App Service 및 Azure Functions에 대한 관리 ID를 사용하는 방법

1. 왼쪽 탐색 창의 설정 그룹 아래에 있는 Azure Portal 앱의 설정에 액세스합니다.

2. ID를 선택합니다.

3. 시스템 할당 탭에서 상태를 켜기로 바꿉니다. 저장을 클릭합니다.

   

az webapp identity assign 명령을 실행하여 시스템 할당 ID를 만듭니다.

az webapp identity assign --name myApp --resource-group myResourceGroup

App Service의 경우

Set-AzWebApp -AssignIdentity 명령을 실행하여 App Service에 대한 시스템 할당 ID를 만듭니다.

Set-AzWebApp -AssignIdentity $true -Name <app-name> -ResourceGroupName <group-name> 

함수의 경우

Update-AzFunctionApp -IdentityType 명령을 실행하여 함수 앱에 대한 시스템 할당 ID를 만듭니다.

Update-AzFunctionApp -Name $functionAppName -ResourceGroupName $resourceGroupName -IdentityType SystemAssigned

Azure Resource Manager 템플릿을 사용하여 Azure 리소스 배포를 자동화할 수 있습니다. App Service 및 Functions에 배포하는 방법에 대한 자세한 내용은 App Service에서 리소스 배포 자동화 및 Azure Functions에서 리소스 배포 자동화를 참조하세요.

모든 Microsoft.Web/sites 유형의 리소스는 ID를 사용하여 리소스 정의에 다음 속성을 포함하는 방법으로 만들 수 있습니다.

"identity": {
    "type": "SystemAssigned"
}

시스템 할당 형식을 추가하면 애플리케이션에 대한 ID를 만들어서 관리하라고 Azure에 알려주는 것입니다.

예를 들어 웹앱의 템플릿은 다음 JSON과 같을 수 있습니다.

{
    "apiVersion": "2022-03-01",
    "type": "Microsoft.Web/sites",
    "name": "[variables('appName')]",
    "location": "[resourceGroup().location]",
    "identity": {
        "type": "SystemAssigned"
    },
    "properties": {
        "name": "[variables('appName')]",
        "serverFarmId": "[resourceId('Microsoft.Web/serverfarms', variables('hostingPlanName'))]",
        "hostingEnvironment": "",
        "clientAffinityEnabled": false,
        "alwaysOn": true
    },
    "dependsOn": [
        "[resourceId('Microsoft.Web/serverfarms', variables('hostingPlanName'))]"
    ]
}

사이트가 생성되면 다음과 같은 추가 속성이 있습니다.

"identity": {
    "type": "SystemAssigned",
    "tenantId": "<tenant-id>",
    "principalId": "<principal-id>"
}

tenantId 속성은 ID가 속한 Microsoft Entra 테넌트를 식별합니다. principalId는 애플리케이션 새 ID의 고유 식별자입니다. Microsoft Entra ID 내에서 서비스 주체는 사용자가 App Service 또는 Azure Functions 인스턴스에 지정한 이름과 동일한 이름을 갖습니다.

템플릿의 이후 단계에서 이러한 속성을 참조해야 하는 경우 다음 예제와 같이 'Full' 플래그를 사용하여 reference()템플릿 함수를 통해 수행할 수 있습니다.

{
    "tenantId": "[reference(resourceId('Microsoft.Web/sites', variables('appName')), '2018-02-01', 'Full').identity.tenantId]",
    "objectId": "[reference(resourceId('Microsoft.Web/sites', variables('appName')), '2018-02-01', 'Full').identity.principalId]",
}

먼저, 사용자 할당 ID 리소스를 만들어야 합니다.

1. 이러한 지침에 따라 사용자 할당 관리 ID 리소스를 만듭니다.

2. 앱 페이지의 왼쪽 탐색 영역에서 설정 그룹으로 아래로 스크롤합니다.

3. ID를 선택합니다.

4. 사용자 할당>추가를 선택합니다.

5. 이전에 만든 ID를 검색하여 선택한 후 추가를 선택합니다.

   

   추가를 선택하면 앱이 다시 시작됩니다.

1. 사용자 할당 ID를 만듭니다.

   az identity create --resource-group <group-name> --name <identity-name>
   

2. az webapp identity assign 명령을 실행하여 앱에 ID를 할당합니다.

   az webapp identity assign --resource-group <group-name> --name <app-name> --identities <identity-id>
   

App Service의 경우

App Service에서 사용자 할당 ID 추가는 현재 지원되지 않습니다.

함수의 경우

1. 사용자 할당 ID를 만듭니다.

   Install-Module -Name Az.ManagedServiceIdentity -AllowPrerelease
   $userAssignedIdentity = New-AzUserAssignedIdentity -Name $userAssignedIdentityName -ResourceGroupName <group-name>
   

2. Update-AzFunctionApp -IdentityType UserAssigned -IdentityId 명령을 실행하여 함수에 ID를 할당합니다.

   Update-AzFunctionApp -Name <app-name> -ResourceGroupName <group-name> -IdentityType UserAssigned -IdentityId $userAssignedIdentity.Id
   

Azure Resource Manager 템플릿을 사용하여 Azure 리소스 배포를 자동화할 수 있습니다. App Service 및 Functions에 배포하는 방법에 대한 자세한 내용은 App Service에서 리소스 배포 자동화 및 Azure Functions에서 리소스 배포 자동화를 참조하세요.

모든 Microsoft.Web/sites 형식의 리소스는 <resource-id>를 원하는 ID의 리소스 ID로 바꿔 리소스 정의에 다음 블록을 포함한 ID로 만들 수 있습니다.

"identity": {
    "type": "UserAssigned",
    "userAssignedIdentities": {
        "<resource-id>": {}
    }
}

사용자 할당 형식을 추가하면 Azure에서 애플리케이션에 대해 지정된 사용자 할당 ID를 사용하도록 지시하게 됩니다.

예를 들어 웹앱의 템플릿은 다음 JSON과 같을 수 있습니다.

{
    "apiVersion": "2022-03-01",
    "type": "Microsoft.Web/sites",
    "name": "[variables('appName')]",
    "location": "[resourceGroup().location]",
    "identity": {
        "type": "UserAssigned",
        "userAssignedIdentities": {
            "[resourceId('Microsoft.ManagedIdentity/userAssignedIdentities', variables('identityName'))]": {}
        }
    },
    "properties": {
        "name": "[variables('appName')]",
        "serverFarmId": "[resourceId('Microsoft.Web/serverfarms', variables('hostingPlanName'))]",
        "hostingEnvironment": "",
        "clientAffinityEnabled": false,
        "alwaysOn": true
    },
    "dependsOn": [
        "[resourceId('Microsoft.Web/serverfarms', variables('hostingPlanName'))]",
        "[resourceId('Microsoft.ManagedIdentity/userAssignedIdentities', variables('identityName'))]"
    ]
}

사이트가 생성되면 다음과 같은 추가 속성이 있습니다.

"identity": {
    "type": "UserAssigned",
    "userAssignedIdentities": {
        "<resource-id>": {
            "principalId": "<principal-id>",
            "clientId": "<client-id>"
        }
    }
}

principalId는 Microsoft Entra 관리에 사용되는 ID의 고유 식별자입니다. clientId는 런타임 호출 중 사용할 ID 지정에 사용하는 애플리케이션의 새 ID에 대한 고유 식별자입니다.

원시 HTTP GET 요청은 제공된 두 환경 변수를 사용하며 다음 예제와 같습니다.

GET /MSI/token?resource=https://vault.azure.net&api-version=2019-08-01 HTTP/1.1
Host: <ip-address-:-port-in-IDENTITY_ENDPOINT>
X-IDENTITY-HEADER: <value-of-IDENTITY_HEADER>

샘플 응답은 다음과 유사할 수 있습니다.

HTTP/1.1 200 OK
Content-Type: application/json

{
    "access_token": "eyJ0eXAi…",
    "expires_on": "1586984735",
    "resource": "https://vault.azure.net",
    "token_type": "Bearer",
    "client_id": "00001111-aaaa-2222-bbbb-3333cccc4444"
}

이 응답은 Microsoft Entra 서비스 간 액세스 토큰 요청에 대한 응답과 동일합니다. Key Vault에 액세스하려면 자격 증명 모음을 사용하여 클라이언트 연결에 access_token 값을 추가합니다.

.NET 앱 및 함수의 경우 .NET용 Azure ID 클라이언트 라이브러리를 통해 관리 ID를 사용하는 것이 가장 간단한 방법입니다. 자세한 지침은 자습서: 관리 ID를 사용하여 비밀 없이 App Service에서 Azure 데이터베이스에 연결을 참조하세요.

자세한 내용은 클라이언트 라이브러리의 해당 설명서 제목을 참조하세요.

• 프로젝트에 Azure ID 클라이언트 라이브러리 추가
• 시스템 할당 ID를 사용하여 Azure 서비스에 액세스
• 사용자 할당 ID를 사용하여 Azure 서비스에 액세스

연결된 예제에서는 DefaultAzureCredential을 사용합니다. 동일한 패턴이 Azure(관리 ID 포함) 및 로컬 머신(관리 ID 제외)에서 작동하기 때문에 대부분의 시나리오에 유용합니다.

Node.js 앱 및 JavaScript 함수의 경우 JavaScript용 Azure ID 클라이언트 라이브러리를 통해 관리 ID를 사용하는 것이 가장 간단한 방법입니다. 자세한 지침은 자습서: 관리 ID를 사용하여 비밀 없이 App Service에서 Azure 데이터베이스에 연결을 참조하세요.

자세한 내용은 클라이언트 라이브러리의 해당 설명서 제목을 참조하세요.

• 프로젝트에 Azure ID 클라이언트 라이브러리 추가
• 시스템 할당 ID를 사용하여 Azure 서비스에 액세스
• 사용자 할당 ID를 사용하여 Azure 서비스에 액세스

연결된 예제에서는 DefaultAzureCredential을 사용합니다. 동일한 패턴이 Azure(관리 ID 포함) 및 로컬 머신(관리 ID 제외)에서 작동하기 때문에 대부분의 시나리오에 유용합니다.

JavaScript용 Azure ID 클라이언트 라이브러리의 코드 예제에 대한 자세한 내용은 Azure ID 예제를 참조하세요.

Python 앱 및 함수의 경우 Python용 Azure ID 클라이언트 라이브러리를 통해 관리 ID를 사용하는 것이 가장 간단한 방법입니다. 자세한 지침은 자습서: 관리 ID를 사용하여 비밀 없이 App Service에서 Azure 데이터베이스에 연결을 참조하세요.

자세한 내용은 클라이언트 라이브러리의 해당 설명서 제목을 참조하세요.

• 프로젝트에 Azure ID 클라이언트 라이브러리 추가
• 시스템 할당 ID를 사용하여 Azure 서비스에 액세스
• 사용자 할당 ID를 사용하여 Azure 서비스에 액세스

연결된 예제에서는 DefaultAzureCredential을 사용합니다. 동일한 패턴이 Azure(관리 ID 포함) 및 로컬 머신(관리 ID 제외)에서 작동하기 때문에 대부분의 시나리오에 유용합니다.

Java 앱 및 함수의 경우 Java용 Azure ID 클라이언트 라이브러리를 통해 관리 ID를 사용하는 것이 가장 간단한 방법입니다. 자세한 지침은 자습서: 관리 ID를 사용하여 비밀 없이 App Service에서 Azure 데이터베이스에 연결을 참조하세요.

자세한 내용은 클라이언트 라이브러리의 해당 설명서 제목을 참조하세요.

• 프로젝트에 Azure ID 클라이언트 라이브러리 추가
• 시스템 할당 ID를 사용하여 Azure 서비스에 액세스
• 사용자 할당 ID를 사용하여 Azure 서비스에 액세스

연결된 예제에서는 DefaultAzureCredential을 사용합니다. 동일한 패턴이 Azure(관리 ID 포함) 및 로컬 머신(관리 ID 제외)에서 작동하기 때문에 대부분의 시나리오에 유용합니다.

Java용 Azure ID 클라이언트 라이브러리의 코드 예제에 대한 자세한 내용은 Azure ID 예제를 참조하세요.

다음 스크립트를 사용하여 Azure 서비스의 리소스 URI를 지정하여 로컬 엔드포인트에서 토큰을 검색합니다.

$resourceURI = "https://<AAD-resource-URI-for-resource-to-obtain-token>"
$tokenAuthURI = $env:IDENTITY_ENDPOINT + "?resource=$resourceURI&api-version=2019-08-01"
$tokenResponse = Invoke-RestMethod -Method Get -Headers @{"X-IDENTITY-HEADER"="$env:IDENTITY_HEADER"} -Uri $tokenAuthURI
$accessToken = $tokenResponse.access_token

1. 앱 페이지의 왼쪽 탐색 영역에서 설정 그룹으로 아래로 스크롤합니다.

2. ID를 선택합니다. 그런 다음, ID 유형에 따라 단계를 수행합니다.

   • 시스템 할당 ID: 시스템 할당 탭 내에서 상태를 끄기로 전환합니다. 저장을 클릭합니다.
   • 사용자 할당 ID: 사용자 할당 탭을 선택하고 ID에 대한 확인란을 선택한 다음, 제거를 선택합니다. 예를 선택하여 확인합니다.

시스템 할당 ID를 제거하려면 다음을 수행합니다.

az webapp identity remove --name <app-name> --resource-group <group-name>

하나 이상의 사용자 할당 ID를 제거하려면 다음을 수행합니다.

az webapp identity remove --name <app-name> --resource-group <group-name> --identities <identity-id1> <identity-id2> ...

--identities에서 [system]을 지정하여 시스템 할당 ID를 제거할 수도 있습니다.

App Service의 경우

Set-AzWebApp -AssignIdentity 명령을 실행하여 App Service에 대한 시스템 할당 ID를 제거합니다.

Set-AzWebApp -AssignIdentity $false -Name <app-name> -ResourceGroupName <group-name> 

함수의 경우

Azure PowerShell에서 모든 ID를 제거하는 방법(Azure Functions만 해당):

# Update an existing function app to have IdentityType "None".
Update-AzFunctionApp -Name $functionAppName -ResourceGroupName $resourceGroupName -IdentityType None

ARM 템플릿에서 모든 ID를 제거하려면 다음을 수행합니다.

"identity": {
    "type": "None"
}