Aggiungere identità gestite per la configurazione di app Azure

Questo articolo spiega come creare un'identità gestita per Configurazione app di Azure. Un'identità gestita di Microsoft Entra ID consente a Configurazione app di Azure di accedere facilmente ad altre risorse protette da Microsoft Entra. L'identità viene gestita dalla piattaforma Azure. Non è necessario effettuare il provisioning di alcun segreto né ruotarlo. Per altre informazioni sulle identità gestite in Microsoft Entra ID, vedere Identità gestite per le risorse di Azure.

Alla tua applicazione possono essere concessi due tipi di identità:

• Un'identità assegnata dal sistema è associata all'archivio di configurazione. Viene eliminata se viene eliminato l'archivio di configurazione. A un archivio di configurazione può essere associata una sola identità gestita assegnata dal sistema.
• Un'identità assegnata dall'utente è una risorsa di Azure autonoma che può essere assegnata all'archivio di configurazione. Un archivio di configurazione può avere più identità assegnate dall'utente.

Aggiungere un'identità assegnata dal sistema

La creazione di un archivio di configurazione app con un'identità assegnata dal sistema richiede l'impostazione di una proprietà aggiuntiva nell'archivio.

Usare l'interfaccia della riga di comando di Azure

Per configurare un'identità gestita usando l'interfaccia della riga di comando di Azure, usare il comando [az appconfig identity assign] in un archivio di configurazione esistente. Sono disponibili tre opzioni per l'esecuzione degli esempi di questa sezione:

• Usare Azure Cloud Shell dal portale di Azure.
• Usare Azure Cloud Shell incorporato tramite il pulsante "Prova", situato nell'angolo in alto a destra di ogni blocco di codice indicato di seguito.
• Installare la versione più recente dell'interfaccia della riga di comando di Azure (2.1 o versione successiva) se si preferisce usare una console dell'interfaccia della riga di comando locale.

La procedura seguente illustra come creare un archivio di Configurazione app e assegnargli un'identità usando l'interfaccia della riga di comando. Negli esempi seguenti, sostituisci i segnaposto <ResourceGroupName> e <AppConfigurationStoreName> con il nome del tuo gruppo di risorse e un nome univoco per il tuo archivio App Configuration.

1. Se si usa l'interfaccia della riga di comando di Azure in una console locale, accedere prima ad Azure usando [az login]. Usare un account associato alla sottoscrizione di Azure:

   az login
   

2. Crea un archivio di App Configuration usando la CLI. Per altri esempi su come usare la CLI con Configurazione app di Azure, vedi Esempi di CLI per Configurazione app di Azure:

   az group create --name <ResourceGroupName> --location eastus
   az appconfig create --name <AppConfigurationStoreName> --location eastus --resource-group <ResourceGroupName> --sku Free
   

3. Eseguire il comando [az appconfig identity assign] per creare l'identità assegnata dal sistema per questo archivio di configurazione:

   az appconfig identity assign --name <AppConfigurationStoreName> --resource-group <ResourceGroupName>
   

Aggiungere un'identità assegnata dall'utente

La creazione di un archivio di Configurazione app con un'identità assegnata dall'utente richiede la creazione dell'identità e quindi l'assegnazione dell'identificatore di risorsa corrispondente all'archivio.

Usare l'interfaccia della riga di comando di Azure

Per configurare un'identità gestita usando l'interfaccia della riga di comando di Azure, usare il comando [az appconfig identity assign] in un archivio di configurazione esistente. Sono disponibili tre opzioni per l'esecuzione degli esempi di questa sezione:

• Usare Azure Cloud Shell dal portale di Azure.
• Usare Azure Cloud Shell incorporato tramite il pulsante "Prova", situato nell'angolo in alto a destra di ogni blocco di codice indicato di seguito.
• Installare la versione più recente dell'interfaccia della riga di comando di Azure (2.0.31 o successiva) se si preferisce usare una console dell'interfaccia della riga di comando locale.

La procedura seguente illustra come creare un'identità assegnata dall'utente e un archivio di Configurazione app, quindi assegnare l'identità all'archivio usando l'interfaccia della riga di comando. Negli esempi seguenti sostituire il testo <ResourceGroupName>segnaposto , <AppConfigurationStoreName>, <UserAssignedIdentityName>e <SubscriptionId> con i propri valori.

1. Se si usa l'interfaccia della riga di comando di Azure in una console locale, accedere prima ad Azure usando [az login]. Usare un account associato alla sottoscrizione di Azure:

   az login
   

2. Crea un archivio di configurazione dell'app usando la CLI. Per altri esempi su come usare la CLI con Configurazione app di Azure, vedi Esempi di CLI di Configurazione app di Azure:

   az group create --name <ResourceGroupName> --location eastus
   az appconfig create --name <AppConfigurationStoreName> --location eastus --resource-group <ResourceGroupName> --sku Free
   

3. Creare un'identità assegnata dall'utente denominata <UserAssignedIdentityName> usando l'interfaccia della riga di comando.

   az identity create --resource-group <ResourceGroupName> --name <UserAssignedIdentityName>
   

   Nell'output di questo comando, prendete nota del valore della proprietà id.

4. Eseguire il comando [az appconfig identity assign] per assegnare la nuova identità assegnata dall'utente a questo archivio di configurazione. Usare il valore della id proprietà annotata nel passaggio precedente.

   az appconfig identity assign --name <AppConfigurationStoreName> --resource-group <ResourceGroupName> --identities /subscriptions/<SubscriptionId>/resourcegroups/<ResourceGroupName>/providers/Microsoft.ManagedIdentity/userAssignedIdentities/<UserAssignedIdentityName>
   

Rimozione di un'identità

È possibile rimuovere un'identità assegnata dal sistema disabilitando la funzionalità usando il comando az appconfig identity remove nell'interfaccia della riga di comando di Azure. Le identità assegnate dall'utente possono essere rimosse separatamente. La rimozione di un'identità assegnata dal sistema in questo modo ne comporta l'eliminazione anche da Microsoft Entra ID. Anche le identità assegnate dal sistema vengono rimosse automaticamente dall'ID Microsoft Entra quando la risorsa dell'app viene eliminata.

Passaggi successivi