移轉應用程式以使用適用於 PostgreSQL 的 Azure 資料庫的無密碼連線

使用下列命令，透過 Azure CLI 登入 Azure：

az login

使用下列命令，使用 PowerShell 登入 Azure：

Connect-AzAccount

選取 Visual Studio 右上角的 [登入] 按鈕。

使用您先前指派角色的 Microsoft Entra 帳戶登入。

請確定您已安裝 Azure 帳戶 延伸模組。

使用 CTRL + Shift + P 快速鍵開啟指令面板。 搜尋 Azure：登入 命令 ，然後依照提示進行驗證。 請確保使用您之前在 Blob 儲存體帳戶中指派角色的 Microsoft Entra 帳戶。

如需詳細資訊，請參閱 安裝適用於 IntelliJ 的 Azure 工具組 和適用於 IntelliJ 的 Azure 工具組的登入指示。

1. 在您的專案中，將下列參考新增到azure-identity-extensions套件中。 此程式庫包含實作無密碼連線所需的所有實體。

   <dependency>
       <groupId>com.azure</groupId>
       <artifactId>azure-identity-extensions</artifactId>
       <version>1.0.0</version>
   </dependency>
   

2. 在 JDBC URL 中啟用 Azure PostgreSQL 驗證外掛程式。 識別程式碼中目前建立 java.sql.Connection 以連線到適用於 PostgreSQL 的 Azure 資料庫的位置。 更新 url 和 user 於您的 application.properties 文件，以符合下列值：

   url=jdbc:postgresql://$AZ_DATABASE_SERVER_NAME.postgres.database.azure.com:5432/$AZ_DATABASE_NAME?sslmode=require&authenticationPluginClassName=com.azure.identity.extensions.jdbc.postgresql.AzurePostgresqlAuthenticationPlugin
   user=$AZ_POSTGRESQL_AD_NON_ADMIN_USERNAME
   

3. 請將 $AZ_POSTGRESQL_AD_NON_ADMIN_USERNAME 以及這兩個 $AZ_DATABASE_SERVER_NAME 變數替換為您在本文開頭所設定的值。

1. 在您的專案中，將下列參考新增到spring-cloud-azure-starter-jdbc-postgresql套件中。 此程式庫包含實作無密碼連線所需的所有實體。

   <dependency>
       <groupId>com.azure.spring</groupId>
       <artifactId>spring-cloud-azure-starter-jdbc-postgresql</artifactId>
   </dependency>
   

   備註

   如需如何使用物料清單 （BOM） 管理 Spring Cloud Azure 程式庫版本的詳細資訊，請參閱 Spring Cloud Azure 開發人員指南的快速入門一節。

2. 更新 application.yaml 或 application.properties 檔案，如下列範例所示。 變更 spring.datasource.username 為 Microsoft Entra 使用者，移除 spring.datasource.password 屬性，並新增 spring.datasource.azure.passwordless-enabled=true。

   spring:
     datasource:
       url: jdbc:postgresql://${AZ_DATABASE_SERVER_NAME}.postgres.database.azure.com:5432/$AZ_DATABASE_NAME?sslmode=require
       username: ${AZ_POSTGRESQL_AD_NON_ADMIN_USERNAME}
       azure:
         passwordless-enabled: true
   

1. 在 Azure App 服務 執行個體的主要概觀頁面上，從導覽窗格中選取 [身分識別]。

2. 在 系統指派 索引標籤上，確保將 狀態 欄位設定為 開啟。 系統指派的身分識別是由 Azure 內部管理，並為您處理系統管理工作。 身分識別的詳細資料和識別碼永遠不會在您的程式碼中公開。

當您使用 Service Connector 時，它可以協助您在 Azure 託管環境中指派系統指派的受控身分識別。 不過，Azure 入口網站不支援以這種方式設定 Azure 資料庫，因此您必須使用 Azure CLI 來指派身分識別。

1. 在 Azure 容器應用程式 執行個體的主要概觀頁面上，從導覽窗格中選取 [身分識別 ]。

2. 在 系統指派 索引標籤上，確保將 狀態 欄位設定為 開啟。 系統指派的身分識別是由 Azure 內部管理，並為您處理系統管理工作。 身分識別的詳細資料和識別碼永遠不會在您的程式碼中公開。

   

1. 在 Azure Spring 應用程式 執行個體的主要概觀頁面上，從導覽窗格中選取 [身分識別 ]。

2. 在 系統指派 索引標籤上，確保將 狀態 欄位設定為 開啟。 系統指派的身分識別是由 Azure 內部管理，並為您處理系統管理工作。 身分識別的詳細資料和識別碼永遠不會在您的程式碼中公開。

   

1. 在虛擬機器的主要概觀頁面上，從導覽窗格中選取 身分識別 。

2. 在 系統指派 索引標籤上，確保將 狀態 欄位設定為 開啟。 系統指派的身分識別是由 Azure 內部管理，並為您處理系統管理工作。 身分識別的詳細資料和識別碼永遠不會在您的程式碼中公開。

   

Azure Kubernetes Service （AKS） 叢集需要身分識別，才能存取 Azure 資源，例如負載平衡器和受控磁碟。 此身分識別可以是受管理的身分識別或服務主體。 預設情況下，當你建立 AKS 叢集時，Azure 會自動建立系統指派的管理身份。

您可以使用 az webapp identity assign 命令將受控識別指派給 Azure App 服務 執行個體，如下列範例所示：

export AZ_MI_OBJECT_ID=$(az webapp identity assign \
    --resource-group $AZ_RESOURCE_GROUP \
    --name <service-instance-name> \
    --query principalId \
    --output tsv)

您可以使用服務連接器，使用 Azure CLI 在 Azure 計算裝載環境與目標服務之間建立連線。 Service Connector 目前支援下列運算服務：

• Azure App 服務
• Azure Spring 應用程式
• Azure 容器應用程式

首先，安裝 Azure CLI 的 服務連接器 無密碼延伸模組：

az extension add --name serviceconnector-passwordless --upgrade

如果您使用 Azure App 服務，請使用命令 az webapp connection ，如下列範例所示：

az webapp connection create postgres-flexible \
    --resource-group $AZ_RESOURCE_GROUP \
    --name <app-service-name>
    --target-resource-group $AZ_RESOURCE_GROUP \
    --server $AZ_DATABASE_SERVER_NAME \
    --database $AZ_DATABASE_NAME \
    --system-identity

如果您使用 Azure Spring 應用程式，請使用 the az spring connection 命令，如下列範例所示：

az spring connection create postgres-flexible \
    --resource-group $AZ_RESOURCE_GROUP \
    --service <service-name> \
    --app <service-instance-name> \
    --target-resource-group $AZ_RESOURCE_GROUP \
    --server $AZ_DATABASE_SERVER_NAME \
    --database $AZ_DATABASE_NAME \
    --system-identity

如果您使用 Azure 容器應用程式，請使用命令 az containerapp connection ，如下列範例所示：

az containerapp connection create postgres-flexible \
    --resource-group $AZ_RESOURCE_GROUP \
    --name <app-service-name>
    --target-resource-group $AZ_RESOURCE_GROUP \
    --server $AZ_DATABASE_SERVER_NAME \
    --database $AZ_DATABASE_NAME \
    --system-identity

您可以使用 az containerapp identity assign 命令將受控識別指派給 Azure 容器應用程式 執行個體，如下列範例所示：

export AZ_MI_OBJECT_ID=$(az containerapp identity assign \
    --resource-group $AZ_RESOURCE_GROUP \
    --name <service-instance-name> \
    --query principalId \
    --output tsv)

您可以將受控識別指派給 Azure Spring 應用程式 執行個體，如下列範例所示：

export AZ_MI_OBJECT_ID=$(az spring app identity assign \
    --resource-group $AZ_RESOURCE_GROUP \
    --name <service-instance-name> \
    --service <service-name> \
    --query identity.principalId \
    --output tsv)

您可以使用 az vm identity assign 命令將受控識別指派給虛擬機器，如下列範例所示：

export AZ_MI_OBJECT_ID=$(az vm identity assign \
    --resource-group $AZ_RESOURCE_GROUP \
    --name <service-instance-name> \
    --query principalId \
    --output tsv)

您可以使用 az aks update 命令將受控識別指派給 Azure Kubernetes Service （AKS） 執行個體，如下列範例所示：

export AZ_MI_OBJECT_ID=$(az aks update \
    --resource-group $AZ_RESOURCE_GROUP \
    --name <AKS-cluster-name> \
    --enable-managed-identity \
    --query identityProfile.kubeletidentity.objectId \
    --output tsv)

如果你是用 Service Connector 連接服務，前一步的指令已經指派了角色，所以你可以跳過這一步。

以下步驟為管理身份建立一個 Microsoft Entra 使用者，並將資料庫的所有權限$AZ_DATABASE_NAME授予該使用者。 您可以變更資料庫名稱 $AZ_DATABASE_NAME 以符合您的需求。

首先，建立一個名為 create_ad_user_mi.sql 的 SQL 腳本，用來建立非管理員使用者。 新增下列內容並儲存在本機：

export AZ_POSTGRESQL_AD_MI_USERNAME=$(az ad sp show \
    --id $AZ_MI_OBJECT_ID \
    --query displayName \
    --output tsv)

cat << EOF > create_ad_user_mi.sql
select * from pgaadauth_create_principal_with_oid('$AZ_POSTGRESQL_AD_MI_USERNAME', '$AZ_MI_OBJECT_ID', 'service', false, false);
EOF

接著，使用以下指令執行 SQL 腳本並建立 Microsoft Entra 非管理員使用者：

psql "host=$AZ_DATABASE_SERVER_NAME.postgres.database.azure.com user=$CURRENT_USERNAME dbname=postgres port=5432 password=$(az account get-access-token --resource-type oss-rdbms --output tsv --query accessToken) sslmode=require" < create_ad_user_mi.sql

現在，請使用以下指令移除暫存的 SQL 腳本檔案：

rm create_ad_user_mi.sql

更新您的程式碼，以使用針對受控識別建立的使用者：

properties.put("user", "$AZ_POSTGRESQL_AD_MI_USERNAME");

更新 application.yaml 或 application.properties 檔案。 將 spring.datasource.username 更改為為管理識別建立的使用者。

spring:
  datasource:
    url: jdbc:postgresql://${AZ_DATABASE_SERVER_NAME}.postgres.database.azure.com:5432/$AZ_DATABASE_NAME?sslmode=require
    username: ${AZ_POSTGRESQL_AD_MI_USERNAME}
    azure:
      passwordless-enabled: true

如果您使用「Service Connector」命令，請移除屬性 spring.datasource.url 和 spring.datasource.username。 您只需新增以下設定：

spring:
  datasource:
    azure:
      passwordless-enabled: true