Auktorisera begäranden till Azure Web PubSub-resurser med Microsoft Entra-program

Azure Web PubSub Service stöder Microsoft Entra-ID för att auktorisera begäranden med Microsoft Entra-program.

Den här artikeln beskriver hur du konfigurerar din resurs och kod för att autentisera begäranden till resursen med hjälp av ett Microsoft Entra-program.

Registrera ett program i Microsoft Entra ID

Det första steget är att registrera ett program i Microsoft Entra-ID:

När du har registrerat din applikation kan du hitta värdena för Applikations-ID (klient) och Katalog-ID (hyresgäst) på applikationens översiktssida. Dessa GUID:er kan vara användbara i följande steg.

Skärmbild av översiktsinformation för ett registrerat program.

Lägg till autentiseringsuppgifter

När du har registrerat en app kan du lägga till certifikat, klienthemligheter (en sträng) eller federerade identitetsuppgifter som autentiseringsuppgifter i din konfidentiella klientappregistrering. Autentiseringsuppgifter gör att ditt program kan autentiseras som sig självt, vilket inte kräver någon interaktion från en användare vid körning och används av konfidentiella klientprogram som har åtkomst till ett webb-API.

Lägga till rolltilldelningar i Azure-portalen

Detta avsnitt visar hur man tilldelar en Azure-roll till en tjänsteprincipal eller hanterad identitet för en Web PubSub-resurs. Detaljerade steg finns i Tilldela Azure-roller med hjälp av Azure-portalen.

Kommentar

En roll kan tilldelas till valfritt omfång, inklusive hanteringsgrupp, prenumeration, resursgrupp eller enskild resurs. Mer information om omfång finns i Förstå omfånget för Azure RBAC.

  1. I Azure Portal går du till din Web PubSub-resurs.

  2. Välj Åtkomstkontroll (IAM) i sidopanelen.

  3. Välj Lägg till>Lägg till rolltilldelning.

    Skärmbild som visar sidan för åtkomstkontroll och val för att lägga till en rolltilldelning.

  4. På fliken Roll väljer du en inbyggd roll eller en anpassad roll i Web PubSub som inkluderar de behörigheter som krävs av din applikation.

    Role Description Användningsfall
    Web PubSub-tjänstens ägare Fullständig åtkomst till API:er för dataplan, inklusive REST-API:er för läsning/skrivning och Auth-API:er. Används oftast för att skapa en överordnad server som hanterar förhandlingsbegäranden och klienthändelser.
    Web PubSub-tjänstläsare Skrivskyddad åtkomst till dataplans-API:er. Använd det när du skriver ett övervakningsverktyg som anropar skrivskyddade REST-API:er.

    Tips/Råd

    Följ principen om minsta privilegium genom att använda en anpassad roll med endast nödvändiga Web PubSub-dataplansbehörigheter. För att generera en klientåtkomsttoken och använda den för att ansluta kräver identiteten både Microsoft.SignalRService/WebPubSub/clientConnection/generateToken/action och Microsoft.SignalRService/WebPubSub/clientConnection/write. Ingen snävare inbyggd roll inkluderar båda behörigheterna.

  5. Välj Nästa.

  6. För Microsoft Entra-programmet.

    1. På raden Assign access till väljer du Användare, grupp eller tjänstens huvudnamn.
    2. På raden Members klickar du på select membersoch väljer sedan identiteten i popup-fönstret.

  7. För hanterad identitet för Azure-resurser.

    1. I raden Assign access väljer du Hanterad identitet.
    2. På raden Members klickar du på select membersoch väljer sedan programmet i popup-fönstret.

  8. Välj Nästa.

  9. Granska tilldelningen och klicka sedan på Granska + tilldela för att bekräfta rolltilldelningen.

Viktigt!

Nyligen tillagda rolltilldelningar kan ta upp till 30 minuter att propageras.

Mer information om hur du tilldelar och hanterar Azure-roller finns i följande artiklar:

Kodexempel med Microsoft Entra-auktorisering

För att skapa en WebPubSubServiceClient som använder Microsoft Entra-auktorisation i .NET, Java, JavaScript eller Python, se Använd Azure Identity med WebPubSubServiceClient.

Relaterat innehåll

  • Last updated on