Démarrage rapide : Bibliothèque de client Stockage Blob Azure pour .NET

DefaultAzureCredential est une classe fournie par la bibliothèque de client Azure Identity pour .NET. Pour en savoir plus, consultez la vue d’ensemble de DefaultAzureCredential. DefaultAzureCredential prend en charge plusieurs méthodes d’authentification et détermine quelle méthode doit être utilisée au moment de l’exécution. Cette approche permet à votre application d’utiliser différentes méthodes d’authentification dans différents environnements (local ou production) sans implémenter de code spécifique à l’environnement.

L’ordre et les emplacements dans lesquels DefaultAzureCredential les informations d’identification sont disponibles dans la vue d’ensemble de la bibliothèque d’identités Azure.

Par exemple, votre application peut s’authentifier à l’aide de vos informations d’identification de connexion Visual Studio lors du développement local. Votre application peut ensuite utiliser une identité managée une fois qu’elle a été déployée sur Azure. Aucune modification du code n’est requise pour cette transition.

Attribuer des rôles à votre compte d’utilisateur Microsoft Entra

Lors du développement local, assurez-vous que le compte d’utilisateur qui accède aux données blob dispose des autorisations appropriées. Vous aurez besoin du Contributeur aux données Blob de stockage pour lire et écrire des données blob. Pour vous attribuer ce rôle, vous aurez besoin du rôle Administrateur de l’accès utilisateur ou d’un autre rôle qui inclut l’action Microsoft.Authorization/roleAssignments/write. Vous pouvez attribuer des rôles RBAC Azure à un utilisateur à l’aide du Portail Azure, Azure CLI ou Azure PowerShell. Vous pouvez en savoir plus sur les étendues disponibles pour les attributions de rôles dans la page vue d’ensemble de l’étendue .

Dans ce scénario, vous allez attribuer des autorisations à votre compte d’utilisateur, étendues au compte de stockage, pour suivre le Principe des privilèges minimum. Cette pratique offre aux utilisateurs uniquement les autorisations minimales nécessaires et crée des environnements de production plus sécurisés.

L’exemple suivant affecte le rôle Contributeur aux données Blob du stockage à votre compte d’utilisateur, qui fournit à la fois un accès en lecture et en écriture aux données d’objet blob dans votre compte de stockage.

az storage account show --resource-group '<your-resource-group-name>' --name '<your-storage-account-name>' --query id

az role assignment create --assignee "<user@domain>" \
    --role "Storage Blob Data Contributor" \
    --scope "<your-resource-id>"

Get-AzResource -ResourceGroupName "<yourResourceGroupname>" -Name "<yourStorageAccountName>"

New-AzRoleAssignment -SignInName <user@domain> `
    -RoleDefinitionName "Storage Blob Data Contributor" `
    -Scope <yourStorageAccountId>

Se connecter et connecter le code d’application à Azure à l’aide de DefaultAzureCredential

Vous pouvez autoriser l’accès aux données dans votre compte de stockage en procédant comme suit :

1. Pour le développement local, vérifiez que vous êtes authentifié avec le même compte Microsoft Entra auquel vous avez attribué le rôle. Vous pouvez vous authentifier au moyen d’outils de développement populaires, comme Azure CLI ou Azure PowerShell. Les outils de développement avec lesquels vous pouvez vous authentifier dépendent de la langue.

   • Azure CLI
   • Visual Studio
   • Visual Studio Code
   • PowerShell

   Connectez-vous à Azure via Azure CLI à l’aide de la commande suivante :

   az login
   

2. Pour utiliser DefaultAzureCredential, ajoutez le package Azure.Identity à votre application.

   • Visual Studio
   • CLI .NET

   1. Dans Explorateur de solutions, cliquez avec le bouton droit sur le nœud Dépendances de votre projet. Sélectionnez Gérer les packages NuGet.

   2. Dans la fenêtre résultante, recherchez Azure.Identity. Sélectionnez le résultat approprié, puis sélectionnez Installer.

      

3. Mettez à jour votre code Program.cs pour le faire correspondre à l’exemple suivant : Lorsque le code est exécuté sur votre station de travail locale pendant le développement, il utilise les informations d’identification du développeur de l’outil hiérarchisé auquel vous êtes connecté pour vous authentifier auprès d’Azure, comme Azure CLI ou Visual Studio.

   using Azure.Storage.Blobs;
   using Azure.Storage.Blobs.Models;
   using System;
   using System.IO;
   using Azure.Identity;
   
   // TODO: Replace <storage-account-name> with your actual storage account name
   var blobServiceClient = new BlobServiceClient(
           new Uri("https://<storage-account-name>.blob.core.windows.net"),
           new DefaultAzureCredential());
   

4. Veillez à mettre à jour le nom du compte de stockage dans l’URI de votre BlobServiceClient. Le nom du compte de stockage se trouve sur la page vue d’ensemble du Portail Azure.

   

   Notes

   Lorsqu’il est déployé sur Azure, ce même code peut être utilisé pour autoriser les demandes adressées à Stockage Azure à partir d’une application s’exécutant dans Azure. Toutefois, vous devez activer l’identité managée sur votre application dans Azure. Configurez ensuite votre compte de stockage pour autoriser cette identité managée à se connecter. Pour obtenir des instructions détaillées sur la configuration de cette connexion entre les services Azure, consultez le didacticiel d’authentification à partir d’applications hébergées sur Azure .

Une chaîne de connexion inclut la clé d’accès du compte de stockage et l’utilise pour autoriser les demandes. Veillez toujours à ne jamais exposer les clés dans un emplacement non sécurisé.

az storage account show-connection-string --name "<your-storage-account-name>"

$saName = "yourStorageAccountName"
$rgName = "yourResourceGroupName"
$sa = Get-AzStorageAccount -StorageAccountName $saName -ResourceGroupName $rgName

$saKey = (Get-AzStorageAccountKey -ResourceGroupName $rgName -Name $saName)[0].Value

'DefaultEndpointsProtocol=https;AccountName=' + $saName + ';AccountKey=' + $saKey + ';EndpointSuffix=core.windows.net'

Configurer votre chaîne de connexion de stockage

Après avoir copié la chaîne de connexion, écrivez-la dans une variable d’environnement sur l’ordinateur local exécutant l’application. Pour définir la variable d’environnement, ouvrez une fenêtre de console et suivez les instructions pour votre système d’exploitation. Remplacez <yourconnectionstring> par votre chaîne de connexion.

Windows :

setx AZURE_STORAGE_CONNECTION_STRING "<yourconnectionstring>"

Après avoir ajouté la variable d’environnement dans Windows, vous devez démarrer une nouvelle instance de la fenêtre de commande. Si vous utilisez Visual Studio sur Windows, vous devrez peut-être relancer Visual Studio après avoir créé la variable d’environnement pour que la modification soit détectée.

Linux :

export AZURE_STORAGE_CONNECTION_STRING="<yourconnectionstring>"

Le code ci-dessous récupère la chaîne de connexion du compte de stockage à partir de la variable d’environnement créée précédemment et utilise la chaîne de connexion pour construire un objet client de service.

Ajoutez le code suivant à la fin du fichier Program.cs.

// Retrieve the connection string for use with the application. 
string connectionString = Environment.GetEnvironmentVariable("AZURE_STORAGE_CONNECTION_STRING");

// Create a BlobServiceClient object 
var blobServiceClient = new BlobServiceClient(connectionString);