Migrer une application pour utiliser des connexions sans mot de passe avec le service Stockage Blob Azure

1. Dans le Portail Azure, recherchez votre compte de stockage à l’aide de la barre de recherche principale ou de la navigation gauche.

2. Dans la page vue d’ensemble du compte de stockage, sélectionnez Contrôle d’accès (IAM) dans le menu de gauche.

3. Sur la page Contrôle d’accès (IAM), sélectionnez l’onglet Attributions de rôles.

4. Sélectionnez + Ajouter dans le menu supérieur, puis Ajouter une attribution de rôle dans le menu déroulant résultant.

   

5. Utilisez la zone de recherche pour filtrer les résultats sur le rôle souhaité. Pour cet exemple, recherchez Contributeur aux données Blob du stockage, sélectionnez le résultat correspondant, puis choisissez Suivant.

6. Sous Attribuer l’accès à, sélectionnez Utilisateur, groupe ou principal de service, puis sélectionnez + Sélectionner des membres.

7. Dans la boîte de dialogue, recherchez votre nom d’utilisateur Microsoft Entra (généralement votre adresse e-mail utilisateur@domaine), puis choisissez Sélectionner en bas de la boîte de dialogue.

8. Sélectionnez Vérifier + affecter pour accéder à la page finale, puis Vérifier + attribuer à nouveau pour terminer le processus.

Pour attribuer un rôle au niveau de la ressource à l’aide d’Azure CLI, vous devez d’abord récupérer l’ID de ressource à l’aide de la commande az storage account show. Vous pouvez filtrer les propriétés de sortie à l’aide du paramètre --query.

az storage account show --resource-group '<your-resource-group-name>' --name '<your-storage-account-name>' --query id

Copiez la sortie Id de la commande précédente. Vous pouvez ensuite attribuer des rôles à l’aide de la commande az role de l’interface de ligne de commande Azure.

az role assignment create --assignee "<user@domain>" \
    --role "Storage Blob Data Contributor" \
    --scope "<your-resource-id>"

Pour attribuer un rôle au niveau de la ressource à l’aide d’Azure PowerShell, vous devez d’abord récupérer l’ID de ressource à l’aide de la commande Get-AzResource.

Get-AzResource -ResourceGroupName "<yourResourceGroupname>" -Name "<yourStorageAccountName>"

Copiez la valeur Id de la sortie de commande précédente. Vous pouvez ensuite attribuer des rôles à l’aide de la commande New-AzRoleAssignment dans PowerShell.

New-AzRoleAssignment -SignInName <user@domain> `
    -RoleDefinitionName "Storage Blob Data Contributor" `
    -Scope <yourStorageAccountId>

Connectez-vous à Azure via Azure CLI à l’aide de la commande suivante :

az login

Sélectionnez le bouton Se connecter en haut à droite de Visual Studio.

Connectez-vous à l’aide du compte Microsoft Entra auquel vous avez attribué un rôle précédemment.

Vous devez installer l’interface Azure CLI pour l’utiliser DefaultAzureCredential dans Visual Studio Code.

Dans le menu principal de Visual Studio Code, accédez au Terminal > Nouveau terminal.

Connectez-vous à Azure via Azure CLI à l’aide de la commande suivante :

az login

Connectez-vous à Azure à l’aide de PowerShell via la commande suivante :

Connect-AzAccount

1. Pour utiliser DefaultAzureCredential dans une application .NET, installez le Azure.Identity package :

   dotnet add package Azure.Identity
   

2. Ajoutez le code suivant en haut de votre fichier :

   using Azure.Identity;
   

3. Identifiez les emplacements de votre code qui créent une instance BlobServiceClient pour la connexion au Stockage Blob Azure. Mettez à jour votre code pour le faire correspondre à l’exemple suivant :

   DefaultAzureCredential credential = new();
   
   BlobServiceClient blobServiceClient = new(
       new Uri($"https://{storageAccountName}.blob.core.windows.net"),
       credential);
   

1. Pour utiliser DefaultAzureCredential dans une application Go, installez le module azidentity :

   go get -u github.com/Azure/azure-sdk-for-go/sdk/azidentity
   

2. Ajoutez le code suivant en haut de votre fichier :

   import (
       "github.com/Azure/azure-sdk-for-go/sdk/azidentity"
   )
   

3. Identifiez les emplacements de votre code qui créent une instance Client pour la connexion au Stockage Blob Azure. Mettez à jour votre code pour le faire correspondre à l’exemple suivant :

   cred, err := azidentity.NewDefaultAzureCredential(nil)
   if err != nil {
       // handle error
   }
   
   serviceURL := fmt.Sprintf("https://%s.blob.core.windows.net", storageAccountName)
   client, err := azblob.NewClient(serviceURL, cred, nil)
   if err != nil {
       // handle error
   }
   

1. Pour utiliser DefaultAzureCredential dans une application Java, installez le package à l’aide azure-identity de l’une des approches suivantes :

   1. Inclure le fichier de nomenclature.
   2. Inclure une dépendance directe.

2. Ajoutez le code suivant en haut de votre fichier :

   import com.azure.identity.DefaultAzureCredentialBuilder;
   

3. Identifiez les emplacements de votre code qui créent un objet BlobServiceClient pour la connexion au Stockage Blob Azure. Mettez à jour votre code pour le faire correspondre à l’exemple suivant :

   DefaultAzureCredential credential = new DefaultAzureCredentialBuilder()
       .build();
   String endpoint = 
       String.format("https://%s.blob.core.windows.net", storageAccountName);
   
   BlobServiceClient blobServiceClient = new BlobServiceClientBuilder()
       .endpoint(endpoint)
       .credential(credential)
       .buildClient();
   

1. Pour utiliser DefaultAzureCredential dans une application Node.js, installez le package @azure/identity :

   npm install --save @azure/identity
   

2. Ajoutez le code suivant en haut de votre fichier :

   import { DefaultAzureCredential } from "@azure/identity";
   

3. Identifiez les emplacements de votre code qui créent un objet BlobServiceClient pour la connexion au Stockage Blob Azure. Mettez à jour votre code pour le faire correspondre à l’exemple suivant :

   const credential = new DefaultAzureCredential();
   
   const blobServiceClient = new BlobServiceClient(
     `https://${storageAccountName}.blob.core.windows.net`,
     credential
   );    
   

1. Pour utiliser DefaultAzureCredential dans une application Python, installez le package azure-identity :

   pip install azure-identity
   

2. Ajoutez le code suivant en haut de votre fichier :

   from azure.identity import DefaultAzureCredential
   

3. Identifiez les emplacements de votre code qui créent un objet BlobServiceClient pour la connexion au Stockage Blob Azure. Mettez à jour votre code pour le faire correspondre à l’exemple suivant :

   credential = DefaultAzureCredential()
   
   blob_service_client = BlobServiceClient(
       account_url = "https://%s.blob.core.windows.net" % storage_account_name,
       credential = credential
   )
   

1. À partir du Portail Azure, recherchez Identités managées. Sélectionnez le résultat Identités managées.
2. Sélectionnez + Créer en haut de la page de présentation des Identités managées.
3. Sous l’onglet Informations de base, entrez les valeurs suivantes :
   • Abonnement : sélectionnez l’option souhaitée.
   • Groupe de ressources : sélectionnez votre groupe de ressources souhaité.
   • Région : sélectionnez une région proche de votre emplacement.
   • Nom : entrez un nom reconnaissable pour votre identité, par exemple MigrationIdentity.
4. Au bas de la page, sélectionnez Examiner et créer.
5. Une fois les vérifications de validation terminées, sélectionnez Créer. Azure crée une identité affectée par l’utilisateur.

Une fois la ressource créée, sélectionnez Accéder à la ressource pour afficher les détails de l’identité managée.

Pour créer une identité managée affectée par l’utilisateur, utilisez la commande az identity create :

az identity create --name MigrationIdentity --resource-group <your-resource-group>

Effectuez les étapes suivantes dans le Portail Azure pour associer une identité à votre application. Ces mêmes étapes s’appliquent aux services Azure suivants :

• Azure Spring Apps
• Azure Container Apps
• Machines virtuelles Azure
• Azure Kubernetes Service

1. Accédez à la page de présentation de votre application web front-end.

2. Sélectionnez Identité dans la barre de navigation de gauche.

3. Dans la page Identité, basculez vers l’onglet Utilisateur affecté.

4. Sélectionnez + Ajouter pour ouvrir le menu volant Ajouter une identité managée affectée par l’utilisateur.

5. Sélectionnez l’abonnement utilisé précédemment pour créer l’identité.

6. Recherchez MigrationIdentity par nom et sélectionnez-le dans les résultats de la recherche.

7. Sélectionnez Ajouter pour associer l’identité à votre application.

   

Utilisez les commandes Azure CLI suivantes pour associer une identité à votre application :

Récupérez l’ID de l’identité managée que vous avez créée à l’aide de la commande az identity show. Copiez la valeur de sortie pour l’utiliser à l’étape suivante.

az identity show --name MigrationIdentity -g <your-identity-resource-group-name> --query id

az webapp identity assign \
    --resource-group <resource-group-name> \
    --name <webapp-name>
    --identities <managed-identity-id>

az spring app identity assign \
    --resource-group <resource-group-name> \
    --name <app-name> \
    --service <service-name>
    --user-assigned <managed-identity-id>

az containerapp identity assign \
    --resource-group <resource-group-name> \
    --name <app-name>
    --user-assigned <managed-identity-id>

az vm identity assign \
    --resource-group <resource-group-name> \
    --name <virtual-machine-name>
    --identities <managed-identity-id>

az aks update \
    --resource-group <resource-group-name> \
    --name <cluster-name> \
    --enable-managed-identity \
    --assign-identity <managed-identity-id> \
    --assign-kubelet-identity <managed-identity-id>

Vous pouvez utiliser un connecteur de services pour créer une connexion entre un environnement d’hébergement de calcul Azure et un service cible à l’aide d’Azure CLI. Les commandes CLI Service Connector attribuent automatiquement le rôle approprié à votre identité. Vous pouvez en savoir plus sur Service Connector et les scénarios pris en charge sur la page de vue d’ensemble.

1. Récupérez l’ID client de l’identité managée que vous avez créée à l’aide de la commande az identity show. Copiez la valeur en vue d'une utilisation ultérieure.

   az identity show --name MigrationIdentity --resource-group <your-resource-group> --query clientId
   

2. Utilisez la commande CLI appropriée pour établir la connexion de service :

   • Azure App Service
   • Azure Spring Apps
   • Azure Container Apps

   Si vous utilisez une Azure App Service, utilisez la commande az webapp connection :

   az webapp connection create storage-blob \
       --resource-group <resource-group-name> \
       --name <webapp-name> \
       --target-resource-group <target-resource-group-name> \
       --account <target-storage-account-name> \
       --user-identity "client-id=<your-identity-client-id>" "subs-id=<your-subscription-id>"
   

1. Accédez à la page vue d’ensemble de votre compte de stockage et sélectionnez Access Control (IAM) dans la navigation de gauche.

2. Choisissez Ajouter une attribution de rôle

   

3. Dans la zone de recherche de Rôle, recherchez le Contributeur de données blob de stockage, qui est un rôle commun utilisé pour gérer les opérations de données pour les objets blob. Vous pouvez attribuer le rôle approprié pour votre cas d’usage. Sélectionnez le contributeur de données blob de stockage dans la liste, puis choisissez Suivant.

4. Sur l’écran Ajouter une attribution de rôle, pour l’option Attribuer l’accès à l’option , sélectionnez Identité managée. Choisissez ensuite +Sélectionner des membres.

5. Dans le menu volant, recherchez l’identité managée que vous avez créée par nom, puis sélectionnez-la dans les résultats. Choisissez Sélectionner pour fermer le menu volant.

   

6. Sélectionnez Suivant quelques fois jusqu’à ce que vous puissiez sélectionner Vérifier + attribuer pour terminer l’attribution de rôle.

Pour affecter un rôle au niveau de la ressource à l’aide d’Azure CLI, vous devez d’abord récupérer l’ID de ressource à l’aide de la commande show az storage account. Vous pouvez filtrer les propriétés de sortie à l’aide du paramètre --query.

az storage account show \
    --resource-group '<your-resource-group-name>' \
    --name '<your-storage-account-name>' \
    --query id

Copiez l’ID de sortie à partir de la commande précédente. Vous pouvez ensuite attribuer des rôles à l’aide de la commande az role assignment d’Azure CLI.

az role assignment create \
    --assignee "<your-username>" \
    --role "Storage Blob Data Contributor" \
    --scope "<your-resource-id>"

Si vous avez connecté vos services à l’aide de Service Connector, vous n’avez pas besoin d’effectuer cette étape. Les configurations de rôle nécessaires ont été traitées pour vous lorsque vous avez exécuté les commandes CLI de Service Connector.