Como usar identidades gerenciadas para o Serviço de Aplicativo e o Azure Functions

1. Acesse as configurações do aplicativo no portal do Azure no grupo Configurações no painel de navegação esquerdo.

2. Selecionar Identidade.

3. Na guia Sistema atribuído, alterne o Status para Ligado. Clique em Save (Salvar).

   

Execute o comando az webapp identity assign para criar uma identidade atribuída pelo sistema:

az webapp identity assign --name myApp --resource-group myResourceGroup

Para o Serviço de Aplicativo

Execute o comando Set-AzWebApp -AssignIdentity para criar uma identidade atribuída pelo sistema para o Serviço de Aplicativo:

Set-AzWebApp -AssignIdentity $true -Name <app-name> -ResourceGroupName <group-name> 

Para o Functions

Execute o comando Update-AzFunctionApp -IdentityType para criar uma identidade atribuída pelo sistema para um aplicativo de funções:

Update-AzFunctionApp -Name $functionAppName -ResourceGroupName $resourceGroupName -IdentityType SystemAssigned

Um modelo do Azure Resource Manager pode ser usado para automatizar a implantação de recursos do Azure. Para saber mais sobre a implantação do Serviço de Aplicativo e do Azure Functions, consulte Automatizar a implantação de recursos no Serviço de Aplicativo e Automatizar a implantação de recursos no Azure Functions.

Qualquer recurso do tipo Microsoft.Web/sites pode ser criado com uma identidade, incluindo a propriedade a seguir na definição de recurso:

"identity": {
    "type": "SystemAssigned"
}

Adicionar o tipo atribuído pelo sistema diz ao Azure para criar e gerenciar a identidade do seu aplicativo.

Por exemplo, um modelo de aplicativo Web pode ser semelhante ao seguinte JSON:

{
    "apiVersion": "2022-03-01",
    "type": "Microsoft.Web/sites",
    "name": "[variables('appName')]",
    "location": "[resourceGroup().location]",
    "identity": {
        "type": "SystemAssigned"
    },
    "properties": {
        "name": "[variables('appName')]",
        "serverFarmId": "[resourceId('Microsoft.Web/serverfarms', variables('hostingPlanName'))]",
        "hostingEnvironment": "",
        "clientAffinityEnabled": false,
        "alwaysOn": true
    },
    "dependsOn": [
        "[resourceId('Microsoft.Web/serverfarms', variables('hostingPlanName'))]"
    ]
}

Quando o site é criado, ele tem as seguintes propriedades adicionais:

"identity": {
    "type": "SystemAssigned",
    "tenantId": "<tenant-id>",
    "principalId": "<principal-id>"
}

A propriedade tenantId identifica a qual locatário do Microsoft Entra a identidade pertence. O principalId é um identificador exclusivo para a nova identidade do aplicativo. No Microsoft Entra ID, a entidade de serviço tem o mesmo nome dado à sua instância do Serviço de Aplicativo ou do Azure Functions.

Se você precisar referenciar essas propriedades em uma fase adiante no modelo, poderá fazer isso por meio da reference() função do modelo com o sinalizador 'Full', como neste exemplo:

{
    "tenantId": "[reference(resourceId('Microsoft.Web/sites', variables('appName')), '2018-02-01', 'Full').identity.tenantId]",
    "objectId": "[reference(resourceId('Microsoft.Web/sites', variables('appName')), '2018-02-01', 'Full').identity.principalId]",
}

Primeiro, você precisará criar um recurso de identidade atribuído pelo usuário.

1. Crie um recurso de identidade gerenciado atribuído pelo usuário de acordo com estas instruções.

2. No painel de navegação esquerdo da página do aplicativo, role para baixo até o grupo Configurações.

3. Selecionar Identidade.

4. Selecione Usuário atribuído>Adicionar.

5. Procure a identidade que você criou anteriormente, selecione-a e selecione Adicionar.

   

   Depois de selecionar Adicionar, o aplicativo é reiniciado.

1. Crie uma identidade atribuída pelo usuário.

   az identity create --resource-group <group-name> --name <identity-name>
   

2. Execute o comando az webapp identity assign para atribuir a identidade ao aplicativo.

   az webapp identity assign --resource-group <group-name> --name <app-name> --identities <identity-id>
   

Para o Serviço de Aplicativo

Atualmente, não há suporte para a adição de uma identidade atribuída pelo usuário no Serviço de Aplicativo.

Para o Functions

1. Crie uma identidade atribuída pelo usuário.

   Install-Module -Name Az.ManagedServiceIdentity -AllowPrerelease
   $userAssignedIdentity = New-AzUserAssignedIdentity -Name $userAssignedIdentityName -ResourceGroupName <group-name>
   

2. Execute o comando Update-AzFunctionApp -IdentityType UserAssigned -IdentityId para atribuir a identidade no Functions:

   Update-AzFunctionApp -Name <app-name> -ResourceGroupName <group-name> -IdentityType UserAssigned -IdentityId $userAssignedIdentity.Id
   

Um modelo do Azure Resource Manager pode ser usado para automatizar a implantação de recursos do Azure. Para saber mais sobre a implantação do Serviço de Aplicativo e do Azure Functions, consulte Automatizar a implantação de recursos no Serviço de Aplicativo e Automatizar a implantação de recursos no Azure Functions.

Qualquer recurso do tipo Microsoft.Web/sites pode ser criado com uma identidade incluindo o seguinte bloco na definição do recurso, substituindo <resource-id> pelo ID do recurso da identidade desejada:

"identity": {
    "type": "UserAssigned",
    "userAssignedIdentities": {
        "<resource-id>": {}
    }
}

Adicionar o tipo atribuído pelo usuário informa ao Azure para usar a identidade atribuída pelo usuário especificada para seu aplicativo.

Por exemplo, um modelo de aplicativo Web pode ser semelhante ao seguinte JSON:

{
    "apiVersion": "2022-03-01",
    "type": "Microsoft.Web/sites",
    "name": "[variables('appName')]",
    "location": "[resourceGroup().location]",
    "identity": {
        "type": "UserAssigned",
        "userAssignedIdentities": {
            "[resourceId('Microsoft.ManagedIdentity/userAssignedIdentities', variables('identityName'))]": {}
        }
    },
    "properties": {
        "name": "[variables('appName')]",
        "serverFarmId": "[resourceId('Microsoft.Web/serverfarms', variables('hostingPlanName'))]",
        "hostingEnvironment": "",
        "clientAffinityEnabled": false,
        "alwaysOn": true
    },
    "dependsOn": [
        "[resourceId('Microsoft.Web/serverfarms', variables('hostingPlanName'))]",
        "[resourceId('Microsoft.ManagedIdentity/userAssignedIdentities', variables('identityName'))]"
    ]
}

Quando o site é criado, ele tem as seguintes propriedades adicionais:

"identity": {
    "type": "UserAssigned",
    "userAssignedIdentities": {
        "<resource-id>": {
            "principalId": "<principal-id>",
            "clientId": "<client-id>"
        }
    }
}

O principalId é um identificador exclusivo para a identidade que é usada para a administração do Microsoft Entra. O clientId é um identificador exclusivo para a nova identidade do aplicativo que é usado para especificar qual identidade usar durante as chamadas de runtime.

Uma solicitação HTTP GET bruta usa as duas variáveis de ambiente fornecidas e se parece com o seguinte exemplo:

GET /MSI/token?resource=https://vault.azure.net&api-version=2019-08-01 HTTP/1.1
Host: <ip-address-:-port-in-IDENTITY_ENDPOINT>
X-IDENTITY-HEADER: <value-of-IDENTITY_HEADER>

Uma resposta de exemplo pode ser semelhante ao seguinte:

HTTP/1.1 200 OK
Content-Type: application/json

{
    "access_token": "eyJ0eXAi…",
    "expires_on": "1586984735",
    "resource": "https://vault.azure.net",
    "token_type": "Bearer",
    "client_id": "00001111-aaaa-2222-bbbb-3333cccc4444"
}

Essa resposta é igual à resposta para a solicitação de token de acesso de serviço a serviço do Microsoft Entra. Para acessar o Key Vault, você adicionará então o valor de access_token a uma conexão de cliente com o cofre.

Para aplicativos e funções .NET, a maneira mais simples de trabalhar com uma identidade gerenciada é por meio da biblioteca de clientes de Identidade do Azure para .NET. Para uma orientação detalhada, consulte o tutorial: Conectar-se aos bancos de dados do Azure do Serviço de Aplicativo sem segredos usando uma identidade gerenciada.

Consulte os respectivos títulos de documentação da biblioteca de clientes para obter informações:

• Adicionar a biblioteca de clientes de Identidade do Azure ao seu projeto
• Acessar o serviço do Azure com uma identidade atribuída pelo sistema
• Acessar o serviço do Azure com uma identidade atribuída pelo usuário

Os exemplos vinculados usam DefaultAzureCredential. Isso é útil para a maioria dos cenários porque o mesmo padrão funciona no Azure (com identidades gerenciadas) e no computador local (sem identidades gerenciadas).

Para aplicativos Node.js e funções JavaScript, a maneira mais simples de trabalhar com uma identidade gerenciada é por meio da biblioteca de clientes de Identidade do Azure para JavaScript. Para uma orientação detalhada, consulte o tutorial: Conectar-se aos bancos de dados do Azure do Serviço de Aplicativo sem segredos usando uma identidade gerenciada.

Consulte os respectivos títulos de documentação da biblioteca de clientes para obter informações:

• Adicionar a biblioteca de clientes de Identidade do Azure ao seu projeto
• Acessar o serviço do Azure com uma identidade atribuída pelo sistema
• Acessar o serviço do Azure com uma identidade atribuída pelo usuário

Os exemplos vinculados usam DefaultAzureCredential. Isso é útil para a maioria dos cenários porque o mesmo padrão funciona no Azure (com identidades gerenciadas) e no computador local (sem identidades gerenciadas).

Para obter mais exemplos de código da biblioteca de clientes de Identidade do Azure para JavaScript, confira os exemplos de Identidade do Azure.

Para aplicativos e funções do Python, a maneira mais simples de trabalhar com uma identidade gerenciada é por meio da biblioteca de clientes de Identidade do Azure para Python. Para uma orientação detalhada, consulte o tutorial: Conectar-se aos bancos de dados do Azure do Serviço de Aplicativo sem segredos usando uma identidade gerenciada.

Consulte os respectivos títulos de documentação da biblioteca de clientes para obter informações:

• Adicionar a biblioteca de clientes de Identidade do Azure ao seu projeto
• Acessar o serviço do Azure com uma identidade atribuída pelo sistema
• Acessar o serviço do Azure com uma identidade atribuída pelo usuário

Os exemplos vinculados usam DefaultAzureCredential. Isso é útil para a maioria dos cenários porque o mesmo padrão funciona no Azure (com identidades gerenciadas) e no computador local (sem identidades gerenciadas).

Para aplicativos e funções Java, a maneira mais simples de trabalhar com uma identidade gerenciada é por meio da biblioteca de clientes de Identidade do Azure para Java. Para uma orientação detalhada, consulte o tutorial: Conectar-se aos bancos de dados do Azure do Serviço de Aplicativo sem segredos usando uma identidade gerenciada.

Consulte os respectivos títulos de documentação da biblioteca de clientes para obter informações:

• Adicionar a biblioteca de clientes de Identidade do Azure ao seu projeto
• Acessar o serviço do Azure com uma identidade atribuída pelo sistema
• Acessar o serviço do Azure com uma identidade atribuída pelo usuário

Os exemplos vinculados usam DefaultAzureCredential. Isso é útil para a maioria dos cenários porque o mesmo padrão funciona no Azure (com identidades gerenciadas) e no computador local (sem identidades gerenciadas).

Para obter mais exemplos de código da biblioteca de clientes de Identidade do Azure para Java, confira os exemplos de Identidade do Azure.

Use o seguinte script para recuperar um token do ponto de extremidade local especificando um URI de recurso de um serviço do Azure:

$resourceURI = "https://<AAD-resource-URI-for-resource-to-obtain-token>"
$tokenAuthURI = $env:IDENTITY_ENDPOINT + "?resource=$resourceURI&api-version=2019-08-01"
$tokenResponse = Invoke-RestMethod -Method Get -Headers @{"X-IDENTITY-HEADER"="$env:IDENTITY_HEADER"} -Uri $tokenAuthURI
$accessToken = $tokenResponse.access_token

1. No painel de navegação esquerdo da página do aplicativo, role para baixo até o grupo Configurações.

2. Selecionar Identidade. Em seguida, siga as etapas com base no tipo de identidade:

   • Identidade atribuída pelo sistema: na guia Atribuída pelo sistema, alterne Status para Desativado. Clique em Salvar.
   • Identidade atribuída pelo usuário: selecione a guia Atribuída pelo usuário, marque a caixa de seleção da identidade e selecione Remover. Clique em Sim para confirmar.

Para remover a identidade atribuída pelo sistema:

az webapp identity remove --name <app-name> --resource-group <group-name>

Para remover uma ou mais identidades atribuídas pelo usuário:

az webapp identity remove --name <app-name> --resource-group <group-name> --identities <identity-id1> <identity-id2> ...

Você também pode remover a identidade atribuída pelo sistema especificando [system] em --identities.

Para o Serviço de Aplicativo

Execute o comando Set-AzWebApp -AssignIdentity para remover uma identidade atribuída pelo sistema para o Serviço de Aplicativo:

Set-AzWebApp -AssignIdentity $false -Name <app-name> -ResourceGroupName <group-name> 

Para o Functions

Para remover todas as identidades no Azure PowerShell (somente Azure Functions):

# Update an existing function app to have IdentityType "None".
Update-AzFunctionApp -Name $functionAppName -ResourceGroupName $resourceGroupName -IdentityType None

Para remover todas as identidades em um modelo do ARM:

"identity": {
    "type": "None"
}