使用服务主体在本地开发期间向 Azure 服务验证 Go 应用

在本地开发期间，应用程序需要向 Azure 进行身份验证才能访问各种 Azure 服务。 本地身份验证的两种常见方法是 使用开发人员帐户 或服务主体。 本文介绍如何使用应用程序服务主体。 在前面的部分中，你将了解：

• 如何使用 Microsoft Entra 注册应用程序以创建服务主体
• 如何使用 Microsoft Entra 组高效管理权限
• 如何将角色分配到范围权限
• 如何使用应用代码中的服务主体进行身份验证

使用专用应用程序服务主体，可以在访问 Azure 资源时遵守最低特权原则。 权限仅限于开发期间应用的特定要求，从而防止意外访问适用于其他应用或服务的 Azure 资源。 此方法还有助于避免在应用移至生产环境时出现的问题，确保其在开发环境中不拥有过多权限。

在 Azure 中注册应用时，会创建应用程序服务主体。 对于本地开发：

• 为每个正在处理应用的开发人员创建单独的应用注册，以确保每个开发人员都有自己的应用程序服务主体，避免需要共享凭据。
• 为每个应用创建单独的应用注册，以仅将应用的权限限制为必需内容。

在本地开发期间，使用应用程序服务主体的标识设置环境变量。 Azure 标识库读取这些环境变量，以向所需的 Azure 资源对应用进行身份验证。

在 Azure 中注册应用

使用 Azure 门户或 Azure CLI 通过 Azure 中的应用注册创建应用程序服务主体对象。

创建用于本地开发的Microsoft Entra 组

创建Microsoft Entra 组来封装应用在本地开发中所需的角色（权限），而不是将角色分配给单个服务主体对象。 此方法具有以下优势：

• 每个开发人员在组级别都分配了相同的角色。
• 如果应用需要新角色，只需将角色添加到应用的组中。
• 如果新开发人员加入团队，则会为开发人员创建一个新的应用程序服务主体并将其添加到组中，确保开发人员有权处理应用。

将角色分配给组

接下来，确定您的应用在何种资源上需要哪些角色（权限），并将这些角色分配给您创建的 Microsoft Entra 组。 可以在资源、资源组或订阅范围内为组分配角色。 此示例演示如何在资源组范围内分配角色，因为大多数应用将其所有 Azure 资源分组到单个资源组中。

设置应用环境变量

该 DefaultAzureCredential 对象将在运行时查找一组环境变量中的服务主体信息。 在开发过程中，由于大多数开发人员要处理多个应用程序，建议使用诸如 godotenv 这样的包，通过存储在应用程序目录中的 .env 文件来访问环境变量。 这会限定用于向 Azure 对应用程序进行身份验证的环境变量的范围，以便它们只能由此应用程序使用。

文件 .env 从不签入源代码管理系统，因为它包含 Azure 的应用程序密钥。 Go 的标准 .gitignore 文件会自动从签入中排除该 .env 文件。

若要使用 godotenv 包，请先在应用程序中安装该包。

go get github.com/joho/godotenv

然后，在应用程序根目录中创建一个 .env 文件。 使用从应用注册过程获取的值设置环境变量值，如下所示：

• AZURE_CLIENT_ID →应用 ID 值。
• AZURE_TENANT_ID →租户 ID 值。
• AZURE_CLIENT_SECRET →为应用生成的密码/凭据。

AZURE_CLIENT_ID=00001111-aaaa-2222-bbbb-3333cccc4444
AZURE_TENANT_ID=aaaabbbb-0000-cccc-1111-dddd2222eeee
AZURE_CLIENT_SECRET=Ee5Ff~6Gg7.-Hh8Ii9Jj0Kk1Ll2Mm3_Nn4Oo5Pp6

最后，在应用程序的启动代码中，使用 godotenv 库从启动时从 .env 文件中读取环境变量。

// Imports of fmt, log, and os omitted for brevity 
import "github.com/joho/godotenv"

environment := os.Getenv("ENVIRONMENT")

if environment == "development" {
	fmt.Println("Loading environment variables from .env file")

	// Load the .env file
	err := godotenv.Load(".env")
	if err != nil {
	    log.Fatalf("Error loading .env file: %v", err)
	}
}

在应用程序中实现 DefaultAzureCredential

若要向 Azure 验证 Azure SDK 客户端对象，应用程序应使用 DefaultAzureCredential 包中的 azidentity 类。 在此方案中， DefaultAzureCredential 将检测环境变量 AZURE_CLIENT_ID， AZURE_TENANT_ID并 AZURE_CLIENT_SECRET 设置并读取这些变量，以获取要连接到 Azure 的应用程序服务主体信息。

首先，将 azidentity 包添加到应用程序。

go get github.com/Azure/azure-sdk-for-go/sdk/azidentity

接下来，对于在应用中创建 Azure SDK 客户端对象的任何 Go 代码，需要：

1. azidentity导入包。
2. 创建DefaultAzureCredential类型的实例。
3. 将类型实例 DefaultAzureCredential 传递给 Azure SDK 客户端构造函数。

以下代码段显示了一个示例。

import (
	"context"

	"github.com/Azure/azure-sdk-for-go/sdk/azidentity"
	"github.com/Azure/azure-sdk-for-go/sdk/storage/azblob"
)

const (
	account       = "https://<replace_with_your_storage_account_name>.blob.core.windows.net/"
	containerName = "sample-container"
	blobName      = "sample-blob"
	sampleFile    = "path/to/sample/file"
)

func main() {
	// create a credential
	cred, err := azidentity.NewDefaultAzureCredential(nil)
	if err != nil {
	  // TODO: handle error
	}

	// create a client for the specified storage account
	client, err := azblob.NewClient(account, cred, nil)
	if err != nil {
	  // TODO: handle error
	}

// TODO: perform some action with the azblob Client
	// _, err = client.DownloadFile(context.TODO(), <containerName>, <blobName>, <target_file>, <DownloadFileOptions>)
}