Migrar um aplicativo para usar conexões sem senha com o Armazenamento de Blobs do Azure

1. No portal do Azure, localize sua conta de armazenamento usando a barra de pesquisa principal ou a navegação à esquerda.

2. Na página de visão geral da conta de armazenamento, selecione Controle de acesso (IAM) no menu à esquerda.

3. Na página Controle de acesso (IAM), selecione a guia Atribuições de função.

4. Selecione + Adicionar no menu superior e, em seguida, Adicionar atribuição de função no menu suspenso resultante.

   

5. Use a caixa de pesquisa para filtrar os resultados para a função desejada. Para este exemplo, pesquise o Colaborador de Dados do Blob de Armazenamento e selecione o resultado correspondente e, em seguida, escolha Avançar.

6. Em Atribuir acesso a, selecione Usuário, grupo ou entidade de serviço e, em seguida, selecione + Selecionar membros.

7. No diálogo, pesquise seu nome de usuário do Microsoft Entra (geralmente seu endereço de email user@domain) e escolha Selecionar na parte inferior do diálogo.

8. Selecione Revisar + atribuir para ir para a página final e, em seguida, Revisar + atribuir novamente para concluir o processo.

Para atribuir uma função no nível do recurso usando a CLI do Azure, primeiro você deve recuperar a ID do recurso usando o comando az storage account show. É possível filtrar as propriedades de saída usando o parâmetro --query.

az storage account show --resource-group '<your-resource-group-name>' --name '<your-storage-account-name>' --query id

Copie a saída Id do comando anterior. Em seguida, você pode atribuir funções usando o comando az role da CLI do Azure.

az role assignment create --assignee "<user@domain>" \
    --role "Storage Blob Data Contributor" \
    --scope "<your-resource-id>"

Para atribuir uma função no nível do recurso usando o Azure PowerShell, primeiro você precisa recuperar a ID do recurso usando o comando Get-AzResource.

Get-AzResource -ResourceGroupName "<yourResourceGroupname>" -Name "<yourStorageAccountName>"

Copie o valor Id da saída do comando anterior. Em seguida, é possível atribuir funções usando o comando New-AzRoleAssignment no PowerShell.

New-AzRoleAssignment -SignInName <user@domain> `
    -RoleDefinitionName "Storage Blob Data Contributor" `
    -Scope <yourStorageAccountId>

Entre no Azure por meio da CLI do Azure usando o seguinte comando:

az login

Selecione o botão Entrar no canto superior direito do Visual Studio.

Entre usando a conta do Microsoft Entra à qual você atribuiu uma função anteriormente.

Você precisará instalar a CLI do Azure para trabalhar com DefaultAzureCredential pelo Visual Studio Code.

No menu principal do Visual Studio Code, navegue até Terminal > Novo Terminal.

Entre no Azure por meio da CLI do Azure usando o seguinte comando:

az login

Entre no Azure usando o PowerShell com o seguinte comando:

Connect-AzAccount

1. Para usar DefaultAzureCredential em um aplicativo .NET, instale o pacote Azure.Identity:

   dotnet add package Azure.Identity
   

2. Na parte superior do seu arquivo, adicione o código a seguir:

   using Azure.Identity;
   

3. Identifique os locais em seu código que criam um BlobServiceClient para se conectar ao Armazenamento de Blobs do Azure. Atualize o código para que ele corresponda ao seguinte exemplo:

   DefaultAzureCredential credential = new();
   
   BlobServiceClient blobServiceClient = new(
       new Uri($"https://{storageAccountName}.blob.core.windows.net"),
       credential);
   

1. Para usar DefaultAzureCredential em um aplicativo Go, instale o módulo azidentity:

   go get -u github.com/Azure/azure-sdk-for-go/sdk/azidentity
   

2. Na parte superior do seu arquivo, adicione o código a seguir:

   import (
       "github.com/Azure/azure-sdk-for-go/sdk/azidentity"
   )
   

3. Identifique os locais no seu código que criam uma instância Client para se conectar ao Armazenamento de Blobs do Azure. Atualize o código para que ele corresponda ao seguinte exemplo:

   cred, err := azidentity.NewDefaultAzureCredential(nil)
   if err != nil {
       // handle error
   }
   
   serviceURL := fmt.Sprintf("https://%s.blob.core.windows.net", storageAccountName)
   client, err := azblob.NewClient(serviceURL, cred, nil)
   if err != nil {
       // handle error
   }
   

1. Para usar DefaultAzureCredential em um aplicativo Java, instale o pacote azure-identity por meio de uma das seguintes abordagens:

   1. Incluir o arquivo da BOM.
   2. Incluir uma dependência direta.

2. Na parte superior do seu arquivo, adicione o código a seguir:

   import com.azure.identity.DefaultAzureCredentialBuilder;
   

3. Identifique os locais em seu código que criam um objeto BlobServiceClient para se conectar ao Armazenamento de Blobs do Azure. Atualize o código para que ele corresponda ao seguinte exemplo:

   DefaultAzureCredential credential = new DefaultAzureCredentialBuilder()
       .build();
   String endpoint = 
       String.format("https://%s.blob.core.windows.net", storageAccountName);
   
   BlobServiceClient blobServiceClient = new BlobServiceClientBuilder()
       .endpoint(endpoint)
       .credential(credential)
       .buildClient();
   

1. Para usar DefaultAzureCredential em um aplicativo Node.js, instale o pacote @azure/identity:

   npm install --save @azure/identity
   

2. Na parte superior do seu arquivo, adicione o código a seguir:

   import { DefaultAzureCredential } from "@azure/identity";
   

3. Identifique os locais em seu código que criam um objeto BlobServiceClient para se conectar ao Armazenamento de Blobs do Azure. Atualize o código para que ele corresponda ao seguinte exemplo:

   const credential = new DefaultAzureCredential();
   
   const blobServiceClient = new BlobServiceClient(
     `https://${storageAccountName}.blob.core.windows.net`,
     credential
   );    
   

1. Para usar DefaultAzureCredential em um aplicativo Python, instale o pacote azure-identity:

   pip install azure-identity
   

2. Na parte superior do seu arquivo, adicione o código a seguir:

   from azure.identity import DefaultAzureCredential
   

3. Identifique os locais em seu código que criam um objeto BlobServiceClient para se conectar ao Armazenamento de Blobs do Azure. Atualize o código para que ele corresponda ao seguinte exemplo:

   credential = DefaultAzureCredential()
   
   blob_service_client = BlobServiceClient(
       account_url = "https://%s.blob.core.windows.net" % storage_account_name,
       credential = credential
   )
   

1. Na parte superior do portal do Azure, pesquise Identidades gerenciadas. Selecione o resultado Identidades gerenciadas.
2. Selecione + Criar na parte superior da página de visão geral de Identidades gerenciadas.
3. Na guia Informações Básicas, insira os seguintes valores:
   • Assinatura: selecione a assinatura desejada.
   • Grupo de recursos: selecione o grupo de recursos desejado.
   • Região: selecione uma região próxima à sua localização.
   • Nome: insira um nome reconhecível para sua identidade, como MigrationIdentity.
4. Selecione Revisar + criar na parte inferior da página.
5. Quando as verificações de validação forem concluídas, selecione Criar. O Azure cria uma nova identidade atribuída pelo usuário.

Depois que o recurso for criado, selecione Ir para o recurso para exibir os detalhes da identidade gerenciada.

Use o comando az identity create para criar uma identidade gerenciada atribuída ao usuário:

az identity create --name MigrationIdentity --resource-group <your-resource-group>

Conclua as etapas a seguir no portal do Azure para associar uma identidade ao seu aplicativo. Essas mesmas etapas se aplicam aos seguintes serviços do Azure:

• Azure Spring Apps
• Aplicativos de Contêiner do Azure
• Máquinas Virtuais do Azure
• Serviço de Kubernetes do Azure

1. Navegue até a página de visão geral do seu aplicativo Web.

2. Selecione Identidade no painel de navegação esquerdo.

3. Na página Identidade, alterne para a guia Atribuída pelo usuário.

4. Selecione + Adicionar para abrir o submenu Adicionar identidade gerenciada atribuída pelo usuário.

5. Selecione a assinatura que você usou anteriormente para criar a identidade.

6. Pesquise a MigrationIdentity pelo nome e selecione-a nos resultados da pesquisa.

7. Selecione Adicionar para associar a identidade ao seu aplicativo.

   

Use os seguintes comandos da CLI do Azure para associar uma identidade ao seu aplicativo:

Recupere a ID da identidade gerenciada que você criou usando o comando az identity show. Copie o valor de saída para usar na próxima etapa.

az identity show --name MigrationIdentity -g <your-identity-resource-group-name> --query id

az webapp identity assign \
    --resource-group <resource-group-name> \
    --name <webapp-name>
    --identities <managed-identity-id>

az spring app identity assign \
    --resource-group <resource-group-name> \
    --name <app-name> \
    --service <service-name>
    --user-assigned <managed-identity-id>

az containerapp identity assign \
    --resource-group <resource-group-name> \
    --name <app-name>
    --user-assigned <managed-identity-id>

az vm identity assign \
    --resource-group <resource-group-name> \
    --name <virtual-machine-name>
    --identities <managed-identity-id>

az aks update \
    --resource-group <resource-group-name> \
    --name <cluster-name> \
    --enable-managed-identity \
    --assign-identity <managed-identity-id> \
    --assign-kubelet-identity <managed-identity-id>

Você pode usar o Conector de Serviço para criar uma conexão entre um ambiente de hospedagem de computação do Azure e um serviço de destino usando a CLI do Azure. Os comandos da CLI do Conector de Serviço atribuem automaticamente a função adequada à sua identidade. Você pode saber mais sobre o Conector de Serviço e quais cenários têm suporte na página de visão geral.

1. Recupere a ID do cliente da identidade gerenciada que você criou usando o comando az identity show. Copie o valor para uso posterior.

   az identity show --name MigrationIdentity --resource-group <your-resource-group> --query clientId
   

2. Use o comando da CLI apropriado para estabelecer a conexão de serviço:

   • Serviço de Aplicativo do Azure
   • Azure Spring Apps
   • Aplicativos de Contêiner do Azure

   Se você estiver usando um Serviço de Aplicativo do Azure, use o comando az webapp connection:

   az webapp connection create storage-blob \
       --resource-group <resource-group-name> \
       --name <webapp-name> \
       --target-resource-group <target-resource-group-name> \
       --account <target-storage-account-name> \
       --user-identity "client-id=<your-identity-client-id>" "subs-id=<your-subscription-id>"
   

1. Navegue até a página de visão geral da conta de armazenamento e selecione Controle de Acesso (IAM) na navegação à esquerda.

2. Escolha Adicionar atribuição de função.

   

3. Na caixa de pesquisa Função, pesquise Contribuinte de dados de blobs de armazenamento, que é uma função comum usada para gerenciar operações de dados para blobs. Você pode atribuir qualquer função apropriada para seu caso de uso. Selecione o Colaborador de Dados do Blob de Armazenamento na lista e escolha Avançar.

4. Na tela Adicionar atribuição de função, para a opção Atribuir acesso à, selecione Identidade gerenciada. Em seguida, escolha +Selecionar membros.

5. No submenu, pesquise pelo nome a identidade gerenciada que você criou e selecione-a nos resultados. Escolha Selecionar para fechar o submenu.

   

6. Selecione Avançar algumas vezes até que você possa selecionar Revisão + atribuir para concluir a atribuição de função.

Para atribuir uma função no nível do recurso usando a CLI do Azure, primeiro você deve recuperar a ID do recurso usando o comando de exibição az storage account. É possível filtrar as propriedades de saída usando o parâmetro --query.

az storage account show \
    --resource-group '<your-resource-group-name>' \
    --name '<your-storage-account-name>' \
    --query id

Copie a ID de saída do comando anterior. Em seguida, você pode atribuir funções usando o comando az role assignment da CLI do Azure.

az role assignment create \
    --assignee "<your-username>" \
    --role "Storage Blob Data Contributor" \
    --scope "<your-resource-id>"

Se você conectou seus serviços usando o Conector de Serviço, não será necessário concluir esta etapa. As configurações de função necessárias foram tratadas para você quando você executou os comandos da CLI do Conector de Serviço.