개발자 계정을 사용하여 로컬 개발 중에 Azure 서비스에 Go 앱 인증

로컬 개발 중에 애플리케이션은 다른 Azure 서비스를 사용하기 위해 Azure에 인증해야 합니다. 다음 방법 중 하나를 사용하여 로컬로 인증합니다.

• Azure ID 라이브러리에서 지원하는 개발자 도구 중 하나를 사용하여 개발자 계정을 사용합니다.
• 서비스 주체를 사용합니다.

이 문서에서는 Azure ID 라이브러리에서 지원하는 도구를 사용하여 개발자 계정을 사용하여 인증하는 방법을 설명합니다. 다음 섹션에서는 다음을 알아봅니다.

• Microsoft Entra 그룹을 사용하여 여러 개발자 계정에 대한 사용 권한을 효율적으로 관리하는 방법입니다.
• 권한 범위에 개발자 계정에 역할을 할당하는 방법입니다.
• 지원되는 로컬 개발 도구에 로그인하는 방법입니다.
• 앱 코드에서 개발자 계정을 사용하여 인증하는 방법입니다.

인증에 지원되는 개발자 도구

개발자의 Azure 자격 증명을 사용하여 로컬 개발 중에 Azure에 인증하려면 개발자가 다음 개발자 도구 중 하나에서 Azure에 로그인해야 합니다.

• Azure 커맨드 라인 인터페이스 (CLI)
• Azure 개발자 명령줄 인터페이스 (CLI)
• Azure PowerShell

Azure ID 라이브러리는 개발자가 이러한 도구 중 하나에서 로그인했음을 감지할 수 있습니다. 그런 다음 라이브러리는 도구를 통해 Microsoft Entra 액세스 토큰을 가져와서 로그인한 사용자로 Azure에 앱을 인증할 수 있습니다.

이 방법은 개발자의 기존 Azure 계정을 활용하여 인증 프로세스를 간소화합니다. 그러나 개발자 계정에는 앱에 필요한 것보다 더 많은 권한이 있으므로 프로덕션 환경에서 앱이 실행하는 사용 권한을 초과할 수 있습니다. 또는 로컬 개발중에 사용할 애플리케이션 서비스 주체를 만들 수 있습니다. 이 보안 주체는 앱에 필요한 액세스만 포함하도록 범위를 지정할 수 있습니다.

로컬 개발을 위한 Microsoft Entra 그룹 만들기

개별 서비스 주체 개체에 역할을 할당하는 대신 로컬 개발에서 앱에 필요한 역할(권한)을 캡슐화하는 Microsoft Entra 그룹을 만듭니다. 이 방법은 다음과 같은 이점을 제공합니다.

• 모든 개발자는 그룹 수준에서 동일한 역할을 할당합니다.
• 앱에 새 역할이 필요한 경우 앱의 그룹에만 추가하면 됩니다.
• 새 개발자가 팀에 합류하면 개발자를 위해 새 애플리케이션 서비스 주체가 만들어지고 그룹에 추가되어 개발자가 앱에서 작업할 수 있는 올바른 권한이 있는지 확인합니다.

그룹에 역할 할당

다음으로, 앱이 어떤 리소스에 필요한 역할(사용 권한)을 결정하고 사용자가 만든 Microsoft Entra 그룹에 해당 역할을 할당합니다. 그룹은 리소스, 리소스 그룹 또는 구독 범위에서 역할을 할당할 수 있습니다. 이 예제에서는 대부분의 앱이 모든 Azure 리소스를 단일 리소스 그룹으로 그룹화하므로 리소스 그룹 범위에서 역할을 할당하는 방법을 보여 줍니다.

개발자 도구를 사용하여 Azure에 로그인

다음으로, 개발 환경에서 인증을 수행하는 데 사용할 수 있는 여러 개발자 도구 중 하나를 사용하여 Azure에 로그인합니다. 인증하는 계정은 이전에 만들고 구성한 Microsoft Entra 그룹에도 있어야 합니다.

az login

az login --use-device-code

azd auth login

azd auth login --use-device-code

Connect-AzAccount

Connect-AzAccount -UseDeviceAuthentication

앱에서 Azure 서비스에 인증

azidentity 패키지는 다양한 시나리오 및 Microsoft Entra 인증 흐름을 지원하기 위해 조정된 다양한 자격 증명을 제공합니다. 다음 단계에서는 로컬 및 프로덕션 환경에서 서비스 주체로 작업할 때 DefaultAzureCredential 을 사용하는 방법을 보여 줍니다.

코드 구현

Azure에 Azure SDK 클라이언트 개체를 인증하려면 애플리케이션에서 DefaultAzureCredential 클래스를 사용해야 합니다. 이 시나리오 DefaultAzureCredential 에서는 개발자가 Azure CLI 또는 Azure 개발자 CLI를 사용하여 Azure에 로그인했는지 순차적으로 확인합니다. 개발자가 이러한 도구 중 하나를 사용하여 Azure에 로그인하는 경우 앱은 인증에 자격 증명을 사용합니다.

DefaultAzureCredential 은 Microsoft Entra ID에 인증하기 위한 순서가 지정된 메커니즘 시퀀스입니다. 각 인증 메커니즘은 인터페이스를 구현하는 TokenCredential 형식이며 자격 증명이라고 합니다. DefaultAzureCredential 개발자가 Azure CLI 또는 Azure 개발자 CLI를 사용하여 Azure에 로그인했는지 순차적으로 확인합니다. 개발자가 이러한 도구 중 하나를 사용하여 Azure에 로그인하는 경우 앱은 인증에 자격 증명을 사용합니다. 자격 증명 체인을 사용자 지정하는 방법에 대한 자세한 내용은 DefaultAzureCredential을 사용자 지정하는 방법을 참조하세요.

1. 애플리케이션에 azidentity 패키지를 추가합니다.

   go get github.com/Azure/azure-sdk-for-go/sdk/azidentity
   

2. 앱에서 Azure SDK 클라이언트 개체를 만드는 Go 코드의 경우 다음을 수행하려고 합니다.

   1. azidentity 패키지를 가져옵니다.
   2. DefaultAzureCredential 또는 AzureCLICredential를 사용하여 자격 증명의 인스턴스를 만듭니다. 다음은 그 예입니다.

   • 사용 DefaultAzureCredential하려면 앱이 개발 환경에서 실행 중임을 나타내는 환경 변수 AZURE_TOKEN_CREDENTIALSdev 를 설정합니다. 자세한 내용은 DefaultAzureCredential을 사용자 지정하는 방법을 참조하세요.

     // Environment variable AZURE_TOKEN_CREDENTIALS=dev or a specific developer tool credential value
     cred, err := azidentity.NewDefaultAzureCredential(nil)
     

   • 또는 AzureCLICredential, AzureDeveloperCLICredential, AzurePowerShellCredential와 같은 특정 자격 증명을 사용하여 특정 개발 도구에 로그인된 사용자를 통해 인증합니다.

     cred, err := azidentity.NewAzureCLICredential(nil)
     // or cred, err := azidentity.NewAzureDeveloperCLICredential(nil)
     // or cred, err := azidentity.NewAzurePowerShellCredential(nil)
     

   1. 자격 증명 인스턴스를 Azure SDK 클라이언트 생성자에 전달합니다.

이러한 단계의 예는 다음 코드 세그먼트에 나와 있습니다.

import (
	"context"

	"github.com/Azure/azure-sdk-for-go/sdk/azidentity"
	"github.com/Azure/azure-sdk-for-go/sdk/storage/azblob"
)

const (
	account       = "https://<replace_with_your_storage_account_name>.blob.core.windows.net/"
	containerName = "sample-container"
	blobName      = "sample-blob"
	sampleFile    = "path/to/sample/file"
)

func main() {
	// create a credential
	cred, err := azidentity.NewDefaultAzureCredential(nil)
	// or cred, err := azidentity.NewAzureCLICredential(nil)
	// or cred, err := azidentity.NewAzureDeveloperCLICredential(nil)
	// or cred, err := azidentity.NewAzurePowerShellCredential(nil)
	if err != nil {
	  // TODO: handle error
	}
	
	// create a client for the specified storage account
	client, err := azblob.NewClient(account, cred, nil)
	if err != nil {
	  // TODO: handle error
	}
	
	// TODO: perform some action with the azblob Client
	// _, err = client.DownloadFile(context.TODO(), <containerName>, <blobName>, <target_file>, <DownloadFileOptions>)
}