Autentisera JavaScript-appar till Azure-tjänster med hjälp av Azure SDK för JavaScript

När ett program behöver åtkomst till en Azure-resurs (till exempel Storage, Key Vault eller Cognitive Services) måste programmet autentiseras till Azure. Detta gäller för alla program, oavsett om de distribueras till Azure, distribueras lokalt eller under utveckling på en lokal arbetsstation för utvecklare. Den här artikeln beskriver de rekommenderade metoderna för att autentisera en app till Azure när du använder Azure SDK för JavaScript.

Rekommenderad appautentiseringsmetod

Den rekommenderade processen är att låta dina appar använda tokenbaserad autentisering i stället för anslutningssträng eller nycklar när de autentiseras mot Azure-resurser. Azure SDK tillhandahåller tokenbaserad autentisering och gör att appar smidigt kan autentisera till Azure-resurser oavsett om appen är i lokal utveckling, distribueras till Azure eller distribueras till en lokal server.

Den specifika typen av tokenbaserad autentisering som en app ska använda för att autentisera till Azure-resurser beror på var appen körs och visas i följande diagram.

Fördelar med tokenbaserad autentisering

När du skapar appar för Azure rekommenderas tokenbaserad autentisering starkt för hemligheter (anslutningssträng eller nycklar). Tokenbaserad autentisering tillhandahålls med DefaultAzureCredential.

Användning av anslutningssträng bör begränsas till inledande konceptbevisappar eller utvecklingsprototyper som inte har åtkomst till produktionsdata eller känsliga data. Annars bör de tokenbaserade autentiseringsklasserna som är tillgängliga i Azure SDK alltid föredras när du autentiserar till Azure-resurser.

Använd följande SDK:

• @azure/identitet

StandardAzureCredential

Med Azure SDK DefaultAzureCredential-metoden kan appar använda olika autentiseringsmetoder beroende på vilken miljö de körs i. Detta gör att appar kan distribueras i lokala miljöer, test- och produktionsmiljöer utan kodändringar. Du konfigurerar lämplig autentiseringsmetod för varje miljö och DefaultAzureCredential identifierar och använder autentiseringsmetoden automatiskt. Användning av DefaultAzureCredential är att föredra framför att manuellt koda villkorslogik eller funktionsflaggor för att använda olika autentiseringsmetoder i olika miljöer.

Information om hur du använder klassen DefaultAzureCredential beskrivs senare i den här artikeln i avsnittet Använda DefaultAzureCredential i ett program.

Autentisering i servermiljöer

När du är värd för en servermiljö bör varje program tilldelas en unik programidentitet per miljö. I Azure representeras en appidentitet av ett huvudnamn för tjänsten, en särskild typ av säkerhetsobjekt som är avsett att identifiera och autentisera appar till Azure. Vilken typ av tjänsthuvudnamn som ska användas för din app beror på var appen körs.

Autentisering under lokal utveckling

När ett program körs på en utvecklares arbetsstation under lokal utveckling måste den lokala miljön fortfarande autentiseras mot alla Azure-tjänster som används av appen.

Använda DefaultAzureCredential i ett program

Om du vill använda DefaultAzureCredential i en JavaScript-app lägger du till paketet @azure/identity i ditt program.

npm install @azure/identity

I följande kodexempel visas sedan hur du instansierar ett DefaultAzureCredential objekt och använder det med en Azure SDK-klientklass, i det här fallet en BlobServiceClient som används för att komma åt Blob Storage.

// connect-with-default-azure-credential.js
import { BlobServiceClient } from '@azure/storage-blob';
import { DefaultAzureCredential } from '@azure/identity';
import 'dotenv/config'

const accountName = process.env.AZURE_STORAGE_ACCOUNT_NAME;
if (!accountName) throw Error('Azure Storage accountName not found');

const blobServiceClient = new BlobServiceClient(
  `https://${accountName}.blob.core.windows.net`,
  new DefaultAzureCredential()
);

DefaultAzureCredential identifierar automatiskt den autentiseringsmekanism som konfigurerats för appen och hämtar nödvändiga token för att autentisera appen till Azure. Om ett program använder mer än en SDK-klient kan samma autentiseringsobjekt användas med varje SDK-klientobjekt.

Sekvens med val av autentiseringsmetoder när du använder DefaultAzureCredential

Implementerar internt DefaultAzureCredential en kedja med att välja autentiseringsprovidrar för att autentisera program till Azure-resurser. Varje autentiseringsprovider kan identifiera om autentiseringsuppgifter av den typen har konfigurerats för appen. DefaultAzureCredential kontrollerar varje provider i ordning och använder autentiseringsuppgifterna från den första providern som har konfigurerat autentiseringsuppgifter.

Om du har konfigurerat fler än en autentiseringsuppgift är det viktigt att hitta autentiseringsuppgifterna via kedjan.

Den ordning som DefaultAzureCredential söker efter autentiseringsuppgifter för JavaScript visas i diagrammet och tabellen nedan.

Det finns två sökvägar:

• Distribuerad tjänst (Azure eller lokalt): sekvensen börjar med miljövariablerna, sedan den hanterade identiteten och sedan resten av platserna för en autentiseringsuppgift (Visual Studio Code, Azure CLI, Azure PowerShell).
• Utvecklarens lokala miljö: Den lokala utvecklararbetsstationens kedja börjar med Visual Studio Code-inloggade Azure-användare, som visas i det nedre fältet i IDE och sedan går vidare till Azure CLI och sedan Azure PowerShell. Det är viktigt att du förstår om du har konfigurerat dina lokala miljövariabler, antingen för hela miljön eller för ett projekts virtuella miljö (till exempel med DOTENV), så åsidosätter dessa variabler Visual Studio Code –> Azure CLI –> PowerShell-kedjan eftersom de är den första autentiseringsuppgiften som kontrolleras i kedjan.