Schnellstart: Azure Blob Storage-Clientbibliothek für .NET

DefaultAzureCredential ist eine von der „Azure Identity“-Clientbibliothek für .NET bereitgestellte Klasse, zu der Sie mehr in der „DefaultAzureCredential“-Übersicht erfahren können. DefaultAzureCredential unterstützt mehrere Authentifizierungsmethoden und bestimmt, welche Methode zur Laufzeit verwendet werden soll. Bei diesem Ansatz kann Ihre App unterschiedliche Authentifizierungsmethoden in verschiedenen Umgebungen (lokal gegenüber Produktion) verwenden, ohne umgebungsspezifischen Code zu implementieren.

Die Reihenfolge und Speicherorte, in denen DefaultAzureCredential nach Anmeldeinformationen sucht, finden Sie in der Übersicht über die „Azure Identity“-Bibliothek.

Ihre App kann sich beispielsweise mit Ihren Visual Studio-Anmeldeinformationen authentifizieren, wenn Sie lokal entwickeln. Dann kann Ihre App eine verwaltete Identität verwenden, nachdem sie in Azure bereitgestellt wurde. Für diesen Übergang sind keine Änderungen am Code erforderlich.

Zuweisen von Rollen zu Ihrem Microsoft Entra-Benutzerkonto

Stellen Sie bei lokaler Entwicklung sicher, dass das Benutzerkonto, das auf Blobdaten zugreift, über die richtigen Berechtigungen verfügt. Sie benötigen die Berechtigung Mitwirkender an Storage-Blobdaten zum Lesen und Schreiben von Blobdaten. Um sich selbst diese Rolle zuweisen zu können, benötigen Sie die Rolle Benutzerzugriffsadministrator oder eine andere Rolle, die die Aktion Microsoft.Authorization/roleAssignments/write enthält. Sie können einem Benutzer Azure RBAC-Rollen über das Azure-Portal, die Azure CLI oder mit Azure PowerShell zuweisen. Weitere Informationen zu den verfügbaren Bereichen für Rollenzuweisungen finden Sie auf der Seite Bereichsübersicht.

In diesem Szenario weisen Sie Ihrem Benutzerkonto Berechtigungen zu, die auf das Speicherkonto zugeschnitten sind, um dem Prinzip der geringsten Rechte zu folgen. Auf diese Weise erhalten Benutzer nur die erforderlichen Mindestberechtigungen, und es entstehen sicherere Produktionsumgebungen.

Im folgenden Beispiel wird Ihrem Benutzerkonto die Rolle Mitwirkender an Storage-Blobdaten zugewiesen, die sowohl Lese- als auch Schreibzugriff auf Blobdaten in Ihrem Speicherkonto ermöglicht.

az storage account show --resource-group '<your-resource-group-name>' --name '<your-storage-account-name>' --query id

az role assignment create --assignee "<user@domain>" \
    --role "Storage Blob Data Contributor" \
    --scope "<your-resource-id>"

Get-AzResource -ResourceGroupName "<yourResourceGroupname>" -Name "<yourStorageAccountName>"

New-AzRoleAssignment -SignInName <user@domain> `
    -RoleDefinitionName "Storage Blob Data Contributor" `
    -Scope <yourStorageAccountId>

Anmelden und Verbinden ihres App-Codes mit Azure mithilfe von „DefaultAzureCredential“

Sie können den Zugriff auf Daten in Ihrem Speicherkonto mithilfe der folgenden Schritte autorisieren:

1. Stellen Sie für die lokale Entwicklung sicher, dass Sie mit demselben Microsoft Entra-Konto authentifiziert sind, dem Sie die Rolle zugewiesen haben. Sie können sich über gängige Entwicklungstools wie die Azure-Befehlszeilenschnittstelle (CLI) oder Azure PowerShell authentifizieren. Die Entwicklungstools, mit denen Sie sich authentifizieren können, variieren je nach Sprache.

   • Azure-Befehlszeilenschnittstelle
   • Visual Studio
   • Visual Studio Code
   • PowerShell

   Melden Sie sich mit dem folgenden Befehl über die Azure-Befehlszeilenschnittstelle bei Azure an:

   az login
   

2. Um DefaultAzureCredential verwenden zu können, fügen Sie Ihrer Anwendung das Paket Azure.Identity hinzu.

   • Visual Studio
   • .NET CLI

   1. Klicken Sie in Projektmappen-Explorer mit der rechten Maustaste auf den Knoten Abhängigkeiten Ihres Projekts. Wählen Sie NuGet-Pakete verwalten aus.

   2. Suchen Sie im daraufhin angezeigten Fenster nach Azure.Identity. Wählen Sie das entsprechende Ergebnis und dann Installieren aus.

      

3. Aktualisieren Sie Ihren Program.cs-Code, damit er mit dem folgenden Beispiel übereinstimmt. Wenn der Code während der Entwicklung auf Ihrer lokalen Arbeitsstation ausgeführt wird, verwendet er die Entwickleranmeldeinformationen des priorisierten Tools, bei dem Sie angemeldet sind, um sich bei Azure zu authentifizieren, z. B. Azure CLI oder Visual Studio.

   using Azure.Storage.Blobs;
   using Azure.Storage.Blobs.Models;
   using System;
   using System.IO;
   using Azure.Identity;
   
   // TODO: Replace <storage-account-name> with your actual storage account name
   var blobServiceClient = new BlobServiceClient(
           new Uri("https://<storage-account-name>.blob.core.windows.net"),
           new DefaultAzureCredential());
   

4. Stellen Sie sicher, dass Sie den Namen des Speicherkontos im URI Ihres BlobServiceClient aktualisieren. Den Name des Speicherkontos finden Sie auf der Übersichtsseite des Azure-Portals.

   

   Hinweis

   Bei der Bereitstellung in Azure kann derselbe Code verwendet werden, um Anforderungen an Azure Storage aus einer in Azure ausgeführten Anwendung zu autorisieren. Sie müssen jedoch die verwaltete Identität für Ihre App in Azure aktivieren. Konfigurieren Sie dann Ihr Speicherkonto, um dieser verwalteten Identität das Herstellen einer Verbindung zu ermöglichen. Ausführliche Anleitungen zum Konfigurieren dieser Verbindung zwischen Azure-Diensten finden Sie im Tutorial Auth from Azure-hosted apps (Autorisieren aus von Azure gehosteten Apps).

Eine Verbindungszeichenfolge enthält den Zugriffsschlüssel für das Speicherkonto, den sie zum Autorisieren von Anforderungen verwendet. Achten Sie immer darauf, die Schlüssel an einem unsicheren Ort niemals verfügbar zu machen.

az storage account show-connection-string --name "<your-storage-account-name>"

$saName = "yourStorageAccountName"
$rgName = "yourResourceGroupName"
$sa = Get-AzStorageAccount -StorageAccountName $saName -ResourceGroupName $rgName

$saKey = (Get-AzStorageAccountKey -ResourceGroupName $rgName -Name $saName)[0].Value

'DefaultEndpointsProtocol=https;AccountName=' + $saName + ';AccountKey=' + $saKey + ';EndpointSuffix=core.windows.net'

Konfigurieren der Speicherverbindungszeichenfolge

Schreiben Sie die Verbindungszeichenfolge nach dem Kopieren in eine neue Umgebungsvariable auf dem lokalen Computer, auf dem die Anwendung ausgeführt wird. Öffnen Sie zum Festlegen der Umgebungsvariablen ein Konsolenfenster, und befolgen Sie die Anleitung für Ihr Betriebssystem. Ersetzen Sie <yourconnectionstring> durch Ihre Verbindungszeichenfolge.

Windows:

setx AZURE_STORAGE_CONNECTION_STRING "<yourconnectionstring>"

Sie müssen nach dem Hinzufügen der Umgebungsvariablen unter Windows eine neue Instanz des Befehlsfensters öffnen. Wenn Sie Visual Studio unter Windows verwenden, müssen Sie es nach dem Erstellen der Umgebungsvariablen möglicherweise neu starten, damit die Änderung erkannt wird.

Linux:

export AZURE_STORAGE_CONNECTION_STRING="<yourconnectionstring>"

Der folgende Code ruft die Verbindungszeichenfolge für das Speicherkonto aus der zuvor erstellten Umgebungsvariablen ab und verwendet die Verbindungszeichenfolge, um ein Clientobjekt für den Dienst zu erstellen.

Fügen Sie am Ende der Datei Program.cs den folgenden Code hinzu:

// Retrieve the connection string for use with the application. 
string connectionString = Environment.GetEnvironmentVariable("AZURE_STORAGE_CONNECTION_STRING");

// Create a BlobServiceClient object 
var blobServiceClient = new BlobServiceClient(connectionString);