Spring Cloud Azure MySQL-Unterstützung

In diesem Artikel wird erläutert, wie Sie spring Cloud Azure MySQL-Unterstützung verwenden, um Spring Boot-Anwendungen mit flexiblen Authentifizierungsoptionen zu Azure Database for MySQL zu verbinden, einschließlich kennwortloser Microsoft Entra Authentifizierung.

Von Version 4.5.0unterstützt Spring Cloud Azure verschiedene Arten von Anmeldeinformationen für die Authentifizierung bei Azure Database für MySQL Flexible Server.

Unterstützte MySQL-Version

Die aktuelle Version des Startprogramms sollte Azure Database für mySQL Flexible Server-Version 5.7 oder 8.0verwenden.

Kernfunktionen

Kennwortlose Verbindung

Die kennwortlose Verbindung verwendet die Microsoft Entra-Authentifizierung zum Herstellen einer Verbindung mit Azure-Diensten, ohne Anmeldeinformationen in der Anwendung, den Konfigurationsdateien oder in Umgebungsvariablen zu speichern. Die Microsoft Entra-Authentifizierung ist ein Mechanismus zum Herstellen einer Verbindung mit der Azure-Datenbank für MySQL mithilfe von In Microsoft Entra ID definierten Identitäten. Mithilfe Microsoft Entra Authentifizierung können Sie Datenbankbenutzeridentitäten und andere Microsoft-Dienste an einem zentralen Ort verwalten, wodurch die Berechtigungsverwaltung vereinfacht wird.

Funktionsweise

Spring Cloud Azure erstellt zunächst eine der folgenden Arten von Anmeldeinformationen, je nach Anwendungsauthentifizierungskonfiguration:

• ClientSecretCredential
• ClientCertificateCredential
• UsernamePasswordCredential
• ManagedIdentityCredential
• DefaultAzureCredential

Wenn die Anwendung keine dieser Arten von Anmeldeinformationen findet, ruft sie Anmeldeinformationen von Anwendungseigenschaften, Umgebungsvariablen, verwalteten Identitäten oder der IDE ab DefaultAzureCredential . Weitere Informationen finden Sie unter Spring Cloud Azure authentication.

Das folgende allgemeine Diagramm fasst zusammen, wie die Authentifizierung mithilfe der OAuth-Anmeldeinformationsauthentifizierung mit Azure Database for MySQL funktioniert. Die Pfeile geben Kommunikationspfade an.

Konfiguration

Spring Cloud Azure für MySQL unterstützt die folgenden beiden Konfigurationsoptionen:

1. Die globalen Authentifizierungskonfigurationsoptionen von credential und profile mit Präfixen von spring.cloud.azure.

2. Allgemeine Konfigurationsoptionen für Spring Cloud Azure für MySQL.

Die folgende Tabelle zeigt die allgemeinen Konfigurationsoptionen für Spring Cloud Azure für MySQL:

Setup von Abhängigkeiten

Fügen Sie dem Projekt die folgende Abhängigkeit hinzu. Diese Abhängigkeit schließt automatisch die spring-boot-starter Abhängigkeit in Ihr Projekt ein.

<dependency>
    <groupId>com.azure.spring</groupId>
    <artifactId>spring-cloud-azure-starter-jdbc-mysql</artifactId>
</dependency>

Grundlegende Nutzung

Die folgenden Abschnitte zeigen die klassischen Anwendungsverwendungsszenarien für Spring Boot.

Lokales Herstellen einer Verbindung mit Azure MySQL ohne Kennwort

1. Informationen zum Erstellen von Benutzern und Erteilen von Berechtigungen finden Sie unter Erstellen eines Nicht-Administratorbenutzers von MySQL und Erteilen von Berechtigungen Abschnitt Verwenden von Spring Data DIRECTORY mit Azure Database for MySQL.

2. Konfigurieren Sie die folgenden Eigenschaften in Ihrer application.yml Datei:

   spring:
     datasource:
       url: jdbc:mysql://${AZURE_MYSQL_SERVER_NAME}.mysql.database.azure.com:3306/${AZURE_MYSQL_DATABASE_NAME}
       username: ${AZURE_MYSQL_AD_NON_ADMIN_USERNAME}
       azure:
         passwordless-enabled: true
   

Herstellen einer Verbindung mit Azure MySQL mithilfe eines Dienstprinzipals

1. Erstellen Sie einen Microsoft Entra Benutzer für den Dienstprinzipal, und erteilen Sie berechtigungen.

   1. Verwenden Sie die folgenden Befehle, um Umgebungsvariablen einzurichten.

      export AZURE_MYSQL_AZURE_AD_SP_USERID=$(az ad sp list \
          --display-name <service_principal-name> \
          --query '[0].appId' 
          --output tsv)
      export AZURE_MYSQL_AZURE_AD_SP_USERNAME=<YOUR_MYSQL_AZURE_AD_USERNAME>
      export AZURE_MYSQL_SERVER_NAME=<YOUR_MYSQL_SERVER_NAME>
      export AZURE_MYSQL_DATABASE_NAME=<YOUR_MYSQL_DATABASE_NAME>
      export CURRENT_USERNAME=$(az ad signed-in-user show \
          --query userPrincipalName \
          --output tsv)
      

   2. Erstellen Sie ein SQL-Skript mit dem Namen create_ad_user_sp.sql zum Erstellen eines Nicht-Administratorbenutzers. Fügen Sie den folgenden Inhalt hinzu, und speichern Sie ihn lokal:

      cat << EOF > create_ad_user_sp.sql
      SET aad_auth_validate_oids_in_tenant = OFF;
      CREATE AADUSER '$AZURE_MYSQL_AZURE_AD_SP_USERNAME' IDENTIFIED BY '$AZURE_MYSQL_AZURE_AD_SP_USERID';
      GRANT ALL PRIVILEGES ON $AZURE_MYSQL_DATABASE_NAME.* TO '$AZURE_MYSQL_AZURE_AD_SP_USERNAME'@'%';
      FLUSH privileges;
      EOF
      

   3. Verwenden Sie den folgenden Befehl, um das SQL-Skript auszuführen, um den Nicht-Administratorbenutzer von Microsoft Entra zu erstellen:

      mysql -h $AZURE_MYSQL_SERVER_NAME.mysql.database.azure.com --user $CURRENT_USERNAME --enable-cleartext-plugin --password=$(az account get-access-token --resource-type oss-rdbms --output tsv --query accessToken) < create_ad_user_sp.sql
      

   4. Verwenden Sie den folgenden Befehl, um die temporäre SQL-Skriptdatei zu entfernen:

      rm create_ad_user_sp.sql
      

2. Konfigurieren Sie die folgenden Eigenschaften in Ihrer application.yml Datei:

   spring:
     cloud:
       azure:
         credential:
           client-id: ${AZURE_CLIENT_ID}
           client-secret: ${AZURE_CLIENT_SECRET}
         profile:
           tenant-id: <tenant>
     datasource:
       url: jdbc:mysql://${AZURE_MYSQL_SERVER_NAME}.mysql.database.azure.com:3306/${AZURE_MYSQL_DATABASE_NAME}
       username: ${AZURE_MYSQL_AD_SP_USERNAME}
       azure:
         passwordless-enabled: true
   

Herstellen einer Verbindung mit Azure MySQL mit verwalteter Identität in Azure Spring Apps

1. Informationen zum Aktivieren der verwalteten Identität finden Sie unter Zuweisen der verwalteten Identität mithilfe des Azure-Portals Abschnitt Migrieren einer Anwendung, um kennwortlose Verbindungen mit Azure Database for MySQLzu verwenden.

2. Informationen zum Erteilen von Berechtigungen finden Sie im Abschnitt Zuweisen von Rollen zur verwalteten Identität Abschnitt Migrieren einer Anwendung, um kennwortlose Verbindungen mit Azure Database for MySQLzu verwenden.

3. Konfigurieren Sie die folgenden Eigenschaften in Ihrer application.yml Datei:

   spring:
     datasource:
       url: jdbc:mysql://${AZURE_MYSQL_SERVER_NAME}.mysql.database.azure.com:3306/${AZURE_MYSQL_DATABASE_NAME}
       username: ${AZURE_MYSQL_AD_MI_USERNAME}
       azure:
         passwordless-enabled: true
   

Proben

Sehen Sie sich das azure-spring-boot-samples Repository auf GitHub an.