Autenticar aplicativos .NET nos serviços do Azure durante o desenvolvimento local usando entidades de serviço

1. No portal do Azure, use a barra de pesquisa para navegar até a página Registros de aplicativo.

2. Na páginaRegistros de aplicativo, selecione + Novo registro.

3. Na página Registrar um aplicativo:

   • Para o campo Nome, insira um valor descritivo que inclui o nome do aplicativo e o ambiente de destino.
   • Para os Tipos de conta com suporte, selecione Contas somente neste diretório organizacional (somente cliente da Microsoft – Locatário único) ou qualquer opção que melhor atenda às suas necessidades.

4. Selecione Registrar para registrar seu aplicativo e criar a entidade de serviço.

   

5. Na página Registro do aplicativo , copie a ID do aplicativo (cliente) e a ID do diretório (locatário) e cole-as em um local temporário para uso posterior nas configurações do código do aplicativo.

6. Selecione Adicionar um certificado ou um secreto para configurar credenciais para seu aplicativo.

7. Na página Certificados e segredos, selecione + Novo segredo do cliente.

8. No painel de submenu Adicionar um segredo do cliente que se abre:

   • Para a Descrição, insira um valor para Atual.
   • Para o valor de expiração , deixe o valor padrão recomendado de 180 dias.
   • Selecione Adicionar para adicionar o segredo.

9. Na página Certificados e segredos, copie a propriedade Value do segredo do cliente para uso em uma etapa futura.

   Nota

   O valor do segredo do cliente só é exibido uma vez depois que o registro do aplicativo é criado. Você pode adicionar mais segredos do cliente sem invalidar esse segredo do cliente, mas não há como exibir esse valor novamente.

Os comandos da CLI do Azure podem ser executados no do Azure Cloud Shell ou em uma estação de trabalho com a CLI do Azure instalada.

1. Use o comando az ad sp create-for-rbac para criar um registro de aplicativos e a entidade de serviço do aplicativo.

   az ad sp create-for-rbac --name <service-principal-name>
   

   A saída desse comando é semelhante ao seguinte JSON:

   {
     "appId": "00000000-0000-0000-0000-000000000000",
     "displayName": "<service-principal-name>",
     "password": "abcdefghijklmnopqrstuvwxyz",
     "tenant": "11111111-1111-1111-1111-111111111111"
   }
   

2. Copie essa saída em um arquivo temporário em um editor de texto, pois você precisará desses valores em uma etapa futura.

   Nota

   O valor do segredo do cliente só é exibido uma vez depois que o registro do aplicativo é criado. Você pode adicionar mais segredos do cliente sem invalidar esse segredo do cliente, mas não há como exibir esse valor novamente.

1. Navegue até a página de visão geral do Microsoft Entra ID no portal do Azure.

2. Selecione Todos os grupos no menu à esquerda.

3. Na página Grupos, selecione Novo grupo.

4. Na página Novo grupo , preencha os seguintes campos do formulário:

   • Tipo de grupo: selecione Segurança.
   • Nome do grupo: insira um nome para o grupo que inclui uma referência ao nome do aplicativo ou do ambiente.
   • Descrição do grupo: insira uma descrição que explique a finalidade do grupo.

   

5. Selecione o link Nenhum membro selecionado em Membros para adicionar membros ao grupo.

6. No painel de submenu que é aberto, procure a entidade de serviço que você criou anteriormente e selecione-a nos resultados filtrados. Escolha o botão Selecionar na parte inferior do painel para confirmar a seleção.

7. Selecione Criar na parte inferior da página do Novo grupo para criar o grupo e retornar à página Todos os grupos. Se você não vir o novo grupo listado, aguarde um momento e atualize a página.

1. Use o comando az ad group create para criar os grupos no Microsoft Entra ID.

   az ad group create \
       --display-name <group-name> \
       --mail-nickname <group-mail-nickname> \
       --description <group-description>
   

   Os parâmetros --display-name e --mail-nickname são necessários. O nome dado ao grupo deve ser baseado no nome e no ambiente do aplicativo para indicar a finalidade do grupo.

2. Para adicionar membros ao grupo, você precisará da ID do objeto da entidade de serviço do aplicativo, que é diferente da ID do aplicativo. Use o comando az ad sp list para listar as entidades de serviço disponíveis:

   az ad sp list \
       --filter "startswith(displayName, '<group-name>')" \
       --query "[].{objectId:id, displayName:displayName}"
   

   O parâmetro --filter aceita filtros no estilo OData e pode ser usado para filtrar a lista, conforme mostrado. O parâmetro --query limita a saída apenas às colunas de interesse.

3. Use o comando az ad group member add para adicionar os membros ao grupo.

   az ad group member add \
       --group <group-name> \
       --member-id <object-id>
   

1. No portal do Azure, navegue até a página visão geral do grupo de recursos que contém seu aplicativo.

2. Selecione Controle de acesso (IAM) na navegação à esquerda.

3. Na página Controle de acesso (IAM), selecione + Adicionar e escolha Adicionar atribuição de função no menu suspenso. A página Adicionar atribuição de função fornece várias guias para configurar e atribuir as funções.

4. Na guia Função, use a caixa de pesquisa para localizar a função que você deseja atribuir. Selecione a função e escolha Avançar.

5. Na guia Membros:

   • Para o valor Atribuir acesso a, selecione Usuário, grupo ou entidade de serviço
   • Para o valor Membros, escolha + Selecionar membros para abrir o painel de submenu Selecionar membros.
   • Pesquise o grupo do Microsoft Entra criado anteriormente e selecione-o nos resultados filtrados. Escolha Selecionar para escolher o grupo e fechar o painel de menu.
   • Selecione Revisar + atribuir na parte inferior da guia Membros.

   

6. Na guia Revisar + atribuir, selecione Revisar + atribuir na parte inferior da página.

1. Use o comando az role definition list para obter os nomes das funções às quais um grupo ou entidade de serviço do Microsoft Entra pode ser atribuído:

   az role definition list \
       --query "sort_by([].{roleName:roleName, description:description}, &roleName)" \
       --output table
   

2. Use o comando az role assignment create para atribuir uma função ao grupo do Microsoft Entra que você criou:

   az role assignment create \
       --assignee "<group-object-Id>" \
       --role "<role-name>" \
       --resource-group "<resource-group-name>"
   

   Para obter informações sobre como atribuir permissões no nível de recurso ou assinatura usando a CLI do Azure, consulte Atribuir funções do Azure usando a CLI do Azure.

No Visual Studio, as variáveis de ambiente podem ser definidas no arquivo launchsettings.json na pasta Properties do projeto. Esses valores são extraídos automaticamente quando o aplicativo é iniciado. No entanto, essas configurações não viajam com seu aplicativo durante a implantação, portanto, você precisa configurar variáveis de ambiente em seu ambiente de hospedagem de destino.

"profiles": {
    "SampleProject": {
      "commandName": "Project",
      "dotnetRunMessages": true,
      "launchBrowser": true,
      "applicationUrl": "https://localhost:7177;http://localhost:5177",
      "environmentVariables": {
        "ASPNETCORE_ENVIRONMENT": "Development",
        "AZURE_CLIENT_ID": "<your-client-id>",
        "AZURE_TENANT_ID":"<your-tenant-id>",
        "AZURE_CLIENT_SECRET": "<your-client-secret>"
      }
    },
    "IIS Express": {
      "commandName": "IISExpress",
      "launchBrowser": true,
      "environmentVariables": {
        "ASPNETCORE_ENVIRONMENT": "Development",
        "AZURE_CLIENT_ID": "<your-client-id>",
        "AZURE_TENANT_ID":"<your-tenant-id>",
        "AZURE_CLIENT_SECRET": "<your-client-secret>"
      }
    }
  }

No Visual Studio Code, as variáveis de ambiente podem ser definidas no arquivo launch.json do projeto. Esses valores são extraídos automaticamente quando o aplicativo é iniciado. No entanto, essas configurações não viajam com seu aplicativo durante a implantação, portanto, você precisa configurar variáveis de ambiente em seu ambiente de hospedagem de destino.

"configurations": [
{
    "env": {
        "ASPNETCORE_ENVIRONMENT": "Development",
        "AZURE_CLIENT_ID": "<your-client-id>",
        "AZURE_TENANT_ID":"<your-tenant-id>",
        "AZURE_CLIENT_SECRET": "<your-client-secret>"
    }
}

Você pode definir variáveis de ambiente para o Windows na linha de comando. No entanto, os valores são acessíveis a todos os aplicativos em execução nesse sistema operacional e podem causar conflitos, portanto, tenha cuidado com essa abordagem. As variáveis de ambiente podem ser definidas no nível do usuário ou do sistema.

# Set user environment variables
setx ASPNETCORE_ENVIRONMENT "Development"
setx AZURE_CLIENT_ID "<your-client-id>"
setx AZURE_TENANT_ID "<your-tenant-id>"
setx AZURE_CLIENT_SECRET "<your-client-secret>"

# Set system environment variables - requires running as admin
setx ASPNETCORE_ENVIRONMENT "Development" /m
setx AZURE_CLIENT_ID "<your-client-id>" /m
setx AZURE_TENANT_ID "<your-tenant-id>" /m
setx AZURE_CLIENT_SECRET "<your-client-secret>" /m

O PowerShell também pode ser usado para definir variáveis de ambiente no nível do usuário ou do sistema:

# Set user environment variables
[Environment]::SetEnvironmentVariable("ASPNETCORE_ENVIRONMENT", "Development", "User")
[Environment]::SetEnvironmentVariable("AZURE_CLIENT_ID", "<your-client-id>", "User")
[Environment]::SetEnvironmentVariable("AZURE_TENANT_ID", "<your-tenant-id>", "User")
[Environment]::SetEnvironmentVariable("AZURE_CLIENT_SECRET", "<your-client-secret>", "User")

# Set system environment variables - requires running as admin
[Environment]::SetEnvironmentVariable("ASPNETCORE_ENVIRONMENT", "Development", "Machine")
[Environment]::SetEnvironmentVariable("AZURE_CLIENT_ID", "<your-client-id>", "Machine")
[Environment]::SetEnvironmentVariable("AZURE_TENANT_ID", "<your-tenant-id>", "Machine")
[Environment]::SetEnvironmentVariable("AZURE_CLIENT_SECRET", "<your-client-secret>", "Machine")

Em um terminal de sua escolha, navegue até o diretório do projeto de aplicativo e execute os seguintes comandos:

dotnet add package Azure.Identity
dotnet add package Microsoft.Extensions.Azure

Clique com o botão direito do mouse no projeto na janela do Gerenciador de Soluções do Visual Studio e selecione Gerenciar Pacotes NuGet. Pesquise por Azure.Identitye instale o pacote correspondente. Repita esse processo para o pacote Microsoft.Extensions.Azure.