Ejemplo: Acceso a Azure Storage con las bibliotecas de Azure para Python

DefaultAzureCredential es una cadena de credenciales preconfigurada. Está diseñada para admitir muchos entornos, junto con los flujos de autenticación y las herramientas de desarrollo más comunes. Una instancia de DefaultAzureCredential determina para qué tipos de credenciales intentar obtener un token basándose en una combinación de su entorno en tiempo de ejecución, el valor de ciertas variables de entorno bien conocidas y, opcionalmente, los parámetros pasados a su constructor.

En los siguientes pasos, se configura una entidad de seguridad de servicio de aplicación como identidad de la aplicación. Las entidades de seguridad del servicio de aplicaciones son adecuadas para su uso tanto durante el desarrollo local como para aplicaciones alojadas en las instalaciones. Para configurar DefaultAzureCredential para usar la entidad de seguridad del servicio de aplicaciones, debe establecer las siguientes variables de entorno: AZURE_CLIENT_ID, AZURE_TENANT_ID y AZURE_CLIENT_SECRET.

Observe que se ha configurado un secreto de cliente. Esto es necesario para una entidad de seguridad de servicio de aplicación, pero, dependiendo de su escenario, también puede configurar DefaultAzureCredential para usar de credenciales que no requieran establecer un secreto o contraseña en una variable de entorno.

Por ejemplo, en el desarrollo local, si DefaultAzureCredential no puede obtener un token usando variables de entorno configuradas, se intenta obtener uno usando el usuario (ya) registrado en herramientas de desarrollo como Azure CLI; para una aplicación alojada en Azure, se puede configurar DefaultAzureCredential para usar una identidad administrada. En todos los casos, el código de su aplicación sigue siendo el mismo, solo cambia la configuración y/o el entorno de ejecución.

1. Cree un archivo llamado use_blob_auth.py con el código siguiente. Los pasos se explican en los comentarios.

   import os
   import uuid
   
   from azure.identity import DefaultAzureCredential
   
   # Import the client object from the SDK library
   from azure.storage.blob import BlobClient
   
   credential = DefaultAzureCredential()
   
   # Retrieve the storage blob service URL, which is of the form
   # https://<your-storage-account-name>.blob.core.windows.net/
   storage_url = os.environ["AZURE_STORAGE_BLOB_URL"]
   
   # Create the client object using the storage URL and the credential
   blob_client = BlobClient(
       storage_url,
       container_name="blob-container-01",
       blob_name=f"sample-blob-{str(uuid.uuid4())[0:5]}.txt",
       credential=credential,
   )
   
   # Open a local file and upload its contents to Blob Storage
   with open("./sample-source.txt", "rb") as data:
       blob_client.upload_blob(data)
       print(f"Uploaded sample-source.txt to {blob_client.url}")
   

   Vínculos de referencia:

   • DefaultAzureCredential (azure.identity)
   • BlobClient (azure.storage.blob)

2. Cree una variable de entorno llamada AZURE_STORAGE_BLOB_URL:

   • cmd
   • bash

   set AZURE_STORAGE_BLOB_URL=https://pythonazurestorage12345.blob.core.windows.net
   

   Reemplace "pythonazurestorage12345" por el nombre de su cuenta de almacenamiento.

   En este ejemplo solo se usa la variable de entorno AZURE_STORAGE_BLOB_URL. Las bibliotecas de Azure no la usan.

3. Use el comando az ad sp create-for-rbac para crear una entidad de servicio nueva para la aplicación. El comando crea el registro de aplicación para la aplicación al mismo tiempo. Asigne a la entidad de servicio un nombre de su elección.

   az ad sp create-for-rbac --name <service-principal-name>
   

   El resultado de este comando tendrá un aspecto similar al siguiente. Anote estos valores o mantenga esta ventana abierta, ya que necesitará estos valores en el paso siguiente y no podrá volver a ver el valor de la contraseña (secreto del cliente). Sin embargo, si es necesario, se puede agregar una nueva contraseña posteriormente sin invalidar la entidad de servicio ni las contraseñas existentes.

   {
     "appId": "00001111-aaaa-2222-bbbb-3333cccc4444",
     "displayName": "<service-principal-name>",
     "password": "Aa1Bb~2Cc3.-Dd4Ee5Ff6Gg7Hh8Ii9_Jj0Kk1Ll2",
     "tenant": "aaaabbbb-0000-cccc-1111-dddd2222eeee"
   }
   

   Los comandos de la CLI de Azure se pueden ejecutar en Azure Cloud Shell o en una estación de trabajo que tenga la CLI de Azure instalada.

4. Cree variables de entorno para la entidad de servicio de la aplicación:

   Cree las siguientes variables de entorno con los valores de la salida del comando anterior. Estas variables indican a DefaultAzureCredential que debe usar la entidad de servicio de la aplicación.

   • AZURE_CLIENT_ID → Valor del id. de la aplicación.
   • AZURE_TENANT_ID → Valor del id. de inquilino.
   • AZURE_CLIENT_SECRET → Contraseña o credencial generada para la aplicación.
   • cmd
   • bash

   set AZURE_CLIENT_ID=00001111-aaaa-2222-bbbb-3333cccc4444
   set AZURE_TENANT_ID=aaaabbbb-0000-cccc-1111-dddd2222eeee
   set AZURE_CLIENT_SECRET=Aa1Bb~2Cc3.-Dd4Ee5Ff6Gg7Hh8Ii9_Jj0Kk1Ll2
   

5. Intente ejecutar el código (que produce un error de forma intencionada):

   python use_blob_auth.py
   

6. Observe el error "Esta solicitud no está autorizada para realizar esta operación mediante este permiso". Este error es esperado, porque la entidad de servicio local que se está usando aún no tiene permiso para acceder al contenedor de blobs.

7. Conceda permisos de Colaborador de Storage Blob Data en el contenedor blob al service principal usando el comando az role assignment create de Azure CLI:

   az role assignment create --assignee <AZURE_CLIENT_ID> \
       --role "Storage Blob Data Contributor" \
       --scope "/subscriptions/<AZURE_SUBSCRIPTION_ID>/resourceGroups/PythonAzureExample-Storage-rg/providers/Microsoft.Storage/storageAccounts/pythonazurestorage12345/blobServices/default/containers/blob-container-01"
   

   El argumento --assignee identifica la entidad de servicio. Reemplace el marcador de posición <AZURE_CLIENT_ID> por el identificador de aplicación de la entidad de servicio.

   El argumento --scope identifica dónde se aplica esta asignación de roles. En este ejemplo, concederá el rol "Colaborador de datos de blobs de almacenamiento" a la entidad de servicio para el contenedor específico denominado "blob-container-01".

   • Reemplace PythonAzureExample-Storage-rg y pythonazurestorage12345 por el grupo de recursos que contiene la cuenta de almacenamiento y el nombre exacto de la cuenta de almacenamiento. Además, ajuste el nombre del contenedor de blobs, si es necesario. Si usa un nombre incorrecto, aparecerá el error "No se puede realizar la operación solicitada en el recurso anidado. No se encontró el recurso primario 'pythonazurestorage12345'".

   • Reemplace el marcador de posición <AZURE_SUBSCRIPTION_ID> por su identificador de suscripción de Azure. (Puede ejecutar el comando az account show y obtener el identificador de suscripción de la propiedad id en la salida).

   Sugerencia

   Si el comando de asignación de roles devuelve un error "No se encontraron adaptadores de conexión" al usar el shell de Bash, intente establecer export MSYS_NO_PATHCONV=1 para evitar la traducción de rutas de acceso. Para más información, consulta esta propuesta.

8. Espere un minuto o dos para que los permisos se propaguen y, después, vuelva a ejecutar el código para comprobar que ahora funciona. Si vuelve a ver el error de permisos, espere un poco más y vuelva a probar el código.

Para más información sobre las asignaciones de roles, consulte Incorporación o eliminación de asignaciones de roles de Azure mediante la CLI de Azure.

Una cadena de conexión incluye la clave de acceso de la cuenta de almacenamiento y la usa para autorizar solicitudes. Tenga siempre cuidado de no exponer nunca las claves en una ubicación no segura.

1. Cree un archivo de Python llamado use_blob_conn_string.py con el siguiente código. Los pasos se explican en los comentarios.

   import os
   import uuid
   
   # Import the client object from the SDK library
   from azure.storage.blob import BlobClient
   
   # Retrieve the connection string from an environment variable. Note that a
   # connection string grants all permissions to the caller, making it less
   # secure than obtaining a BlobClient object using credentials.
   conn_string = os.environ["AZURE_STORAGE_CONNECTION_STRING"]
   
   # Create the client object for the resource identified by the connection
   # string, indicating also the blob container and the name of the specific
   # blob we want.
   blob_client = BlobClient.from_connection_string(
       conn_string,
       container_name="blob-container-01",
       blob_name=f"sample-blob-{str(uuid.uuid4())[0:5]}.txt",
   )
   
   # Open a local file and upload its contents to Blob Storage
   with open("./sample-source.txt", "rb") as data:
       blob_client.upload_blob(data)
       print(f"Uploaded sample-source.txt to {blob_client.url}")
   

2. Cree una variable de entorno denominada AZURE_STORAGE_CONNECTION_STRING, cuyo valor es la cadena de conexión completa de la cuenta de almacenamiento. (Esta variable de entorno también la usan varios comentarios de la CLI de Azure). Para obtener la cadena de conexión de la cuenta de almacenamiento, ejecute el comando az storage account show-connection-string.

   az storage account show-connection-string --resource-group PythonAzureExample-Storage-rg --name pythonazurestorage12345
   

   Reemplace PythonAzureExample-Storage-rg y pythonazurestorage12345 por el grupo de recursos que contiene la cuenta de almacenamiento y el nombre exacto de la cuenta de almacenamiento.

   Al establecer la variable de entorno, use el valor completo de la propiedad connectionString en la salida, incluidas las comillas.

3. Ejecute el código:

   python use_blob_conn_string.py
   

De nuevo, aunque este método es sencillo, una cadena de conexión autoriza todas las operaciones de una cuenta de almacenamiento. Con el código de producción, es mejor usar permisos específicos, tal y como se describe en la sección anterior.