예: Python용 Azure 라이브러리를 사용하여 Azure Storage에 액세스

DefaultAzureCredential 는 미리 구성된 의견 있는 자격 증명 체인입니다. 가장 일반적인 인증 흐름 및 개발자 도구와 함께 많은 환경을 지원하도록 설계되었습니다. 인스턴스는 런타임 환경의 DefaultAzureCredential 조합, 잘 알려진 특정 환경 변수의 값 및 필요에 따라 해당 생성자에 전달된 매개 변수를 기반으로 토큰을 가져오려고 하는 자격 증명 형식을 결정합니다.

다음 단계에서는 애플리케이션 서비스 주체를 애플리케이션 ID로 구성합니다. 애플리케이션 서비스 주체는 로컬 개발 중과 온-프레미스에서 호스트되는 앱 모두에 적합합니다. 애플리케이션 서비스 주체를 사용하도록 구성 DefaultAzureCredential 하려면 다음 환경 변수를 설정합니다. AZURE_CLIENT_IDAZURE_TENANT_IDAZURE_CLIENT_SECRET

클라이언트 암호가 구성되어 있는지 확인합니다. 이는 애플리케이션 서비스 주체에 필요하지만 시나리오에 따라 환경 변수에서 비밀 또는 암호를 설정할 필요가 없는 자격 증명을 사용하도록 구성할 DefaultAzureCredential 수도 있습니다.

예를 들어 로컬 개발에서 구성된 환경 변수를 사용하여 토큰을 가져올 수 없는 경우 Azure CLI와 같은 개발 도구에 로그인한 사용자(이미)를 사용하여 토큰을 가져오려고 합니다. Azure DefaultAzureCredential 에서 호스트되는 앱의 경우 DefaultAzureCredential 관리 ID를 사용하도록 구성할 수 있습니다. 모든 경우에 앱의 코드는 동일하게 유지되며 구성 및/또는 런타임 환경만 변경됩니다.

1. 다음 코드를 사용하여 use_blob_auth.py라는 파일을 만듭니다. 주석은 단계를 설명합니다.

   import os
   import uuid
   
   from azure.identity import DefaultAzureCredential
   
   # Import the client object from the SDK library
   from azure.storage.blob import BlobClient
   
   credential = DefaultAzureCredential()
   
   # Retrieve the storage blob service URL, which is of the form
   # https://<your-storage-account-name>.blob.core.windows.net/
   storage_url = os.environ["AZURE_STORAGE_BLOB_URL"]
   
   # Create the client object using the storage URL and the credential
   blob_client = BlobClient(
       storage_url,
       container_name="blob-container-01",
       blob_name=f"sample-blob-{str(uuid.uuid4())[0:5]}.txt",
       credential=credential,
   )
   
   # Open a local file and upload its contents to Blob Storage
   with open("./sample-source.txt", "rb") as data:
       blob_client.upload_blob(data)
       print(f"Uploaded sample-source.txt to {blob_client.url}")
   

   참조 링크:

   • DefaultAzureCredential(azure.identity)
   • BlobClient(azure.storage.blob)

2. 다음과 같은 환경 변수를 만듭니다 AZURE_STORAGE_BLOB_URL.

   • cmd
   • bash

   set AZURE_STORAGE_BLOB_URL=https://pythonazurestorage12345.blob.core.windows.net
   

   "pythonazurestorage12345"를 스토리지 계정의 이름으로 바꿉니다.

   AZURE_STORAGE_BLOB_URL 환경 변수는 이 예제에서만 사용됩니다. Azure 라이브러리에서 사용되지 않습니다.

3. az ad sp create-for-rbac 명령을 사용하여 앱에 대한 새 서비스 주체를 만듭니다. 이 명령은 앱에 대한 앱 등록을 동시에 만듭니다. 서비스 주체에 선택한 이름을 지정합니다.

   az ad sp create-for-rbac --name <service-principal-name>
   

   이 명령의 출력은 다음과 같습니다. 다음 단계에서 이러한 값이 필요하고 암호(클라이언트 암호) 값을 다시 볼 수 없으므로 이러한 값을 기록하거나 이 창을 열어 둡니다. 그러나 필요한 경우 서비스 주체 또는 기존 암호를 무효화하지 않고 나중에 새 암호를 추가할 수 있습니다.

   {
     "appId": "00001111-aaaa-2222-bbbb-3333cccc4444",
     "displayName": "<service-principal-name>",
     "password": "Aa1Bb~2Cc3.-Dd4Ee5Ff6Gg7Hh8Ii9_Jj0Kk1Ll2",
     "tenant": "aaaabbbb-0000-cccc-1111-dddd2222eeee"
   }
   

   Azure CLI 명령은 Azure Cloud Shell에서 실행하거나 Azure CLI가 설치된 워크스테이션에서 실행할 수 있습니다.

4. 애플리케이션 서비스 주체에 대한 환경 변수를 만듭니다.

   이전 명령의 출력 값을 사용하여 다음 환경 변수를 만듭니다. 이러한 변수는 애플리케이션 서비스 주체를 사용하도록 지시 DefaultAzureCredential 합니다.

   • AZURE_CLIENT_ID → 앱 ID 값입니다.
   • AZURE_TENANT_ID → 테넌트 ID 값입니다.
   • AZURE_CLIENT_SECRET → 앱에 대해 생성된 암호/자격 증명입니다.
   • cmd
   • bash

   set AZURE_CLIENT_ID=00001111-aaaa-2222-bbbb-3333cccc4444
   set AZURE_TENANT_ID=aaaabbbb-0000-cccc-1111-dddd2222eeee
   set AZURE_CLIENT_SECRET=Aa1Bb~2Cc3.-Dd4Ee5Ff6Gg7Hh8Ii9_Jj0Kk1Ll2
   

5. 의도적으로 실패하는 코드를 실행하려고 시도합니다.

   python use_blob_auth.py
   

6. "이 요청은 이 권한을 사용하여 이 작업을 수행할 권한이 없습니다." 오류를 확인합니다. 사용 중인 로컬 서비스 주체에 Blob 컨테이너에 액세스할 수 있는 권한이 아직 없기 때문에 오류가 발생합니다.

7. az role assignment create Azure CLI 명령을 사용하여 Blob 컨테이너에 대한 Storage Blob 데이터 기여자 권한을 서비스 주체에게 부여합니다.

   az role assignment create --assignee <AZURE_CLIENT_ID> \
       --role "Storage Blob Data Contributor" \
       --scope "/subscriptions/<AZURE_SUBSCRIPTION_ID>/resourceGroups/PythonAzureExample-Storage-rg/providers/Microsoft.Storage/storageAccounts/pythonazurestorage12345/blobServices/default/containers/blob-container-01"
   

   인수는 --assignee 서비스 주체를 식별합니다. AZURE_CLIENT_ID> 자리 표시자를 서비스 주체의 앱 ID로 바꿉<니다.

   인수는 --scope 이 역할 할당이 적용되는 위치를 식별합니다. 이 예제에서는 "Blob-container-01"이라는 컨테이너의 서비스 주체에 "Storage Blob 데이터 기여자" 역할을 부여합니다.

   • 스토리지 계정과 pythonazurestorage12345 스토리지 계정의 정확한 이름을 포함하는 리소스 그룹으로 바꿉 PythonAzureExample-Storage-rg 니다. 또한 필요한 경우 Blob 컨테이너의 이름을 조정합니다. 잘못된 이름을 사용하는 경우 "중첩된 리소스에 대해 요청된 작업을 수행할 수 없습니다. 부모 리소스 'pythonazurestorage12345'를 찾을 수 없습니다."

   • <AZURE_SUBSCRIPTION_ID> 자리 표시자를 Azure 구독 ID로 바꿉니다. (az account show 명령을 실행하고 출력의 속성에서 구독 ID를 id 가져올 수 있습니다.)

   팁

   bash 셸을 사용할 때 역할 할당 명령이 "연결 어댑터를 찾을 수 없음" 오류를 반환하는 경우 경로 변환을 방지하도록 설정 export MSYS_NO_PATHCONV=1 해 봅니다. 자세한 내용은 이 문제를 참조하세요.

8. 사용 권한이 전파되기까지 1~2분 정도 기다린 다음 코드를 다시 실행하여 이제 작동하는지 확인합니다. 사용 권한 오류가 다시 표시되면 조금 더 기다린 다음 코드를 다시 시도하세요.

역할 할당에 대한 자세한 내용은 Azure CLI를 사용하여 역할 권한을 할당하는 방법을 참조하세요.

연결 문자열에는 스토리지 계정 액세스 키가 포함되며, 이를 사용하여 요청에 대한 권한을 부여합니다. 키를 안전하지 않은 위치에 노출하지 않도록 항상 주의해야 합니다.

1. 다음 코드를 사용하여 use_blob_conn_string.py이라는 Python 파일을 만듭니다. 주석은 단계를 설명합니다.

   import os
   import uuid
   
   # Import the client object from the SDK library
   from azure.storage.blob import BlobClient
   
   # Retrieve the connection string from an environment variable. Note that a
   # connection string grants all permissions to the caller, making it less
   # secure than obtaining a BlobClient object using credentials.
   conn_string = os.environ["AZURE_STORAGE_CONNECTION_STRING"]
   
   # Create the client object for the resource identified by the connection
   # string, indicating also the blob container and the name of the specific
   # blob we want.
   blob_client = BlobClient.from_connection_string(
       conn_string,
       container_name="blob-container-01",
       blob_name=f"sample-blob-{str(uuid.uuid4())[0:5]}.txt",
   )
   
   # Open a local file and upload its contents to Blob Storage
   with open("./sample-source.txt", "rb") as data:
       blob_client.upload_blob(data)
       print(f"Uploaded sample-source.txt to {blob_client.url}")
   

2. 스토리지 계정의 전체 연결 문자열 값인 환경 AZURE_STORAGE_CONNECTION_STRING변수를 만듭니다. (이 환경 변수는 다양한 Azure CLI 주석에서도 사용됩니다.) az storage account show-connection-string 명령을 실행하여 스토리지 계정에 대한 연결 문자열 가져올 수 있습니다.

   az storage account show-connection-string --resource-group PythonAzureExample-Storage-rg --name pythonazurestorage12345
   

   스토리지 계정과 pythonazurestorage12345 스토리지 계정의 정확한 이름을 포함하는 리소스 그룹으로 바꿉 PythonAzureExample-Storage-rg 니다.

   환경 변수를 설정할 때 따옴표를 포함하여 출력에 있는 속성의 connectionString 전체 값을 사용합니다.

3. 코드를 실행합니다.

   python use_blob_conn_string.py
   

이 메서드는 간단하지만 연결 문자열 스토리지 계정의 모든 작업에 권한을 부여합니다. 프로덕션 코드를 사용하면 이전 섹션에 설명된 대로 특정 권한을 사용하는 것이 좋습니다.