Migrowanie aplikacji do używania połączeń bez hasła z usługą Azure Blob Storage

1. W portalu Azure znajdź swoje konto usługi magazynowej, używając głównego paska wyszukiwania lub nawigacji po lewej stronie.

2. Na stronie głównej konta magazynowego wybierz pozycję Kontrola dostępu (IAM) z menu po lewej stronie.

3. Na stronie Kontrola dostępu (IAM) wybierz kartę Przypisania ról.

4. Wybierz + Dodaj z górnego menu, a następnie Dodaj przypisanie roli z wyświetlonego menu rozwijanego.

   

5. Użyj pola wyszukiwania, aby filtrować wyniki do żądanej roli. W tym przykładzie wyszukaj Storage Blob Data Contributor i wybierz pasujący wynik, a następnie wybierz Dalej.

6. W obszarze Przypisz dostęp do wybierz pozycję Użytkownik, grupa lub jednostka usługi, a następnie wybierz pozycję + Wybierz członków.

7. W oknie dialogowym wyszukaj nazwę użytkownika firmy Microsoft Entra (zazwyczaj adres e-mail user@domain ), a następnie wybierz pozycję Wybierz w dolnej części okna dialogowego.

8. Wybierz pozycję Przejrzyj i przypisz , aby przejść do ostatniej strony, a następnie ponownie przejrzyj i przypisz, aby ukończyć proces.

Aby przypisać rolę na poziomie zasobu przy użyciu interfejsu wiersza polecenia platformy Azure, należy najpierw pobrać identyfikator zasobu przy użyciu az storage account show polecenia . Właściwości wyjściowe można filtrować przy użyciu parametru --query .

az storage account show --resource-group '<your-resource-group-name>' --name '<your-storage-account-name>' --query id

Skopiuj dane wyjściowe Id z poprzedniego polecenia. Następnie możesz przypisać role przy użyciu polecenia az role interfejsu wiersza polecenia platformy Azure.

az role assignment create --assignee "<user@domain>" \
    --role "Storage Blob Data Contributor" \
    --scope "<your-resource-id>"

Aby przypisać rolę na poziomie zasobu przy użyciu programu Azure PowerShell, należy najpierw pobrać identyfikator zasobu przy użyciu Get-AzResource polecenia .

Get-AzResource -ResourceGroupName "<yourResourceGroupname>" -Name "<yourStorageAccountName>"

Skopiuj wartość Id z poprzednich danych wyjściowych polecenia. Następnie można przypisać role przy użyciu polecenia New-AzRoleAssignment w programie PowerShell.

New-AzRoleAssignment -SignInName <user@domain> `
    -RoleDefinitionName "Storage Blob Data Contributor" `
    -Scope <yourStorageAccountId>

Zaloguj się do platformy Azure za pomocą interfejsu wiersza polecenia platformy Azure przy użyciu następującego polecenia:

az login

Wybierz przycisk Zaloguj się w prawym górnym rogu programu Visual Studio.

Zaloguj się za pomocą konta Microsoft Entra, do którego przypisano wcześniej rolę.

Aby pracować z programem Visual Studio Code, musisz DefaultAzureCredential platformy Azure.

W menu głównym programu Visual Studio Code przejdź do Terminal > Nowy terminal.

Zaloguj się do platformy Azure za pomocą interfejsu wiersza polecenia platformy Azure przy użyciu następującego polecenia:

az login

Zaloguj się do platformy Azure przy użyciu programu PowerShell za pomocą następującego polecenia:

Connect-AzAccount

1. Aby użyć DefaultAzureCredential w aplikacji .NET, zainstaluj Azure.Identity pakiet:

   dotnet add package Azure.Identity
   

2. W górnej części pliku dodaj następujący kod:

   using Azure.Identity;
   

3. Zidentyfikuj lokalizacje w kodzie, które tworzą BlobServiceClient do połączenia z usługą Azure Blob Storage. Zaktualizuj kod, aby był zgodny z następującym przykładem:

   DefaultAzureCredential credential = new();
   
   BlobServiceClient blobServiceClient = new(
       new Uri($"https://{storageAccountName}.blob.core.windows.net"),
       credential);
   

1. Aby użyć DefaultAzureCredential w aplikacji Go, zainstaluj moduł azidentity:

   go get -u github.com/Azure/azure-sdk-for-go/sdk/azidentity
   

2. W górnej części pliku dodaj następujący kod:

   import (
       "github.com/Azure/azure-sdk-for-go/sdk/azidentity"
   )
   

3. Zidentyfikuj lokalizacje w kodzie, które tworzą instancję Client do połączenia z usługą Azure Blob Storage. Zaktualizuj kod, aby był zgodny z następującym przykładem:

   cred, err := azidentity.NewDefaultAzureCredential(nil)
   if err != nil {
       // handle error
   }
   
   serviceURL := fmt.Sprintf("https://%s.blob.core.windows.net", storageAccountName)
   client, err := azblob.NewClient(serviceURL, cred, nil)
   if err != nil {
       // handle error
   }
   

1. Aby użyć DefaultAzureCredential w aplikacji Java, zainstaluj pakiet azure-identity jedną z poniższych metod:

   1. Uwzględnij BOM plik.
   2. Uwzględnij zależność bezpośrednią.

2. W górnej części pliku dodaj następujący kod:

   import com.azure.identity.DefaultAzureCredentialBuilder;
   

3. Zidentyfikuj lokalizacje w swoim kodzie, które tworzą obiekt BlobServiceClient w celu połączenia z Azure Blob Storage. Zaktualizuj kod, aby był zgodny z następującym przykładem:

   DefaultAzureCredential credential = new DefaultAzureCredentialBuilder()
       .build();
   String endpoint = 
       String.format("https://%s.blob.core.windows.net", storageAccountName);
   
   BlobServiceClient blobServiceClient = new BlobServiceClientBuilder()
       .endpoint(endpoint)
       .credential(credential)
       .buildClient();
   

1. Aby użyć DefaultAzureCredential w aplikacji Node.js, zainstaluj @azure/identity pakiet:

   npm install --save @azure/identity
   

2. W górnej części pliku dodaj następujący kod:

   import { DefaultAzureCredential } from "@azure/identity";
   

3. Zidentyfikuj lokalizacje w kodzie, które tworzą obiekt do nawiązania połączenia z usługą Azure Blob Storage BlobServiceClient. Zaktualizuj kod, aby był zgodny z następującym przykładem:

   const credential = new DefaultAzureCredential();
   
   const blobServiceClient = new BlobServiceClient(
     `https://${storageAccountName}.blob.core.windows.net`,
     credential
   );    
   

1. Aby użyć DefaultAzureCredential w aplikacji języka Python, zainstaluj azure-identity pakiet:

   pip install azure-identity
   

2. W górnej części pliku dodaj następujący kod:

   from azure.identity import DefaultAzureCredential
   

3. Zidentyfikuj lokalizacje w kodzie, które tworzą obiekt BlobServiceClient, aby połączyć się z Azure Blob Storage. Zaktualizuj kod, aby był zgodny z następującym przykładem:

   credential = DefaultAzureCredential()
   
   blob_service_client = BlobServiceClient(
       account_url = "https://%s.blob.core.windows.net" % storage_account_name,
       credential = credential
   )
   

1. Na górze portalu Azure wyszukaj Zarządzane tożsamości. Wybierz wynik Tożsamości Zarządzanych.
2. Wybierz pozycję + Utwórz w górnej części strony przeglądu tożsamości zarządzanych .
3. Na karcie Podstawy wprowadź następujące wartości:
   • Subskrypcja: wybierz żądaną subskrypcję.
   • Grupa zasobów: wybierz żądaną grupę zasobów.
   • Region: wybierz region w pobliżu lokalizacji.
   • Nazwa: wprowadź rozpoznawalną nazwę tożsamości, taką jak MigrationIdentity.
4. Wybierz pozycję Przejrzyj i utwórz w dolnej części strony.
5. Po zakończeniu sprawdzania poprawności wybierz pozycję Utwórz. Platforma Azure tworzy nową tożsamość przypisaną przez użytkownika.

Po utworzeniu zasobu wybierz pozycję Przejdź do zasobu , aby wyświetlić szczegóły tożsamości zarządzanej.

Użyj polecenia az identity create, aby utworzyć tożsamość zarządzaną przypisaną przez użytkownika:

az identity create --name MigrationIdentity --resource-group <your-resource-group>

Wykonaj następujące kroki w witrynie Azure Portal, aby skojarzyć tożsamość z aplikacją. Te same kroki dotyczą następujących usług platformy Azure:

• Azure Spring Apps
• Aplikacje Kontenerowe Azure
• Maszyny wirtualne platformy Azure
• Azure Kubernetes Service

1. Przejdź do strony przeglądu aplikacji internetowej.

2. Wybierz pozycję Tożsamość z lewego menu nawigacyjnego.

3. Na stronie Tożsamość przejdź do karty Przypisane przez użytkownika.

4. Wybierz + Dodaj, aby otworzyć okno wysuwane Dodawanie tożsamości zarządzanej przypisanej przez użytkownika.

5. Wybierz subskrypcję użytą wcześniej do utworzenia tożsamości.

6. Wyszukaj pozycję MigrationIdentity według nazwy i wybierz ją z wyników wyszukiwania.

7. Wybierz pozycję Dodaj , aby skojarzyć tożsamość z aplikacją.

   

Użyj następujących poleceń interfejsu wiersza polecenia platformy Azure, aby skojarzyć tożsamość z aplikacją:

Pobierz identyfikator tożsamości zarządzanej, utworzonej za pomocą polecenia az identity show. Skopiuj wartość wyjściową do użycia w następnym kroku.

az identity show --name MigrationIdentity -g <your-identity-resource-group-name> --query id

az webapp identity assign \
    --resource-group <resource-group-name> \
    --name <webapp-name>
    --identities <managed-identity-id>

az spring app identity assign \
    --resource-group <resource-group-name> \
    --name <app-name> \
    --service <service-name>
    --user-assigned <managed-identity-id>

az containerapp identity assign \
    --resource-group <resource-group-name> \
    --name <app-name>
    --user-assigned <managed-identity-id>

az vm identity assign \
    --resource-group <resource-group-name> \
    --name <virtual-machine-name>
    --identities <managed-identity-id>

az aks update \
    --resource-group <resource-group-name> \
    --name <cluster-name> \
    --enable-managed-identity \
    --assign-identity <managed-identity-id> \
    --assign-kubelet-identity <managed-identity-id>

Łącznik usług umożliwia utworzenie połączenia między środowiskiem hostingu obliczeniowego platformy Azure i usługą docelową przy użyciu interfejsu wiersza polecenia platformy Azure. Polecenia CLI łącznika usługi automatycznie przypisują odpowiednią rolę dla twojej tożsamości. Możesz dowiedzieć się więcej o łączniku usługi Service Connector i obsługiwanych scenariuszach na stronie przeglądu.

1. Pobierz identyfikator klienta tożsamości zarządzanej utworzonej za pomocą polecenia az identity show. Skopiuj wartość, aby móc ją później wykorzystać.

   az identity show --name MigrationIdentity --resource-group <your-resource-group> --query clientId
   

2. Użyj odpowiedniego polecenia CLI, aby nawiązać połączenie z usługą.

   • Azure App Service
   • Azure Spring Apps
   • Azure Container Apps

   Jeśli używasz usługi Azure App Service, użyj polecenia az webapp connection:

   az webapp connection create storage-blob \
       --resource-group <resource-group-name> \
       --name <webapp-name> \
       --target-resource-group <target-resource-group-name> \
       --account <target-storage-account-name> \
       --user-identity "client-id=<your-identity-client-id>" "subs-id=<your-subscription-id>"
   

1. Przejdź do strony informacji ogólnych konta magazynu i wybierz pozycję Kontrola dostępu (Zarządzanie dostępem i tożsamościami) z menu po lewej stronie.

2. Wybierz pozycję Dodaj przypisanie roli

   

3. W polu wyszukiwania Rola wyszukaj pozycję Współautor danych obiektu blob usługi Storage, która jest wspólną rolą służącą do zarządzania operacjami danych dla obiektów blob. Możesz przypisać dowolną rolę odpowiednią dla danego przypadku użycia. Wybierz Współtwórca danych usługi Azure Blob Storage z listy, a następnie wybierz Dalej.

4. Na ekranie Dodawanie przypisania roli, dla opcji Przypisz dostęp do, wybierz Tożsamość zarządzaną. Następnie wybierz pozycję +Wybierz członków.

5. W oknie wysuwanym wyszukaj tę tożsamość zarządzaną utworzoną według nazwy i wybierz ją z wyników. Wybierz pozycję Wybierz , aby zamknąć menu wysuwane.

   

6. Wybierz Dalej kilka razy, aż będzie można wybrać Przejrzyj i przypisz, aby zakończyć przypisanie roli.

Aby przypisać rolę na poziomie zasobu za pomocą interfejsu wiersza poleceń Azure CLI, najpierw należy pobrać identyfikator zasobu używając polecenia az storage account show. Właściwości wyjściowe można filtrować przy użyciu parametru --query .

az storage account show \
    --resource-group '<your-resource-group-name>' \
    --name '<your-storage-account-name>' \
    --query id

Skopiuj identyfikator wyjściowy z poprzedniego polecenia. Następnie możesz przypisać role przy użyciu polecenia az role assignment w Azure CLI.

az role assignment create \
    --assignee "<your-username>" \
    --role "Storage Blob Data Contributor" \
    --scope "<your-resource-id>"

Jeśli połączyłeś swoje usługi za pomocą Service Connector, nie musisz wykonywać tego kroku. Niezbędne konfiguracje ról zostały skonfigurowane dla ciebie podczas uruchamiania poleceń interfejsu wiersza polecenia Service Connector.