meisten Szenarien nützlich, da das gleiche Muster in Azure (mit verwalteten Identitäten) und auf Ihrem lokalen Computer (ohne verwaltete Identitäten) funktioniert.

In Java-Apps und -Funktionen ist es am einfachsten, über die Azure Identity-Clientbibliothek für Java mit einer verwalteten Identität zu arbeiten. Ausführliche Anleitungen finden Sie im Tutorial: Herstellen einer Verbindung mit Azure-Datenbanken aus App Service ohne Geheimnisse mithilfe einer verwalteten Identität.

Weitere Informationen finden Sie in den entsprechenden Dokumentationsüberschriften der Clientbibliothek:

• Hinzufügen der Azure Identity-Clientbibliothek zu Ihrem Projekt
• Zugreifen auf den Azure-Dienst mit einer vom System zugewiesenen Identität
• Zugreifen auf den Azure-Dienst mit einer vom Benutzer zugewiesenen Identität

In den verknüpften Beispielen wird DefaultAzureCredential verwendet. Dies ist für die meisten Szenarien nützlich, da das gleiche Muster in Azure (mit verwalteten Identitäten) und auf Ihrem lokalen Computer (ohne verwaltete Identitäten) funktioniert.

Weitere Codebeispiele für die Azure Identity-Clientbibliothek für Java finden Sie unter Beispiele für Azure-Identitäten.

Verwenden Sie das folgende Skript, um ein Token vom lokalen Endpunkt abzurufen, indem Sie einen Ressourcen-URI eines Azure-Diensts angeben:

$resourceURI = "https://<AAD-resource-URI-for-resource-to-obtain-token>"
$tokenAuthURI = $env:IDENTITY_ENDPOINT + "?resource=$resourceURI&api-version=2019-08-01"
$tokenResponse = Invoke-RestMethod -Method Get -Headers @{"X-IDENTITY-HEADER"="$env:IDENTITY_HEADER"} -Uri $tokenAuthURI
$accessToken = $tokenResponse.access_token

1. Scrollen Sie im linken Navigationsbereich der Seite Ihrer App nach unten zur Gruppe Einstellungen.

2. Wählen Sie Identität aus. Führen Sie dann die Schritte basierend auf dem Identitätstyp aus:

   • Vom System zugewiesene Identität: Ändern Sie auf der Registerkarte Vom System zugewiesen den Status zu Aus. Klicken Sie auf Speichern.
   • Vom Benutzer zugewiesene Identität: Klicken Sie auf die Registerkarte Vom Benutzer zugewiesen, aktivieren Sie das Kontrollkästchen für die Identität, und klicken Sie auf Entfernen. Klicken Sie auf Ja, um zu bestätigen.

Um die systemseitig zugewiesene Identität zu entfernen:

az webapp identity remove --name <app-name> --resource-group <group-name>

So entfernen Sie eine oder mehrere vom Benutzer zugewiesene Identitäten:

az webapp identity remove --name <app-name> --resource-group <group-name> --identities <identity-id1> <identity-id2> ...

Sie können die systemseitig zugewiesene Identität auch entfernen, indem Sie in [system]--identities angeben.

Für App Service

Führen Sie den Befehl Set-AzWebApp -AssignIdentity aus, um eine vom System zugewiesene Identität für App Service zu entfernen:

Set-AzWebApp -AssignIdentity $false -Name <app-name> -ResourceGroupName <group-name> 

Für Funktionen

So entfernen Sie alle Identitäten in Azure PowerShell (nur Azure Functions):

# Update an existing function app to have IdentityType "None".
Update-AzFunctionApp -Name $functionAppName -ResourceGroupName $resourceGroupName -IdentityType None

So entfernen Sie alle Identitäten in einer ARM-Vorlage:

"identity": {
    "type": "None"
}