Samouczek: uzyskiwanie dostępu do usług Azure z poziomu aplikacji internetowej .NET

Dowiedz się, jak uzyskać dostęp do usług platformy Azure, takich jak Azure Storage, z aplikacji internetowej uruchomionej w usłudze Azure App Service przy użyciu tożsamości zarządzanych, bez konieczności zalogowania użytkownika. W tym samouczku pokazano, jak na przykład nawiązać połączenie z Azure Storage.

Dostęp do dowolnej usługi obsługującej tożsamość zarządzaną (B na poniższej ilustracji) można bezpiecznie uzyskać, korzystając z tego samouczka:

• Azure Storage
• Azure SQL Database
• Azure Key Vault

Chcesz dodać bezpieczny dostęp do usług platformy Azure, w tym usług Azure Storage, Azure SQL Database i Azure Key Vault z poziomu aplikacji internetowej. Możesz użyć klucza współużytkowanego, ale musisz martwić się o operacyjne bezpieczeństwo, kto może tworzyć, wdrażać i zarządzać tajnym sekretem. Możliwe jest również, że klucz może zostać umieszczony w GitHub, który hakerzy potrafią skanować. Bezpieczniejszym sposobem udzielenia aplikacji internetowej dostępu do danych jest użycie tożsamości zarządzanych.

Zarządzana tożsamość z Microsoft Entra ID umożliwia usłudze App Service dostęp do zasobów za pomocą kontroli dostępu opartej na rolach (RBAC) bez potrzeby użycia poświadczeń aplikacji. Po przypisaniu tożsamości zarządzanej do aplikacji internetowej platforma Azure zajmuje się tworzeniem i dystrybucją certyfikatu. Użytkownicy nie muszą się martwić o zarządzanie danymi tajnymi ani poświadczeniami aplikacji.

Z tego samouczka dowiesz się, jak wykonywać następujące czynności:

Jeśli nie masz konta Azure, przed rozpoczęciem utwórz konto free.

Wymagania wstępne

• Aplikacja internetowa działająca w usłudze Azure App Service:

  • .NET Szybki start
  • Szybki start: JavaScript

Włączanie tożsamości zarządzanej w aplikacji

Jeśli tworzysz i publikujesz aplikację internetową za pomocą Visual Studio, tożsamość zarządzana została dla Ciebie włączona w aplikacji.

1. W usłudze app Service w menu po lewej stronie wybierz pozycję Tożsamość, a następnie wybierz pozycję Przypisany system. Sprawdź, czy stan ma wartość Włączone.

   Jeśli nie, wybierz pozycję Włączone, a następnie pozycję Zapisz. Aby włączyć tożsamość zarządzaną przypisaną przez system, w oknie dialogowym potwierdzenia wybierz pozycję Tak. Po włączeniu tożsamości zarządzanej stan jest ustawiony na Włączone , a identyfikator obiektu jest dostępny.

   

2. Ten krok tworzy nowy identyfikator obiektu inny niż identyfikator aplikacji utworzony w okienku Uwierzytelnianie/autoryzacja . Skopiuj identyfikator obiektu tożsamości zarządzanej przypisanej przez system. Potrzebujesz go później.

Tworzenie konta magazynu i kontenera Blob Storage

Teraz możesz utworzyć konto magazynu i kontener Blob Storage.

Każde konto magazynu musi należeć do grupy zasobów Azure. Grupa zasobów to logiczny kontener dla usług platformy Azure. Podczas tworzenia konta magazynu można utworzyć nową grupę zasobów lub użyć istniejącej grupy zasobów. W tym artykule pokazano, jak utworzyć nową grupę zasobów.

Konto magazynu ogólnego przeznaczenia w wersji 2 zapewnia dostęp do wszystkich usług Azure Storage: obiektów blob, plików, kolejek, tabel i dysków. Kroki opisane tutaj umożliwiają utworzenie konta magazynu ogólnego przeznaczenia w wersji 2, ale kroki tworzenia dowolnego typu konta magazynu są podobne.

Obiekty blob w Azure Storage są zorganizowane w kontenery. Przed przekazaniem obiektu blob w dalszej części tego samouczka należy najpierw utworzyć kontener.

Connect-AzAccount

$resourceGroup = "securewebappresourcegroup"
$location = "<location>"
$storageName="securewebappstorage"
$containerName = "securewebappblobcontainer"

$storageAccount = New-AzStorageAccount -ResourceGroupName $resourceGroup `
  -Name $storageName `
  -Location $location `
  -SkuName Standard_RAGRS `
  -Kind StorageV2

$ctx = $storageAccount.Context

New-AzStorageContainer -Name $containerName -Context $ctx -Permission blob

az login

az storage account create \
    --name securewebappstorage \
    --resource-group securewebappresourcegroup \
    --location <location> \
    --sku Standard_ZRS \
    --encryption-services blob

storageId=$(az storage account show -n securewebappstorage -g securewebappresourcegroup --query id --out tsv)

az ad signed-in-user show --query objectId -o tsv | az role assignment create \
    --role "Storage Blob Data Contributor" \
    --assignee @- \
    --scope $storageId

az storage container create \
    --account-name securewebappstorage \
    --name securewebappblobcontainer \
    --auth-mode login

Udzielanie dostępu do konta magazynu

Abyś mógł tworzyć, odczytywać lub usuwać bloby, musisz udzielić aplikacji internetowej dostępu do konta magazynu. W poprzedniej sekcji skonfigurowano aplikację internetową działającą w usłudze App Service z tożsamością zarządzaną. Za pomocą Azure RBAC można udzielić tożsamości zarządzanej dostępu do innego zasobu, podobnie jak każdy podmiot zabezpieczeń.

Rola współautora danych obiektu BLOB w usłudze Storage nadaje aplikacji webowej, reprezentowanej przez tożsamość zarządzaną przypisaną przez system, uprawnienia do odczytu, zapisu i usuwania danych w kontenerze obiektów BLOB.

$resourceGroup = "securewebappresourcegroup"
$webAppName="SecureWebApp20201102125811"
$storageName="securewebappstorage"

$spID = (Get-AzWebApp -ResourceGroupName $resourceGroup -Name $webAppName).identity.principalid
$storageId= (Get-AzStorageAccount -ResourceGroupName $resourceGroup -Name $storageName).Id
New-AzRoleAssignment -ObjectId $spID -RoleDefinitionName "Storage Blob Data Contributor" -Scope $storageId

spID=$(az resource list -n SecureWebApp20201102125811 --query [*].identity.principalId --out tsv)

storageId=$(az storage account show -n securewebappstorage -g securewebappresourcegroup --query id --out tsv)

az role assignment create --assignee $spID --role 'Storage Blob Data Contributor' --scope $storageId

Dostęp do Blob Storage

Klasa DefaultAzureCredential służy do uzyskiwania poświadczeń tokenu dla kodu w celu autoryzowania żądań do Azure Storage. Utwórz instancję klasy DefaultAzureCredential, która korzysta z tożsamości zarządzanej do pobierania tokenów i ich dołączania do klienta usługi. Poniższy przykład kodu pobiera uwierzytelnione poświadczenia tokenu i używa ich do utworzenia obiektu klienta usługi, który przesyła nowy obiekt blob.

Aby zobaczyć ten kod w ramach przykładowej aplikacji, zobacz przykład GitHub.

Instalowanie pakietów bibliotek klienta

Zainstaluj pakiet Blob Storage NuGet aby pracować z Blob Storage i biblioteką klienta Azure Identity dla pakietu NuGet .NET do uwierzytelniania przy użyciu poświadczeń Microsoft Entra. Zainstaluj biblioteki klienckie przy użyciu interfejsu wiersza polecenia platformy .NET Core lub konsoli Package Manager w Visual Studio.

.NET Core — wiersz polecenia

1. Otwórz wiersz polecenia i przejdź do katalogu zawierającego plik projektu.

2. Uruchom komendy instalacyjne.

   dotnet add package Azure.Storage.Blobs
   
   dotnet add package Azure.Identity
   

Konsola Menedżera Pakietów

1. Otwórz projekt lub rozwiązanie w Visual Studio i otwórz konsolę przy użyciu polecenia Tools>NuGet Package Manager>Package Manager Console.

2. Uruchom komendy instalacyjne.

   Install-Package Azure.Storage.Blobs
   
   Install-Package Azure.Identity
   

przykład .NET

using System;
using Azure.Storage.Blobs;
using Azure.Storage.Blobs.Models;
using System.Collections.Generic;
using System.Threading.Tasks;
using System.Text;
using System.IO;
using Azure.Identity;

// Some code omitted for brevity.

static public async Task UploadBlob(string accountName, string containerName, string blobName, string blobContents)
{
    // Construct the blob container endpoint from the arguments.
    string containerEndpoint = string.Format("https://{0}.blob.core.windows.net/{1}",
                                                accountName,
                                                containerName);

    // Get a credential and create a client object for the blob container.
    BlobContainerClient containerClient = new BlobContainerClient(new Uri(containerEndpoint),
                                                                    new DefaultAzureCredential());

    try
    {
        // Create the container if it doesn't exist.
        await containerClient.CreateIfNotExistsAsync();

        // Upload text to a new block blob.
        byte[] byteArray = Encoding.ASCII.GetBytes(blobContents);

        using (MemoryStream stream = new MemoryStream(byteArray))
        {
            await containerClient.UploadBlobAsync(blobName, stream);
        }
    }
    catch (Exception e)
    {
        throw e;
    }
}

Czyszczenie zasobów

Jeśli ukończysz ten samouczek i nie potrzebujesz już aplikacji internetowej ani skojarzonych zasobów, wyczyść utworzone zasoby.

Usuwanie grupy zasobów

1. W witrynie Azure Portal wybierz pozycję Grupy zasobów z menu witryny Azure Portal i wybierz grupę zasobów zawierającą usługę App Service i plan usługi App Service.

2. Wybierz pozycję Usuń grupę zasobów, aby usunąć grupę zasobów i wszystkie zasoby.

   

3. Wprowadź nazwę grupy zasobów, aby potwierdzić.

Uruchomienie tego procesu może potrwać kilka minut.

Następne kroki

W tym samouczku zawarto informacje na temat wykonywania następujących czynności: