Autorizar o acesso a filas usando o Microsoft Entra ID
O Armazenamento do Azure dá suporte ao uso da ID do Microsoft Entra para autorizar solicitações de dados de fila. Com o Microsoft Entra ID, você pode usar o controle de acesso baseado em função do Azure (Azure RBAC) para conceder permissões a uma entidade de segurança, que pode ser um usuário, grupo ou entidade de serviço de aplicativo. A entidade de segurança é autenticada pelo Microsoft Entra ID para retornar um token OAuth 2.0. O token pode ser usado para autorizar uma solicitação no serviço de fila.
A autorização com o Microsoft Entra ID oferece segurança superior e facilidade de uso em relação à autorização de chave compartilhada. A Microsoft recomenda o uso da autorização do Microsoft Entra com seus aplicativos de fila quando possível para garantir o acesso com privilégios mínimos necessários.
A autorização com o Microsoft Entra ID está disponível para todas as contas de armazenamento de uso geral em todas as regiões públicas e nuvens nacionais. Apenas as contas de armazenamento criadas com o modelo de implementação do Azure Resource Manager suportam a autorização do Microsoft Entra.
Visão geral do Microsoft Entra ID para filas
Quando uma entidade de segurança (um usuário, grupo ou aplicativo) tenta acessar um recurso de fila, a solicitação deve ser autorizada, a menos que seja uma fila disponível para acesso anônimo. Com o Microsoft Entra ID, o acesso a um recurso é um processo de duas etapas:
Primeiro, a identidade da entidade de segurança é autenticada e um token OAuth 2.0 é retornado.
A etapa de autenticação requer que um aplicativo solicite um token de acesso OAuth 2.0 em tempo de execução. Se um aplicativo estiver sendo executado de dentro de uma entidade do Azure, como uma VM do Azure, um Conjunto de Escala de Máquina Virtual ou um aplicativo do Azure Functions, ele poderá usar uma identidade gerenciada para acessar dados da fila.
Em seguida, o token é passado como parte de uma solicitação para o serviço de fila e usado pelo serviço para autorizar o acesso ao recurso especificado.
A etapa de autorização requer que uma ou mais funções do RBAC do Azure sejam atribuídas à entidade de segurança que faz a solicitação. Para obter mais informações, consulte Atribuir funções do Azure para direitos de acesso.
Usar uma conta do Microsoft Entra com portal, PowerShell ou CLI do Azure
Para saber como acessar dados no portal do Azure com uma conta do Microsoft Entra, consulte Acesso a dados do portal do Azure. Para saber como chamar comandos do Azure PowerShell ou da CLI do Azure com uma conta do Microsoft Entra, consulte Acesso a dados do PowerShell ou da CLI do Azure.
Use o Microsoft Entra ID para autorizar o acesso no código do aplicativo
Para autorizar o acesso ao Armazenamento do Azure com o Microsoft Entra ID, você pode usar uma das seguintes bibliotecas de cliente para adquirir um token OAuth 2.0:
- A biblioteca de cliente do Azure Identity é recomendada para a maioria dos cenários de desenvolvimento.
- A Biblioteca de Autenticação da Microsoft (MSAL) pode ser adequada para determinados cenários avançados.
Biblioteca de cliente do Azure Identity
A biblioteca de cliente do Azure Identity simplifica o processo de obtenção de um token de acesso OAuth 2.0 para autorização com o Microsoft Entra ID por meio do SDK do Azure. As versões mais recentes das bibliotecas de cliente do Armazenamento do Azure para .NET, Java, Python, JavaScript e Go integram-se com as bibliotecas de Identidade do Azure para cada uma dessas linguagens para fornecer um meio simples e seguro de adquirir um token de acesso para autorização de solicitações de Armazenamento do Azure.
Uma vantagem da biblioteca de cliente do Azure Identity é que ela permite que você use o mesmo código para adquirir o token de acesso, independentemente de seu aplicativo estar sendo executado no ambiente de desenvolvimento ou no Azure. A biblioteca de cliente do Azure Identity retorna um token de acesso para uma entidade de segurança. Quando seu código está sendo executado no Azure, a entidade de segurança pode ser uma identidade gerenciada para recursos do Azure, uma entidade de serviço ou um usuário ou grupo. No ambiente de desenvolvimento, a biblioteca de cliente fornece um token de acesso para um usuário ou uma entidade de serviço para fins de teste.
O token de acesso retornado pela biblioteca de cliente do Azure Identity é encapsulado em uma credencial de token. Em seguida, você pode usar a credencial de token para obter um objeto de cliente de serviço para usar na execução de operações autorizadas no Armazenamento do Azure. Uma maneira simples de obter o token de acesso e a credencial de token é usar a classe DefaultAzureCredential fornecida pela biblioteca de cliente do Azure Identity. DefaultAzureCredential tenta obter a credencial de token tentando sequencialmente vários tipos de credenciais diferentes. DefaultAzureCredential funciona no ambiente de desenvolvimento e no Azure.
A tabela a seguir aponta para informações adicionais para autorizar o acesso a dados em vários cenários:
Biblioteca de Autenticação da Microsoft (MSAL)
Embora a Microsoft recomende o uso da biblioteca de cliente do Azure Identity quando possível, a biblioteca MSAL pode ser apropriada para uso em determinados cenários avançados. Para obter mais informações, consulte Saiba mais sobre o MSAL.
Ao usar o MSAL para adquirir um token OAuth para acessar o Armazenamento do Azure, você precisa fornecer uma ID de recurso do Microsoft Entra. A ID do recurso Microsoft Entra indica a audiência para a qual um token emitido pode ser usado para fornecer acesso a um recurso do Azure. No caso do Armazenamento do Azure, a ID do recurso pode ser específica para uma única conta de armazenamento ou pode se aplicar a qualquer conta de armazenamento.
Quando você fornece uma ID de recurso específica para uma única conta de armazenamento e serviço, a ID de recurso é usada para adquirir um token para autorizar solicitações somente para a conta e o serviço especificados. A tabela a seguir lista o valor a ser usado para a ID do recurso, com base na nuvem com a qual você está trabalhando. Substitua <account-name> pelo nome de sua conta de armazenamento.
| Cloud | ID do Recurso |
|---|---|
| Azure Global | https://<account-name>.queue.core.windows.net |
| Azure Government | https://<account-name>.queue.core.usgovcloudapi.net |
| Azure China 21Vianet | https://<account-name>.queue.core.chinacloudapi.cn |
Você também pode fornecer uma ID de recurso que se aplica a qualquer conta de armazenamento, conforme mostrado na tabela a seguir. Esse ID de recurso é o mesmo para todas as nuvens públicas e soberanas e é usado para adquirir um token para autorizar solicitações para qualquer conta de armazenamento.
| Cloud | ID do Recurso |
|---|---|
| Azure Global Azure Government Azure China 21Vianet |
https://storage.azure.com/ |
Atribuir funções do Azure para direitos de acesso
O Microsoft Entra autoriza direitos de acesso a recursos protegidos através do Azure RBAC. O Armazenamento do Azure define um conjunto de funções RBAC internas que englobam conjuntos comuns de permissões usadas para acessar dados de fila. Você também pode definir funções personalizadas para acesso aos dados da fila. Para saber mais sobre como atribuir funções do Azure para acesso à fila, consulte Atribuir uma função do Azure para acesso a dados da fila.
Uma entidade de segurança do Microsoft Entra pode ser um usuário, um grupo, uma entidade de serviço de aplicativo ou uma identidade gerenciada para recursos do Azure. As funções RBAC atribuídas a uma entidade de segurança determinam as permissões que a entidade de segurança terá. Para saber mais sobre como atribuir funções do Azure para acesso à fila, consulte Atribuir uma função do Azure para acesso a dados da fila
Em alguns casos, talvez seja necessário habilitar o acesso refinado aos recursos da fila ou simplificar as permissões quando tiver um grande número de atribuições de função para um recurso de armazenamento. Você pode usar o controle de acesso baseado em atributos do Azure (Azure ABAC) para configurar condições em atribuições de função. Você pode usar condições com uma função personalizada ou selecionar funções internas. Para obter mais informações sobre como configurar condições para recursos de armazenamento do Azure com ABAC, consulte Autorizar acesso a filas usando condições de atribuição de função do Azure. Para obter detalhes sobre as condições suportadas para operações de dados de fila, consulte Ações e atributos para condições de atribuição de função do Azure para filas do Azure.
Nota
Quando cria uma conta de Armazenamento do Azure, não lhe são atribuídas automaticamente permissões para aceder a dados através do Microsoft Entra ID. Você deve atribuir explicitamente a si mesmo uma função do Azure para acessar o Armazenamento de Filas. Você pode atribuí-lo no nível de sua assinatura, grupo de recursos, conta de armazenamento ou fila.
Âmbito do recurso
Antes de atribuir uma função RBAC do Azure a uma entidade de segurança, determine o escopo de acesso que a entidade de segurança deve ter. As melhores práticas ditam que é sempre melhor conceder apenas o âmbito mais restrito possível. As funções do RBAC do Azure definidas em um escopo mais amplo são herdadas pelos recursos abaixo delas.
Você pode definir o escopo de acesso aos recursos de fila do Azure nos seguintes níveis, começando com o escopo mais restrito:
- Uma fila individual. Nesse escopo, uma atribuição de função se aplica a mensagens na fila e a propriedades e metadados da fila.
- A conta de armazenamento. Neste escopo, uma atribuição de função se aplica a todas as filas e suas mensagens.
- o grupo de recursos. Neste escopo, uma atribuição de função se aplica a todas as filas em todas as contas de armazenamento no grupo de recursos.
- A assinatura. Neste escopo, uma atribuição de função se aplica a todas as filas em todas as contas de armazenamento em todos os grupos de recursos da assinatura.
- Um grupo de gestão. Neste escopo, uma atribuição de função se aplica a todas as filas em todas as contas de armazenamento em todos os grupos de recursos em todas as assinaturas no grupo de gerenciamento.
Para obter mais informações sobre o escopo das atribuições de função do RBAC do Azure, consulte Entender o escopo do RBAC do Azure.
Funções internas do Azure para filas
O RBAC do Azure fornece várias funções internas para autorizar o acesso a dados de fila usando o Microsoft Entra ID e OAuth. Alguns exemplos de funções que fornecem permissões para recursos de dados no Armazenamento do Azure incluem:
- Contribuidor de Dados da Fila de Armazenamento: Utilize para conceder permissões de leitura/escrita/eliminação das filas do Azure.
- Leitor de Dados da Fila de Armazenamento: Utilize para conceder permissões só de leitura das filas do Azure.
- Processador de Mensagens de Dados da Fila de Armazenamento: Utilize para conceder permissões de pré-visualização, obtenção e eliminação das mensagens nas filas do Armazenamento do Microsoft Azure.
- Remetente de Mensagens de Dados da Fila de Armazenamento: Utilize para conceder permissões de adição de mensagens nas filas do Armazenamento do Microsoft Azure.
Para saber como atribuir uma função interna do Azure a uma entidade de segurança, consulte Atribuir uma função do Azure para acesso a dados de fila. Para saber como listar funções do RBAC do Azure e suas permissões, consulte Listar definições de função do Azure.
Para obter mais informações sobre como as funções internas são definidas para o Armazenamento do Azure, consulte Compreender as definições de função. Para obter informações sobre como criar funções personalizadas do Azure, consulte Funções personalizadas do Azure.
Somente funções explicitamente definidas para acesso a dados permitem que uma entidade de segurança acesse dados da fila. As funções internas, como Proprietário, Colaborador e Colaborador da Conta de Armazenamento, permitem que uma entidade de segurança gerencie uma conta de armazenamento, mas não fornecem acesso aos dados da fila dentro dessa conta por meio do Microsoft Entra ID. No entanto, se uma função incluir Microsoft.Storage/storageAccounts/listKeys/action, um usuário ao qual essa função é atribuída poderá acessar dados na conta de armazenamento por meio da autorização de Chave Compartilhada com as chaves de acesso da conta. Para obter mais informações, consulte Escolher como autorizar o acesso a dados de fila no portal do Azure.
Para obter informações detalhadas sobre as funções internas do Azure para o Armazenamento do Azure para os serviços de dados e o serviço de gerenciamento, consulte a seção Armazenamento em Funções internas do Azure para o Azure RBAC. Além disso, para obter informações sobre os diferentes tipos de funções que fornecem permissões no Azure, consulte Funções do Azure, Funções do Microsoft Entra e funções de administrador de assinatura clássicas.
Importante
As atribuições de função do Azure podem levar até 30 minutos para se propagar.
Permissões de acesso para operações de dados
Para obter detalhes sobre as permissões necessárias para chamar operações específicas do serviço de fila, consulte Permissões para operações de dados de chamada.
Aceder a dados com uma conta Microsoft Entra
O acesso aos dados da fila por meio do portal do Azure, do PowerShell ou da CLI do Azure pode ser autorizado usando a conta Microsoft Entra do usuário ou usando as chaves de acesso da conta (autorização de Chave Compartilhada).
Atenção
A autorização com chave compartilhada não é recomendada, pois pode ser menos segura. Para uma segurança ideal, desative a autorização através da Chave Partilhada para a sua conta de armazenamento, conforme descrito em Impedir autorização de Chave Partilhada para uma conta de Armazenamento do Azure.
O uso de chaves de acesso e cadeias de conexão deve ser limitado a aplicativos de prova de conceito iniciais ou protótipos de desenvolvimento que não acessam dados confidenciais ou de produção. Caso contrário, as classes de autenticação baseada em token disponíveis no SDK do Azure devem sempre ser preferidas ao autenticar nos recursos do Azure.
A Microsoft recomenda que os clientes usem o Microsoft Entra ID ou uma assinatura de acesso compartilhado (SAS) para autorizar o acesso aos dados no Armazenamento do Azure. Para obter mais informações, consulte Autorizar operações para acesso a dados.
Acesso a dados a partir do portal do Azure
O portal do Azure pode usar sua conta do Microsoft Entra ou as chaves de acesso da conta para acessar dados de fila em uma conta de armazenamento do Azure. O esquema de autorização que o portal do Azure usa depende das funções do Azure atribuídas a você.
Quando tenta aceder aos dados da fila, o portal do Azure verifica primeiro se lhe foi atribuída uma função do Azure com Microsoft.Storage/storageAccounts/listkeys/action. Se você tiver recebido uma função com essa ação, o portal do Azure usará a chave da conta para acessar dados da fila por meio da autorização de Chave Compartilhada. Se você não tiver recebido uma função com essa ação, o portal do Azure tentará acessar os dados usando sua conta do Microsoft Entra.
Para acessar dados de fila do portal do Azure usando sua conta do Microsoft Entra, você precisa de permissões para acessar dados de fila e também precisa de permissões para navegar pelos recursos da conta de armazenamento no portal do Azure. As funções internas fornecidas pelo Armazenamento do Azure concedem acesso aos recursos da fila, mas não concedem permissões aos recursos da conta de armazenamento. Por este motivo, o acesso ao portal também requer a atribuição de uma função do Azure Resource Manager, como a função de Leitor, ao nível da conta de armazenamento ou superior. A função Leitor concede as permissões mais restritas, mas outra função do Azure Resource Manager que concede acesso aos recursos de gestão da conta de armazenamento também é aceitável. Para saber mais sobre como atribuir permissões a usuários para acesso a dados no portal do Azure com uma conta do Microsoft Entra, consulte Atribuir uma função do Azure para acesso a dados de fila.
O portal do Azure indica qual esquema de autorização está em uso quando você navega para uma fila. Para obter mais informações sobre o acesso a dados no portal, consulte Escolher como autorizar o acesso a dados de fila no portal do Azure.
Acesso a dados do PowerShell ou da CLI do Azure
A CLI do Azure e o PowerShell dão suporte à entrada com credenciais do Microsoft Entra. Depois de iniciar sessão, a sessão é executada com essas credenciais. Para saber mais, consulte um dos seguintes artigos:
- Escolha como autorizar o acesso a dados de fila com a CLI do Azure
- Execute comandos do PowerShell com credenciais do Microsoft Entra para acessar dados de fila