Verifiëren bij Azure-resources vanuit on-premises JavaScript-apps

Toepassingen die buiten Azure worden uitgevoerd (bijvoorbeeld on-premises of in een datacenter van derden), moeten een service-principal voor toepassingen gebruiken om zich bij Azure te authenticeren wanneer ze toegang zoeken tot Azure-resources. Maak toepassingsservice-principalobjecten via het app-registratieproces in Azure. Wanneer u een toepassingsservice-principal maakt, krijgt u een client-id en clientgeheim voor uw app. Sla de client-id, het clientgeheim en uw tenant-id op in omgevingsvariabelen, zodat de Azure SDK voor JavaScript deze variabelen gebruikt om uw app tijdens runtime bij Azure te verifiëren.

Maak een andere app-registratie voor elke omgeving (zoals test, fase, productie) waarin de app wordt uitgevoerd. Met deze configuratie kunt u omgevingsspecifieke resourcemachtigingen configureren voor elke service-principal en ervoor zorgen dat een app die in de ene omgeving is geïmplementeerd, geen toegang heeft tot Azure-resources in een andere omgeving.

1 - De toepassing registreren in Azure

U kunt een app registreren bij Azure met behulp van Azure Portal of de Azure CLI.

• Azure portal
• Azure CLI

Meld u aan bij Azure Portal en volg deze stappen.

Instructions	Screenshot
In Azure Portal: Voer app-registraties in in de zoekbalk bovenaan Azure Portal. Selecteer het item met het label App-registraties onder de kop Services in het menu dat onder de zoekbalk wordt weergegeven.
Selecteer + Nieuwe registratie op de pagina App-registraties.
Vul op de pagina Een toepassing registreren het formulier als volgt in. Naam → Voer een naam in voor de app-registratie in Azure. Het wordt aanbevolen deze naam op te nemen, zoals de app-naam en -omgeving (test, prod) waarvoor de app-registratie is bedoeld. Ondersteunde accounttypen → Accounts in deze organisatiemap. Selecteer Registreren om uw app te registreren en de service-principal van de toepassing te maken.
Op de pagina App-registratie voor uw app: Toepassings-id (client) → Dit is de app-id die uw app gebruikt voor toegang tot Azure tijdens lokale ontwikkeling. Kopieer deze waarde naar een tijdelijke locatie in een teksteditor, omdat u deze in een toekomstige stap nodig hebt. Map-id (tenant) → Deze waarde is ook nodig voor uw app wanneer deze wordt geverifieerd bij Azure. Kopieer deze waarde naar een tijdelijke locatie in een teksteditor. Deze is ook nodig in een toekomstige stap. Clientreferenties → U moet de clientreferenties voor de app instellen voordat uw app kan worden geverifieerd bij Azure en Azure-services kunt gebruiken. Selecteer Een certificaat of geheim toevoegen om referenties voor uw app toe te voegen.
Selecteer + Nieuw clientgeheim op de pagina Certificaten en geheimen.
Het dialoogvenster Een clientgeheim toevoegen wordt weergegeven aan de rechterkant van de pagina. In dit dialoogvenster: Beschrijving → Voer een waarde van Current in. Verloopt → Selecteer een waarde van 24 maanden. Selecteer Toevoegen om het geheim toe te voegen. BELANGRIJK: Stel een herinnering in uw agenda in vóór de vervaldatum van het geheim. Op deze manier kunt u een nieuw geheim toevoegen vóór en uw apps bijwerken vóór de vervaldatum van dit geheim en een serviceonderbreking in uw app voorkomen.
Op de pagina Certificaten en geheimen wordt de waarde van het clientgeheim weergegeven. Kopieer deze waarde naar een tijdelijke locatie in een teksteditor omdat u deze in een toekomstige stap nodig hebt. BELANGRIJK: Dit is de enige keer dat u deze waarde ziet. Wanneer u deze pagina verlaat of vernieuwt, kunt u deze waarde niet meer zien. U kunt een ander clientgeheim toevoegen zonder dit clientgeheim ongeldig te maken, maar u ziet deze waarde niet meer.

2 - Rollen toewijzen aan de service-principal van de toepassing

Bepaal vervolgens welke rollen (machtigingen) uw app nodig heeft voor welke resources en wijs deze rollen toe aan uw app. Wijs rollen toe aan het bereik van de resource, resourcegroep of abonnement. In dit voorbeeld ziet u hoe u rollen toewijst voor de service-principal binnen het bereik van de resourcegroep, omdat de meeste toepassingen al hun Azure-resources groeperen in één resourcegroep.

• Azure portal
• Azure CLI

Instructions	Screenshot
Zoek de resourcegroep voor uw toepassing door te zoeken naar de naam van de resourcegroep met behulp van het zoekvak boven aan Azure Portal. Navigeer naar uw resourcegroep door de naam van de resourcegroep te selecteren onder de kop Resourcegroepen in het dialoogvenster.
Selecteer op de pagina voor de resourcegroep toegangsbeheer (IAM) in het menu aan de linkerkant.
Op de pagina Toegangsbeheer (IAM): Selecteer het tabblad Roltoewijzingen. Selecteer + Toevoegen in het bovenste menu en voeg vervolgens roltoewijzing toe in de resulterende vervolgkeuzelijst.
De pagina Roltoewijzing toevoegen bevat alle rollen die kunnen worden toegewezen voor de resourcegroep. Gebruik het zoekvak om de lijst te filteren op een beter beheerbare grootte. In dit voorbeeld ziet u hoe u filtert op Storage Blob-rollen. Selecteer de rol die u wilt toewijzen. Selecteer Volgende om naar het volgende scherm te gaan.
Op de volgende pagina Roltoewijzing toevoegen kunt u opgeven aan welke gebruiker de rol moet toewijzen. Selecteer Gebruiker, groep of service-principal onder Toegang toewijzen aan. Selecteer + Leden selecteren onder Leden Aan de rechterkant van Azure Portal wordt een dialoogvenster geopend.
In het dialoogvenster Leden selecteren : Het tekstvak Selecteren kan worden gebruikt om de lijst met gebruikers en groepen in uw abonnement te filteren. Typ indien nodig de eerste paar tekens van de service-principal die u voor de app hebt gemaakt om de lijst te filteren. Selecteer de service-principal die aan uw toepassing is gekoppeld. Selecteer Selecteren onderaan het dialoogvenster om door te gaan.
De service-principal wordt weergegeven als geselecteerd in het scherm Roltoewijzing toevoegen. Selecteer Beoordelen + toewijzen om naar de laatste pagina te gaan en vervolgens opnieuw beoordelen en toewijzen om het proces te voltooien.

3 - Omgevingsvariabelen configureren voor toepassing

Stel de AZURE_CLIENT_ID, AZURE_TENANT_IDen AZURE_CLIENT_SECRET omgevingsvariabelen in voor het proces waarmee uw JavaScript-app wordt uitgevoerd. U dient de referenties van de toepassingsservice principal tijdens de uitvoeringstijd beschikbaar te maken voor uw app. Het DefaultAzureCredential object zoekt naar de informatie van de service-principal in deze omgevingsvariabelen.

AZURE_CLIENT_ID=<value>
AZURE_TENANT_ID=<value>
AZURE_CLIENT_SECRET=<value>

4 - DefaultAzureCredential implementeren in de toepassing

Als u Azure SDK-clientobjecten wilt verifiëren bij Azure, gebruikt u de DefaultAzureCredential klasse uit het @azure/identiteitspakket .

Voeg eerst het @azure/identiteitspakket toe aan uw toepassing.

npm install @azure/identity

Voer vervolgens de volgende stappen uit voor javaScript-code waarmee een Azure SDK-clientobject in uw app wordt gemaakt:

1. Importeer de DefaultAzureCredential klasse uit de @azure/identity module.
2. Maak een DefaultAzureCredential object.
3. Geef het DefaultAzureCredential object door aan de objectconstructor van de Azure SDK-client.

Een voorbeeld van deze code wordt weergegeven in het volgende codesegment.

// connect-with-default-azure-credential.js
import { BlobServiceClient } from '@azure/storage-blob';
import { DefaultAzureCredential } from '@azure/identity';
import 'dotenv/config'

const accountName = process.env.AZURE_STORAGE_ACCOUNT_NAME;
if (!accountName) throw Error('Azure Storage accountName not found');

const blobServiceClient = new BlobServiceClient(
  `https://${accountName}.blob.core.windows.net`,
  new DefaultAzureCredential()
);

Wanneer de code het DefaultAzureCredential object instantieert, leest DefaultAzureCredential de omgevingsvariabelen AZURE_SUBSCRIPTION_ID, AZURE_TENANT_ID, AZURE_CLIENT_ID en AZURE_CLIENT_SECRET voor de informatie van de service-principal van de toepassing om verbinding te maken met Azure.