Accéder à Stockage Azure à partir d’une application web à l’aide d’identités managées

Pour créer un compte de stockage v2 universel dans le portail Azure, procédez comme suit.

1. Dans le menu du portail Azure, sélectionnez Tous les services. Dans la liste des ressources, entrez Comptes de stockage. Au fur et à mesure de la saisie, la liste est filtrée. Sélectionnez Comptes de stockage.

2. Dans la fenêtre Comptes de stockage qui apparaît, sélectionnez Créer.

3. Sélectionnez l’abonnement dans lequel créer le compte de stockage.

4. Sous le champ Groupe de ressources, sélectionnez le groupe de ressources qui contient votre application web dans le menu déroulant.

5. Ensuite, entrez un nom pour votre compte de stockage. Le nom choisi doit être unique dans tout Azure. Le nom doit aussi contenir entre 3 et 24 caractères, et uniquement des lettres minuscules et des chiffres.

6. Sélectionnez l’emplacement de votre compte de stockage ou utilisez l’emplacement par défaut.

7. Pour Performances, sélectionnez l’option Standard.

8. Pour Redondance, sélectionnez l’option Stockage localement redondant (LRS) dans la liste déroulante.

9. Sélectionnez Vérifier pour passer en revue vos paramètres de compte de stockage et créer le compte.

10. Sélectionnez Create (Créer).

Pour créer un conteneur de stockage d’objets blob dans le stockage Azure, effectuez les étapes suivantes.

1. Accédez à votre nouveau compte de stockage dans le portail Azure.

2. Faites défiler le menu de gauche du compte de stockage jusqu’à la section Stockage de données, puis sélectionnez Conteneurs.

3. Sélectionnez le bouton + Conteneur.

4. Entrez un nom pour votre nouveau conteneur. Le nom du conteneur doit être en minuscules, commencer par une lettre ou un chiffre, et peut comporter uniquement des lettres, des chiffres et des tirets (-).

5. Définissez le niveau d’accès public sur le conteneur. Le niveau par défaut est Private (no anonymous access) (Privé (aucun accès anonyme)).

6. Sélectionnez Créer pour créer le conteneur.

Pour créer un compte de stockage v2 universel et un conteneur de stockage d’objets blob, exécutez le script suivant. Spécifiez le nom du groupe de ressources qui contient votre application web. Entrez un nom pour votre compte de stockage. Le nom choisi doit être unique dans tout Azure. Le nom doit aussi contenir entre 3 et 24 caractères, et uniquement des lettres minuscules et des chiffres.

Spécifiez l’emplacement de votre compte de stockage. Pour voir la liste des emplacements valides pour votre abonnement, exécutez Get-AzLocation | select Location. Le nom du conteneur doit être en minuscules, commencer par une lettre ou un chiffre, et peut comporter uniquement des lettres, des chiffres et des tirets (-).

N’oubliez pas de remplacer les valeurs d’espace réservé entre crochets par vos propres valeurs.

Connect-AzAccount

$resourceGroup = "securewebappresourcegroup"
$location = "<location>"
$storageName="securewebappstorage"
$containerName = "securewebappblobcontainer"

$storageAccount = New-AzStorageAccount -ResourceGroupName $resourceGroup `
  -Name $storageName `
  -Location $location `
  -SkuName Standard_RAGRS `
  -Kind StorageV2

$ctx = $storageAccount.Context

New-AzStorageContainer -Name $containerName -Context $ctx -Permission blob

Pour créer un compte de stockage v2 universel et un conteneur de stockage d’objets blob, exécutez le script suivant. Spécifiez le nom du groupe de ressources qui contient votre application web. Entrez un nom pour votre compte de stockage. Le nom choisi doit être unique dans tout Azure. Le nom doit aussi contenir entre 3 et 24 caractères, et uniquement des lettres minuscules et des chiffres.

Spécifiez l’emplacement de votre compte de stockage. Le nom du conteneur doit être en minuscules, commencer par une lettre ou un chiffre, et peut comporter uniquement des lettres, des chiffres et des tirets (-).

L’exemple suivant utilise votre compte Microsoft Entra pour autoriser l’opération à créer le conteneur. Avant de créer le conteneur, attribuez-vous le rôle Contributeur aux données Blob du stockage. Même si vous êtes le propriétaire du compte, vous avez besoin d’autorisations explicites pour effectuer des opérations de données sur le compte de stockage.

N’oubliez pas de remplacer les valeurs d’espace réservé entre crochets par vos propres valeurs.

az login

az storage account create \
    --name securewebappstorage \
    --resource-group securewebappresourcegroup \
    --location <location> \
    --sku Standard_ZRS \
    --encryption-services blob

storageId=$(az storage account show -n securewebappstorage -g securewebappresourcegroup --query id --out tsv)

az ad signed-in-user show --query objectId -o tsv | az role assignment create \
    --role "Storage Blob Data Contributor" \
    --assignee @- \
    --scope $storageId

az storage container create \
    --account-name securewebappstorage \
    --name securewebappblobcontainer \
    --auth-mode login

Dans le portail Azure, accédez à votre compte de stockage pour accorder l’accès à votre application web. Sélectionnez Contrôle d’accès (IAM) dans le volet gauche, puis Attributions de rôle. La liste des utilisateurs ayant accès au compte de stockage s’affiche. À présent, vous souhaitez ajouter une attribution de rôle à un bot, le service d’application qui a besoin d’accéder au compte de stockage. Sélectionnez Ajouter>Ajouter une attribution de rôle pour ouvrir la page Ajouter une attribution de rôle.

1. Dans l’onglet Type d’affectation, sélectionnez Type de fonction de travail, puis Suivant.

2. Dans l’onglet Rôle, sélectionnez le rôle Contributeur aux données Blob du stockage dans la liste déroulante, puis sélectionnez Suivant.

3. Dans l’onglet Membres, sélectionnez Attribuer l’accès à ->Identité managée, puis Membres ->Sélectionner des membres. Dans la fenêtre Sélectionner des identités managées, recherchez et sélectionnez l’identité managée créée pour App Service dans la liste déroulante Identité managée. Sélectionnez le bouton Sélectionner.

4. Sélectionnez Passer en revue et attribuer, puis à nouveau Passer en revue et attribuer.

Pour connaître les étapes détaillées, consultez Attribuer des rôles Azure à l’aide du portail Azure.

Votre application web a maintenant accès à votre compte de stockage.

Exécutez le script suivant pour affecter à votre application web (représentée par une identité managée affectée par le système) le rôle Contributeur aux données Blob du stockage sur votre compte de stockage.

$resourceGroup = "securewebappresourcegroup"
$webAppName="SecureWebApp20201102125811"
$storageName="securewebappstorage"

$spID = (Get-AzWebApp -ResourceGroupName $resourceGroup -Name $webAppName).identity.principalid
$storageId= (Get-AzStorageAccount -ResourceGroupName $resourceGroup -Name $storageName).Id
New-AzRoleAssignment -ObjectId $spID -RoleDefinitionName "Storage Blob Data Contributor" -Scope $storageId

Exécutez le script suivant pour affecter à votre application web (représentée par une identité managée affectée par le système) le rôle Contributeur aux données Blob du stockage sur votre compte de stockage.

spID=$(az resource list -n SecureWebApp20201102125811 --query [*].identity.principalId --out tsv)

storageId=$(az storage account show -n securewebappstorage -g securewebappresourcegroup --query id --out tsv)

az role assignment create --assignee $spID --role 'Storage Blob Data Contributor' --scope $storageId

La classe DefaultAzureCredential est utilisée pour obtenir les informations d’identification d’un jeton pour votre code afin d’autoriser les requêtes d’accès à Stockage Azure. Créez une instance de la classe DefaultAzureCredential, qui utilise l’identité managée pour extraire des jetons et les attacher au client de service. L’exemple de code suivant obtient les informations d’identification du jeton authentifiées, et les utilise pour créer un objet de client de service, qui charge un nouvel objet blob.

Pour voir ce code dans un exemple d’application, consultez l’exemple sur GitHub.

Installer des packages de bibliothèque de client

Installez le package NuGet de stockage d’objets blob pour utiliser le stockage d’objets blob et le package NuGet de la bibliothèque cliente Azure Identity pour .NET afin de vous authentifier avec des informations d’identification Microsoft Entra. Installez les bibliothèques clientes à l’aide de l’interface de ligne de commande (CLI) .NET ou de la console du gestionnaire de package dans Visual Studio.

CLI .NET

Ouvrez une ligne de commande et basculez vers le répertoire qui contient votre fichier projet.

Exécutez les commandes d’installation.

dotnet add package Azure.Storage.Blobs

dotnet add package Azure.Identity

Console du Gestionnaire de package

Ouvrez le projet ou la solution dans Visual Studio, puis ouvrez la console à l’aide de la commande Outils>Gestionnaire de package NuGet>Console du gestionnaire de package.

Exécutez les commandes d’installation.

Install-Package Azure.Storage.Blobs

Install-Package Azure.Identity

Exemple

using System;
using Azure.Storage.Blobs;
using Azure.Storage.Blobs.Models;
using System.Collections.Generic;
using System.Threading.Tasks;
using System.Text;
using System.IO;
using Azure.Identity;

// Some code omitted for brevity.

static public async Task UploadBlob(string accountName, string containerName, string blobName, string blobContents)
{
    // Construct the blob container endpoint from the arguments.
    string containerEndpoint = string.Format("https://{0}.blob.core.windows.net/{1}",
                                                accountName,
                                                containerName);

    // Get a credential and create a client object for the blob container.
    BlobContainerClient containerClient = new BlobContainerClient(new Uri(containerEndpoint),
                                                                    new DefaultAzureCredential());

    try
    {
        // Create the container if it does not exist.
        await containerClient.CreateIfNotExistsAsync();

        // Upload text to a new block blob.
        byte[] byteArray = Encoding.ASCII.GetBytes(blobContents);

        using (MemoryStream stream = new MemoryStream(byteArray))
        {
            await containerClient.UploadBlobAsync(blobName, stream);
        }
    }
    catch (Exception e)
    {
        throw e;
    }
}

La classeDefaultAzureCredential du paquet DefaultAzureCredential est utilisée pour obtenir un jeton d’identification pour votre code afin d’autoriser les demandes à Azure Storage. La classeBlobServiceClient du paquet @azure/storage-blob est utilisée pour télécharger un nouveau blob vers le stockage. Créez une instance de la classe DefaultAzureCredential, qui utilise l’identité managée pour extraire des jetons et les attacher au client du service BLOB. L’exemple de code suivant obtient les informations d’identification du jeton authentifiées, et les utilise pour créer un objet de client de service, qui charge un nouvel objet blob.

Exemple

const { DefaultAzureCredential } = require("@azure/identity");
const { BlobServiceClient } = require("@azure/storage-blob");
const defaultAzureCredential = new DefaultAzureCredential();

// Some code omitted for brevity.

async function uploadBlob(accountName, containerName, blobName, blobContents) {
    const blobServiceClient = new BlobServiceClient(
        `https://${accountName}.blob.core.windows.net`,
        defaultAzureCredential
    );

    const containerClient = blobServiceClient.getContainerClient(containerName);

    try {
        await containerClient.createIfNotExists();
        const blockBlobClient = containerClient.getBlockBlobClient(blobName);
        const uploadBlobResponse = await blockBlobClient.upload(blobContents, blobContents.length);
        console.log(`Upload block blob ${blobName} successfully`, uploadBlobResponse.requestId);
    } catch (error) {
        console.log(error);
    }
}