App Service ve Azure İşlevleri için yönetilen kimlikleri kullanma

1. Sol gezinti bölmesindeki Ayarlar grubunun altındaki Azure portalında uygulamanızın ayarlarına erişin.

2. Kimlik öğesini seçin.

3. Sistem tarafından atanan sekmesinde Durum'a Açık olarak geçin. Kaydet'e tıklayın.

   

az webapp identity assign Sistem tarafından atanan bir kimlik oluşturmak için komutunu çalıştırın:

az webapp identity assign --name myApp --resource-group myResourceGroup

App Service için

Set-AzWebApp -AssignIdentity App Service için sistem tarafından atanan bir kimlik oluşturmak için komutunu çalıştırın:

Set-AzWebApp -AssignIdentity $true -Name <app-name> -ResourceGroupName <group-name> 

İşlevler için

Update-AzFunctionApp -IdentityType İşlev uygulaması için sistem tarafından atanan bir kimlik oluşturmak için komutunu çalıştırın:

Update-AzFunctionApp -Name $functionAppName -ResourceGroupName $resourceGroupName -IdentityType SystemAssigned

Azure Kaynak Yöneticisi şablonu, Azure kaynaklarınızın dağıtımını otomatikleştirmek için kullanılabilir. App Service ve İşlevler'e dağıtma hakkında daha fazla bilgi edinmek için bkz. App Service'te kaynak dağıtımlarını otomatikleştirme ve Azure İşlevleri kaynak dağıtımlarını otomatikleştirme.

Türdeki Microsoft.Web/sites herhangi bir kaynak, kaynak tanımına aşağıdaki özellik dahil edilerek bir kimlikle oluşturulabilir:

"identity": {
    "type": "SystemAssigned"
}

Sistem tarafından atanan türü eklemek, Azure'a uygulamanız için kimlik oluşturmasını ve yönetmesini söyler.

Örneğin, bir web uygulamasının şablonu aşağıdaki JSON gibi görünebilir:

{
    "apiVersion": "2022-03-01",
    "type": "Microsoft.Web/sites",
    "name": "[variables('appName')]",
    "location": "[resourceGroup().location]",
    "identity": {
        "type": "SystemAssigned"
    },
    "properties": {
        "name": "[variables('appName')]",
        "serverFarmId": "[resourceId('Microsoft.Web/serverfarms', variables('hostingPlanName'))]",
        "hostingEnvironment": "",
        "clientAffinityEnabled": false,
        "alwaysOn": true
    },
    "dependsOn": [
        "[resourceId('Microsoft.Web/serverfarms', variables('hostingPlanName'))]"
    ]
}

Site oluşturulduğunda aşağıdaki ek özelliklere sahiptir:

"identity": {
    "type": "SystemAssigned",
    "tenantId": "<tenant-id>",
    "principalId": "<principal-id>"
}

tenantId özelliği, kimliğin hangi Microsoft Entra kiracısına ait olduğunu tanımlar. principalId, uygulamanın yeni kimliği için benzersiz bir tanımlayıcıdır. Microsoft Entra Id içinde hizmet sorumlusu, App Service'inize veya Azure İşlevleri örneğine vermiş olduğunuz adla aynı ada sahiptir.

Şablonun sonraki bir aşamasında bu özelliklere başvurmanız gerekiyorsa, bu örnekte olduğu gibi bayrağıyla 'Full' şablon işlevi aracılığıyla reference() bunu yapabilirsiniz:

{
    "tenantId": "[reference(resourceId('Microsoft.Web/sites', variables('appName')), '2018-02-01', 'Full').identity.tenantId]",
    "objectId": "[reference(resourceId('Microsoft.Web/sites', variables('appName')), '2018-02-01', 'Full').identity.principalId]",
}

İlk olarak, kullanıcı tarafından atanan bir kimlik kaynağı oluşturmanız gerekir.

1. Bu yönergelere göre kullanıcı tarafından atanan bir yönetilen kimlik kaynağı oluşturun.

2. Uygulamanızın sayfasının sol gezinti bölmesinde aşağı kaydırarak Ayarlar grubuna gelin.

3. Kimlik öğesini seçin.

4. Kullanıcı tarafından atanan>Ekle'yi seçin.

5. Daha önce oluşturduğunuz kimliği arayın, seçin ve Ekle'yi seçin.

   

   Ekle'yi seçtiğinizde uygulama yeniden başlatılır.

1. Kullanıcı tarafından atanan bir kimlik oluşturun.

   az identity create --resource-group <group-name> --name <identity-name>
   

2. az webapp identity assign Kimliği uygulamaya atamak için komutunu çalıştırın.

   az webapp identity assign --resource-group <group-name> --name <app-name> --identities <identity-id>
   

App Service için

App Service'te kullanıcı tarafından atanan kimlik ekleme şu anda desteklenmiyor.

İşlevler için

1. Kullanıcı tarafından atanan bir kimlik oluşturun.

   Install-Module -Name Az.ManagedServiceIdentity -AllowPrerelease
   $userAssignedIdentity = New-AzUserAssignedIdentity -Name $userAssignedIdentityName -ResourceGroupName <group-name>
   

2. İşlevler'de Update-AzFunctionApp -IdentityType UserAssigned -IdentityId kimliği atamak için komutunu çalıştırın:

   Update-AzFunctionApp -Name <app-name> -ResourceGroupName <group-name> -IdentityType UserAssigned -IdentityId $userAssignedIdentity.Id
   

Azure Kaynak Yöneticisi şablonu, Azure kaynaklarınızın dağıtımını otomatikleştirmek için kullanılabilir. App Service ve İşlevler'e dağıtma hakkında daha fazla bilgi edinmek için bkz. App Service'te kaynak dağıtımlarını otomatikleştirme ve Azure İşlevleri kaynak dağıtımlarını otomatikleştirme.

Kaynak tanımına aşağıdaki bloğu ekleyerek türündeki Microsoft.Web/sites herhangi bir kaynak bir kimlikle oluşturulabilir ve yerine <resource-id> istenen kimliğin kaynak kimliği eklenebilir:

"identity": {
    "type": "UserAssigned",
    "userAssignedIdentities": {
        "<resource-id>": {}
    }
}

Kullanıcı tarafından atanan türün eklenmesi, Azure'a uygulamanız için belirtilen kullanıcı tarafından atanan kimliği kullanmasını bildirir.

Örneğin, bir web uygulamasının şablonu aşağıdaki JSON gibi görünebilir:

{
    "apiVersion": "2022-03-01",
    "type": "Microsoft.Web/sites",
    "name": "[variables('appName')]",
    "location": "[resourceGroup().location]",
    "identity": {
        "type": "UserAssigned",
        "userAssignedIdentities": {
            "[resourceId('Microsoft.ManagedIdentity/userAssignedIdentities', variables('identityName'))]": {}
        }
    },
    "properties": {
        "name": "[variables('appName')]",
        "serverFarmId": "[resourceId('Microsoft.Web/serverfarms', variables('hostingPlanName'))]",
        "hostingEnvironment": "",
        "clientAffinityEnabled": false,
        "alwaysOn": true
    },
    "dependsOn": [
        "[resourceId('Microsoft.Web/serverfarms', variables('hostingPlanName'))]",
        "[resourceId('Microsoft.ManagedIdentity/userAssignedIdentities', variables('identityName'))]"
    ]
}

Site oluşturulduğunda aşağıdaki ek özelliklere sahiptir:

"identity": {
    "type": "UserAssigned",
    "userAssignedIdentities": {
        "<resource-id>": {
            "principalId": "<principal-id>",
            "clientId": "<client-id>"
        }
    }
}

principalId, Microsoft Entra yönetimi için kullanılan kimliğin benzersiz tanımlayıcısıdır. clientId, uygulamanın çalışma zamanı çağrıları sırasında hangi kimliğin kullanılacağını belirtmek için kullanılan yeni kimliği için benzersiz bir tanımlayıcıdır.

Ham HTTP GET isteği, sağlanan iki ortam değişkenini kullanır ve aşağıdaki örneğe benzer:

GET /MSI/token?resource=https://vault.azure.net&api-version=2019-08-01 HTTP/1.1
Host: <ip-address-:-port-in-IDENTITY_ENDPOINT>
X-IDENTITY-HEADER: <value-of-IDENTITY_HEADER>

Örnek yanıt aşağıdaki gibi görünebilir:

HTTP/1.1 200 OK
Content-Type: application/json

{
    "access_token": "eyJ0eXAi…",
    "expires_on": "1586984735",
    "resource": "https://vault.azure.net",
    "token_type": "Bearer",
    "client_id": "00001111-aaaa-2222-bbbb-3333cccc4444"
}

Bu yanıt, Microsoft Entra hizmet-hizmet erişim belirteci isteğinin yanıtıyla aynıdır. Key Vault'a erişmek için değerini kasayla bir istemci bağlantısına eklersiniz access_token .

.NET uygulamaları ve işlevleri için, yönetilen kimlikle çalışmanın en basit yolu .NET için Azure Identity istemci kitaplığıdır. Ayrıntılı yönergeler için bkz . Öğretici: Yönetilen kimlik kullanarak gizli diziler olmadan App Service'ten Azure veritabanlarına bağlanma.

Bilgi için istemci kitaplığının ilgili belge başlıklarına bakın:

• Projenize Azure Identity istemci kitaplığı ekleme
• Sistem tarafından atanan kimlikle Azure hizmetine erişme
• Kullanıcı tarafından atanan kimlikle Azure hizmetine erişme

Bağlantılı örneklerde kullanılır DefaultAzureCredential. Senaryoların çoğu için kullanışlıdır çünkü aynı desen Azure'da (yönetilen kimliklerle) ve yerel makinenizde (yönetilen kimlikler olmadan) çalışır.

Node.js uygulamalar ve JavaScript işlevleri için, yönetilen kimlikle çalışmanın en basit yolu JavaScript için Azure Identity istemci kitaplığını kullanmaktır. Ayrıntılı yönergeler için bkz . Öğretici: Yönetilen kimlik kullanarak gizli diziler olmadan App Service'ten Azure veritabanlarına bağlanma.

Bilgi için istemci kitaplığının ilgili belge başlıklarına bakın:

• Projenize Azure Identity istemci kitaplığı ekleme
• Sistem tarafından atanan kimlikle Azure hizmetine erişme
• Kullanıcı tarafından atanan kimlikle Azure hizmetine erişme

Bağlantılı örneklerde kullanılır DefaultAzureCredential. Senaryoların çoğu için kullanışlıdır çünkü aynı desen Azure'da (yönetilen kimliklerle) ve yerel makinenizde (yönetilen kimlikler olmadan) çalışır.

JavaScript için Azure Identity istemci kitaplığına ilişkin daha fazla kod örneği için bkz . Azure Kimlik örnekleri.

Python uygulamaları ve işlevleri için yönetilen kimlikle çalışmanın en basit yolu Python için Azure Identity istemci kitaplığıdır. Ayrıntılı yönergeler için bkz . Öğretici: Yönetilen kimlik kullanarak gizli diziler olmadan App Service'ten Azure veritabanlarına bağlanma.

Bilgi için istemci kitaplığının ilgili belge başlıklarına bakın:

• Projenize Azure Identity istemci kitaplığı ekleme
• Sistem tarafından atanan kimlikle Azure hizmetine erişme
• Kullanıcı tarafından atanan kimlikle Azure hizmetine erişme

Bağlantılı örneklerde kullanılır DefaultAzureCredential. Senaryoların çoğu için kullanışlıdır çünkü aynı desen Azure'da (yönetilen kimliklerle) ve yerel makinenizde (yönetilen kimlikler olmadan) çalışır.

Java uygulamaları ve işlevleri için, yönetilen kimlikle çalışmanın en basit yolu Java için Azure Identity istemci kitaplığını kullanmaktır. Ayrıntılı yönergeler için bkz . Öğretici: Yönetilen kimlik kullanarak gizli diziler olmadan App Service'ten Azure veritabanlarına bağlanma.

Bilgi için istemci kitaplığının ilgili belge başlıklarına bakın:

• Projenize Azure Identity istemci kitaplığı ekleme
• Sistem tarafından atanan kimlikle Azure hizmetine erişme
• Kullanıcı tarafından atanan kimlikle Azure hizmetine erişme

Bağlantılı örneklerde kullanılır DefaultAzureCredential. Senaryoların çoğu için kullanışlıdır çünkü aynı desen Azure'da (yönetilen kimliklerle) ve yerel makinenizde (yönetilen kimlikler olmadan) çalışır.

Java için Azure Identity istemci kitaplığına ilişkin daha fazla kod örneği için bkz . Azure Kimlik Örnekleri.

Azure hizmetinin kaynak URI'sini belirterek yerel uç noktadan belirteç almak için aşağıdaki betiği kullanın:

$resourceURI = "https://<AAD-resource-URI-for-resource-to-obtain-token>"
$tokenAuthURI = $env:IDENTITY_ENDPOINT + "?resource=$resourceURI&api-version=2019-08-01"
$tokenResponse = Invoke-RestMethod -Method Get -Headers @{"X-IDENTITY-HEADER"="$env:IDENTITY_HEADER"} -Uri $tokenAuthURI
$accessToken = $tokenResponse.access_token

1. Uygulamanızın sayfasının sol gezinti bölmesinde aşağı kaydırarak Ayarlar grubuna gelin.

2. Kimlik öğesini seçin. Ardından kimlik türüne göre adımları izleyin:

   • Sistem tarafından atanan kimlik: Sistem tarafından atanan sekmesinde Durum seçeneğini Kapalı olarak değiştirin. Kaydet'e tıklayın.
   • Kullanıcı tarafından atanan kimlik: Kullanıcı tarafından atanan sekmesini seçin, kimliğin onay kutusunu seçin ve Kaldır'ı seçin. Onaylamak için Evet'i seçin.

Sistem tarafından atanan kimliği kaldırmak için:

az webapp identity remove --name <app-name> --resource-group <group-name>

Kullanıcı tarafından atanan bir veya daha fazla kimliği kaldırmak için:

az webapp identity remove --name <app-name> --resource-group <group-name> --identities <identity-id1> <identity-id2> ...

ayrıca içinde belirterek [system] --identitiessistem tarafından atanan kimliği kaldırabilirsiniz.

App Service için

Set-AzWebApp -AssignIdentity App Service için sistem tarafından atanan kimliği kaldırmak için komutunu çalıştırın:

Set-AzWebApp -AssignIdentity $false -Name <app-name> -ResourceGroupName <group-name> 

İşlevler için

Azure PowerShell'deki tüm kimlikleri kaldırmak için (yalnızca Azure İşlevleri):

# Update an existing function app to have IdentityType "None".
Update-AzFunctionApp -Name $functionAppName -ResourceGroupName $resourceGroupName -IdentityType None

ARM şablonundaki tüm kimlikleri kaldırmak için:

"identity": {
    "type": "None"
}