Como usar identidades gerenciadas para o Serviço de Aplicativo e o Azure Functions

1. Aceda às definições da sua aplicação no portal do Azure no grupo Definições no painel de navegação esquerdo.

2. Selecione a Identidade.

3. Na guia Sistema atribuído, alterne Status para Ativado. Clique em Guardar.

   

Execute o comando para criar uma identidade atribuída ao az webapp identity assign sistema:

az webapp identity assign --name myApp --resource-group myResourceGroup

Para o Serviço de Aplicativo

Execute o comando para criar uma identidade atribuída ao sistema para o Set-AzWebApp -AssignIdentity Serviço de Aplicativo:

Set-AzWebApp -AssignIdentity $true -Name <app-name> -ResourceGroupName <group-name> 

Para funções

Execute o comando para criar uma identidade atribuída pelo Update-AzFunctionApp -IdentityType sistema para um aplicativo de função:

Update-AzFunctionApp -Name $functionAppName -ResourceGroupName $resourceGroupName -IdentityType SystemAssigned

Um modelo do Azure Resource Manager pode ser usado para automatizar a implantação de seus recursos do Azure. Para saber mais sobre a implantação no Serviço de Aplicativo e nas Funções, consulte Automatizando a implantação de recursos no Serviço de Aplicativo e Automatizando a implantação de recursos no Azure Functions.

Qualquer recurso do tipo Microsoft.Web/sites pode ser criado com uma identidade, incluindo a seguinte propriedade na definição de recurso:

"identity": {
    "type": "SystemAssigned"
}

Adicionar o tipo atribuído pelo sistema informa ao Azure para criar e gerenciar a identidade para seu aplicativo.

Por exemplo, o modelo de um aplicativo Web pode se parecer com o seguinte JSON:

{
    "apiVersion": "2022-03-01",
    "type": "Microsoft.Web/sites",
    "name": "[variables('appName')]",
    "location": "[resourceGroup().location]",
    "identity": {
        "type": "SystemAssigned"
    },
    "properties": {
        "name": "[variables('appName')]",
        "serverFarmId": "[resourceId('Microsoft.Web/serverfarms', variables('hostingPlanName'))]",
        "hostingEnvironment": "",
        "clientAffinityEnabled": false,
        "alwaysOn": true
    },
    "dependsOn": [
        "[resourceId('Microsoft.Web/serverfarms', variables('hostingPlanName'))]"
    ]
}

Quando o site é criado, ele tem as seguintes propriedades adicionais:

"identity": {
    "type": "SystemAssigned",
    "tenantId": "<tenant-id>",
    "principalId": "<principal-id>"
}

A propriedade tenantId identifica a qual locatário do Microsoft Entra a identidade pertence. O principalId é um identificador exclusivo para a nova identidade do aplicativo. Na ID do Microsoft Entra, a entidade de serviço tem o mesmo nome que você deu à sua instância do Serviço de Aplicativo ou do Azure Functions.

Se você precisar fazer referência a essas propriedades em um estágio posterior no modelo, poderá fazê-lo por meio da reference() função de modelo com o 'Full' sinalizador, como neste exemplo:

{
    "tenantId": "[reference(resourceId('Microsoft.Web/sites', variables('appName')), '2018-02-01', 'Full').identity.tenantId]",
    "objectId": "[reference(resourceId('Microsoft.Web/sites', variables('appName')), '2018-02-01', 'Full').identity.principalId]",
}

Primeiro, você precisará criar um recurso de identidade atribuído pelo usuário.

1. Crie um recurso de identidade gerenciado atribuído pelo usuário de acordo com estas instruções.

2. Na navegação à esquerda da página da sua aplicação, desloque-se para baixo até ao grupo Definições .

3. Selecione a Identidade.

4. Selecione Adicionar atribuído ao> usuário.

5. Procure a identidade criada anteriormente, selecione-a e selecione Adicionar.

   

   Depois de selecionar Adicionar, o aplicativo é reiniciado.

1. Crie uma identidade atribuída pelo usuário.

   az identity create --resource-group <group-name> --name <identity-name>
   

2. Execute o az webapp identity assign comando para atribuir a identidade ao aplicativo.

   az webapp identity assign --resource-group <group-name> --name <app-name> --identities <identity-id>
   

Para o Serviço de Aplicativo

No momento, não há suporte para a adição de uma identidade atribuída pelo usuário no Serviço de Aplicativo.

Para funções

1. Crie uma identidade atribuída pelo usuário.

   Install-Module -Name Az.ManagedServiceIdentity -AllowPrerelease
   $userAssignedIdentity = New-AzUserAssignedIdentity -Name $userAssignedIdentityName -ResourceGroupName <group-name>
   

2. Execute o Update-AzFunctionApp -IdentityType UserAssigned -IdentityId comando para atribuir a identidade no Functions:

   Update-AzFunctionApp -Name <app-name> -ResourceGroupName <group-name> -IdentityType UserAssigned -IdentityId $userAssignedIdentity.Id
   

Um modelo do Azure Resource Manager pode ser usado para automatizar a implantação de seus recursos do Azure. Para saber mais sobre a implantação no Serviço de Aplicativo e nas Funções, consulte Automatizando a implantação de recursos no Serviço de Aplicativo e Automatizando a implantação de recursos no Azure Functions.

Qualquer recurso do tipo Microsoft.Web/sites pode ser criado com uma identidade incluindo o seguinte bloco na definição de recurso, substituindo <resource-id> pelo ID de recurso da identidade desejada:

"identity": {
    "type": "UserAssigned",
    "userAssignedIdentities": {
        "<resource-id>": {}
    }
}

Adicionar o tipo atribuído pelo usuário informa ao Azure para usar a identidade atribuída pelo usuário especificada para seu aplicativo.

Por exemplo, o modelo de um aplicativo Web pode se parecer com o seguinte JSON:

{
    "apiVersion": "2022-03-01",
    "type": "Microsoft.Web/sites",
    "name": "[variables('appName')]",
    "location": "[resourceGroup().location]",
    "identity": {
        "type": "UserAssigned",
        "userAssignedIdentities": {
            "[resourceId('Microsoft.ManagedIdentity/userAssignedIdentities', variables('identityName'))]": {}
        }
    },
    "properties": {
        "name": "[variables('appName')]",
        "serverFarmId": "[resourceId('Microsoft.Web/serverfarms', variables('hostingPlanName'))]",
        "hostingEnvironment": "",
        "clientAffinityEnabled": false,
        "alwaysOn": true
    },
    "dependsOn": [
        "[resourceId('Microsoft.Web/serverfarms', variables('hostingPlanName'))]",
        "[resourceId('Microsoft.ManagedIdentity/userAssignedIdentities', variables('identityName'))]"
    ]
}

Quando o site é criado, ele tem as seguintes propriedades adicionais:

"identity": {
    "type": "UserAssigned",
    "userAssignedIdentities": {
        "<resource-id>": {
            "principalId": "<principal-id>",
            "clientId": "<client-id>"
        }
    }
}

O principalId é um identificador exclusivo para a identidade usada para a administração do Microsoft Entra. O clientId é um identificador exclusivo para a nova identidade do aplicativo que é usado para especificar qual identidade usar durante chamadas de tempo de execução.

Uma solicitação HTTP GET bruta usa as duas variáveis de ambiente fornecidas e se parece com o exemplo a seguir:

GET /MSI/token?resource=https://vault.azure.net&api-version=2019-08-01 HTTP/1.1
Host: <ip-address-:-port-in-IDENTITY_ENDPOINT>
X-IDENTITY-HEADER: <value-of-IDENTITY_HEADER>

E uma resposta de exemplo pode ter a seguinte aparência:

HTTP/1.1 200 OK
Content-Type: application/json

{
    "access_token": "eyJ0eXAi…",
    "expires_on": "1586984735",
    "resource": "https://vault.azure.net",
    "token_type": "Bearer",
    "client_id": "00001111-aaaa-2222-bbbb-3333cccc4444"
}

Essa resposta é a mesma que a resposta para a solicitação de token de acesso de serviço a serviço do Microsoft Entra. Para acessar o Cofre da Chave, você adicionará o valor de uma conexão de access_token cliente com o cofre.

Para aplicativos e funções .NET, a maneira mais simples de trabalhar com uma identidade gerenciada é por meio da biblioteca de cliente do Azure Identity para .NET. Para obter orientações detalhadas, consulte Tutorial: Conectar-se a bancos de dados do Azure a partir do Serviço de Aplicativo sem segredos usando uma identidade gerenciada.

Consulte os respetivos títulos de documentação da biblioteca do cliente para obter informações:

• Adicionar a biblioteca de cliente do Azure Identity ao seu projeto
• Acessar o serviço do Azure com uma identidade atribuída pelo sistema
• Acessar o serviço do Azure com uma identidade atribuída pelo usuário

Os exemplos vinculados usam DefaultAzureCredential. É útil para a maioria dos cenários porque o mesmo padrão funciona no Azure (com identidades gerenciadas) e em sua máquina local (sem identidades gerenciadas).

Para aplicativos Node.js e funções JavaScript, a maneira mais simples de trabalhar com uma identidade gerenciada é por meio da biblioteca de cliente do Azure Identity para JavaScript. Para obter orientações detalhadas, consulte Tutorial: Conectar-se a bancos de dados do Azure a partir do Serviço de Aplicativo sem segredos usando uma identidade gerenciada.

Consulte os respetivos títulos de documentação da biblioteca do cliente para obter informações:

• Adicionar a biblioteca de cliente do Azure Identity ao seu projeto
• Acessar o serviço do Azure com uma identidade atribuída pelo sistema
• Acessar o serviço do Azure com uma identidade atribuída pelo usuário

Os exemplos vinculados usam DefaultAzureCredential. É útil para a maioria dos cenários porque o mesmo padrão funciona no Azure (com identidades gerenciadas) e em sua máquina local (sem identidades gerenciadas).

Para obter mais exemplos de código da biblioteca de cliente do Azure Identity para JavaScript, consulte Exemplos do Azure Identity.

Para aplicativos e funções Python, a maneira mais simples de trabalhar com uma identidade gerenciada é por meio da biblioteca de cliente do Azure Identity para Python. Para obter orientações detalhadas, consulte Tutorial: Conectar-se a bancos de dados do Azure a partir do Serviço de Aplicativo sem segredos usando uma identidade gerenciada.

Consulte os respetivos títulos de documentação da biblioteca do cliente para obter informações:

• Adicionar a biblioteca de cliente do Azure Identity ao seu projeto
• Acessar o serviço do Azure com uma identidade atribuída pelo sistema
• Acessar o serviço do Azure com uma identidade atribuída pelo usuário

Os exemplos vinculados usam DefaultAzureCredential. É útil para a maioria dos cenários porque o mesmo padrão funciona no Azure (com identidades gerenciadas) e em sua máquina local (sem identidades gerenciadas).

Para aplicativos e funções Java, a maneira mais simples de trabalhar com uma identidade gerenciada é por meio da biblioteca de cliente do Azure Identity para Java. Para obter orientações detalhadas, consulte Tutorial: Conectar-se a bancos de dados do Azure a partir do Serviço de Aplicativo sem segredos usando uma identidade gerenciada.

Consulte os respetivos títulos de documentação da biblioteca do cliente para obter informações:

• Adicionar a biblioteca de cliente do Azure Identity ao seu projeto
• Acessar o serviço do Azure com uma identidade atribuída pelo sistema
• Acessar o serviço do Azure com uma identidade atribuída pelo usuário

Os exemplos vinculados usam DefaultAzureCredential. É útil para a maioria dos cenários porque o mesmo padrão funciona no Azure (com identidades gerenciadas) e em sua máquina local (sem identidades gerenciadas).

Para obter mais exemplos de código da biblioteca de cliente do Azure Identity para Java, consulte Exemplos de identidade do Azure.

Use o script a seguir para recuperar um token do ponto de extremidade local especificando um URI de recurso de um serviço do Azure:

$resourceURI = "https://<AAD-resource-URI-for-resource-to-obtain-token>"
$tokenAuthURI = $env:IDENTITY_ENDPOINT + "?resource=$resourceURI&api-version=2019-08-01"
$tokenResponse = Invoke-RestMethod -Method Get -Headers @{"X-IDENTITY-HEADER"="$env:IDENTITY_HEADER"} -Uri $tokenAuthURI
$accessToken = $tokenResponse.access_token

1. Na navegação à esquerda da página da sua aplicação, desloque-se para baixo até ao grupo Definições .

2. Selecione a Identidade. Em seguida, siga as etapas com base no tipo de identidade:

   • Identidade atribuída ao sistema: na guia Sistema atribuído, alterne Status para Desativado. Clique em Guardar.
   • Identidade atribuída pelo usuário: selecione a guia Usuário atribuído , marque a caixa de seleção da identidade e selecione Remover. Selecione Sim para confirmar.

Para remover a identidade atribuída ao sistema:

az webapp identity remove --name <app-name> --resource-group <group-name>

Para remover uma ou mais identidades atribuídas pelo usuário:

az webapp identity remove --name <app-name> --resource-group <group-name> --identities <identity-id1> <identity-id2> ...

Você também pode remover a identidade atribuída ao sistema especificando [system] em --identities.

Para o Serviço de Aplicativo

Execute o comando para remover uma identidade atribuída pelo sistema para o Set-AzWebApp -AssignIdentity Serviço de Aplicativo:

Set-AzWebApp -AssignIdentity $false -Name <app-name> -ResourceGroupName <group-name> 

Para funções

Para remover todas as identidades no Azure PowerShell (somente Azure Functions):

# Update an existing function app to have IdentityType "None".
Update-AzFunctionApp -Name $functionAppName -ResourceGroupName $resourceGroupName -IdentityType None

Para remover todas as identidades em um modelo ARM:

"identity": {
    "type": "None"
}