Como usar identidades gerenciadas com serviços do Azure para se conectar ao Azure Cosmos DB para NoSQL

Use az container create para criar uma nova instância de contêiner. Configure a conta para usar uma identidade gerenciada atribuída ao sistema usando o assign-identity parâmetro.

az container create \
    --resource-group "<name-of-existing-resource-group>" \
    --name "<name-of-new-container>" \
    --image mcr.microsoft.com/dotnet/samples:aspnetapp-chiseled \
    --cpu 1 \
    --memory 2 \
    --assign-identity

Obtenha os detalhes da identidade gerenciada atribuída ao sistema usando az container show e uma consulta JMESPath.

az container show \
    --resource-group "<name-of-existing-resource-group>" \
    --name "<name-of-existing-container>" \
    --query "identity"

Revise a saída do comando. Deve incluir os identificadores únicos da identidade e do inquilino.

{
  "principalId": "aaaaaaaa-bbbb-cccc-1111-222222222222",
  "tenantId": "aaaabbbb-0000-cccc-1111-dddd2222eeee",
  "type": "SystemAssigned",
  "userAssignedIdentities": null
}

Crie um novo arquivo Bicep para definir uma nova instância de contêiner. Nomeie o arquivo container-instance.bicep. Defina estas propriedades para a instância do contêiner:

metadata description = 'Create Azure Container Instance resource with system-assigned managed identity.'

@description('Name of the Azure Container Instances resource.')
param instanceName string

resource instance 'Microsoft.ContainerInstance/containerGroups@2023-05-01' = {
  name: instanceName
  location: resourceGroup().location
  identity: {
    type: 'SystemAssigned'
  }
  properties: {
    osType: 'Linux'
    containers: [
      {
        name: 'aspnet-sample'
        properties: {
          image: 'mcr.microsoft.com/dotnet/samples:aspnetapp-chiseled'
          resources: {
            requests: {
              cpu: 1
              memoryInGB: 2
            }
          }
        }
      }
    ]
  }
}

output systemAssignedIdentity object = instance.identity    

Crie um novo arquivo de parâmetros do Bicep chamado container-instance.bicepparam. Neste arquivo de parâmetros, crie um nome exclusivo para sua instância de contêiner usando o instanceName parâmetro.

using './container-instance.bicep'

param instanceName = '<name-of-new-container-instance>'

Implante o modelo Bicep usando az deployment group createo . Especifique o nome do modelo Bicep, do arquivo de parâmetros e do grupo de recursos do Azure.

az deployment group create \
    --resource-group "<name-of-existing-resource-group>" \
    --parameters "container-instance.bicepparam" \
    --template-file "container-instance.bicep"

Analise a saída da implantação. A saída contém o objeto de identidade da instância de contêiner na properties.outputs.systemAssignedIdentity.value propriedade.

{
  "principalId": "aaaaaaaa-bbbb-cccc-1111-222222222222",
  "tenantId": "aaaabbbb-0000-cccc-1111-dddd2222eeee",
  "type": "SystemAssigned"
}

Entre no portal do Azure (https://portal.azure.com).

Insira Instâncias de Contêiner do Azure na barra de pesquisa global.

Em Serviços, selecione Instâncias de contêiner.

No painel Instâncias de contêiner, selecione Criar.

No painel Noções básicas, configure as seguintes opções e selecione Revisar + criar:

No painel Rever + criar, aguarde até que a validação da sua conta termine com êxito e, em seguida, selecione Criar.

O portal navega automaticamente para o painel Implantação . Aguarde pela conclusão da implementação.

Quando a implantação estiver concluída, selecione Ir para o recurso para navegar até o novo recurso de Instâncias de Contêiner do Azure.

No painel da nova instância de contêiner, selecione Identidade dentro da seção Configurações do menu de serviço.

No painel Identidade, habilite a identidade gerenciada atribuída ao sistema definindo a opção Status como Ativado. Em seguida, selecione Salvar e resolva todos os prompts para confirmar a alteração.

Quando a identidade gerenciada atribuída ao sistema estiver pronta, revise o valor da propriedade ID do objeto (principal). O valor desta propriedade é o identificador exclusivo da identidade.

Crie um objeto que represente um contêiner usando New-AzContainerInstanceObject e armazene-o em uma variável chamada $container. Em seguida, use esse objeto container para criar uma nova instância de contêiner com New-AzContainerGroup. Configure a conta para usar uma identidade gerenciada atribuída ao sistema definindo o IdentityType parâmetro como SystemAssigned.

$parameters = @{
    Name = "aspnet-sample"
    Image = "mcr.microsoft.com/dotnet/samples:aspnetapp-chiseled"
    RequestCpu = 1 
    RequestMemoryInGb = 2
}
$container = New-AzContainerInstanceObject @parameters

$parameters = @{
    ResourceGroupName = "<name-of-existing-resource-group>"
    Name = "<name-of-new-container>"
    Container = $container
    OsType = "Linux"
    Location = "<azure-region>"
    IdentityType = "SystemAssigned"
}
New-AzContainerGroup @parameters

Obtenha os detalhes da identidade gerenciada atribuída ao sistema usando Get-AzContainerGroup e Format-List selecionando apenas a Identity propriedade.

$parameters = @{
    ResourceGroupName = "<name-of-existing-resource-group>"
    Name = "<name-of-existing-container>"
}
Get-AzContainerGroup @parameters | Format-List Identity

Revise a saída do comando. Deve incluir os identificadores únicos da identidade e do inquilino.

Identity : {
             "principalId": "aaaaaaaa-bbbb-cccc-1111-222222222222",
             "tenantId": "aaaabbbb-0000-cccc-1111-dddd2222eeee",
             "type": "SystemAssigned"
           }

Use az identity create para criar uma nova identidade gerenciada atribuída pelo usuário em seu grupo de recursos do Azure.

az identity create \
    --resource-group "<name-of-existing-resource-group>" \
    --name "<name-of-new-managed-identity>"

Obtenha a lista de identidades gerenciadas atribuídas pelo usuário em seu grupo de recursos usando az identity list

az identity list \
    --resource-group "<name-of-existing-resource-group>"    

Revise a saída do comando. Registre o valor do campo à medida que esse identificador de id recurso totalmente qualificado é usado para atribuir a identidade gerenciada atribuída pelo usuário ao seu recurso do Azure.

{
  "clientId": "11112222-bbbb-3333-cccc-4444dddd5555",
  "id": "/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourcegroups/msdocs-identity-example/providers/Microsoft.ManagedIdentity/userAssignedIdentities/msdocs-identity-example-user-assigned",
  "location": "<azure-location>",
  "name": "msdocs-identity-example-user-assigned",
  "principalId": "cccccccc-dddd-eeee-3333-444444444444",
  "resourceGroup": "msdocs-identity-example",
  "systemData": null,
  "tags": {},
  "tenantId": "aaaabbbb-0000-cccc-1111-dddd2222eeee",
  "type": "Microsoft.ManagedIdentity/userAssignedIdentities"
}

Crie um arquivo Bicep para definir uma identidade gerenciada atribuída pelo usuário e nomeie o arquivo user-assigned-managed-identity.bicep. Defina estas propriedades mínimas:

metadata description = 'Create a user-assigned managed identity.'

param identityName string = uniqueString(subscription().id, resourceGroup().id)

resource identity 'Microsoft.ManagedIdentity/userAssignedIdentities@2023-01-31' = {
  name: identityName
  location: resourceGroup().location
}

output id string = identity.id
output name string = identity.name

Implante o modelo Bicep usando az deployment group createo . Especifique o nome do modelo Bicep e do grupo de recursos do Azure.

az deployment group create \
    --resource-group "<name-of-existing-resource-group>" \
    --template-file "user-assigned-managed-identity.bicep"

Analise a saída da implantação. A saída contém o identificador exclusivo da identidade gerenciada na properties.outputs.name.value propriedade. Registre esse valor como ele é necessário usar ao criar um novo recurso do Azure posteriormente neste guia.

{
  "type": "String",
  "value": "msdocs-identity-example-user-assigned"
}

Insira Identidade gerenciada na barra de pesquisa global.

Em Serviços, selecione Identidades gerenciadas.

No painel Instâncias de contêiner, selecione Criar.

No painel Noções básicas, configure as seguintes opções e selecione Revisar + criar:

No painel Rever + criar, aguarde até que a validação da sua conta termine com êxito e, em seguida, selecione Criar.

O portal navega automaticamente para o painel Implantação . Aguarde pela conclusão da implementação.

Aguarde a conclusão da implantação da identidade gerenciada.

Crie uma nova identidade gerenciada atribuída pelo usuário usando New-AzUserAssignedIdentity seu grupo de recursos do Azure.

$parameters = @{
    ResourceGroupName = "<name-of-existing-resource-group>"
    Name = "<name-of-new-managed-identity>"
    Location = "<azure-region>"
}
New-AzUserAssignedIdentity @parameters

Use Get-AzUserAssignedIdentity para obter uma lista de identidades gerenciadas atribuídas pelo usuário em seu grupo de recursos.

$parameters = @{
    ResourceGroupName = "<name-of-existing-resource-group>"
}
Get-AzUserAssignedIdentity @parameters | Format-List Name, Id

Revise a saída do comando. Registre o valor do campo à medida que esse identificador de Id recurso totalmente qualificado é usado para atribuir a identidade gerenciada atribuída pelo usuário ao seu recurso do Azure.

Name : msdocs-identity-example-user-assigned
Id   : /subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourcegroups/msdocs-identity-example/providers/Microsoft.ManagedIdentity/userAssignedIdentities/msdocs-identity-example-user-assigned

Crie um novo plano de serviço de aplicativo usando az appservice plan createo .

az appservice plan create \
    --resource-group "<name-of-existing-resource-group>" \
    --name "<name-of-new-plan>"

Atribua a identidade gerenciada atribuída pelo usuário a um novo aplicativo Web com az webapp createo . Use o id campo registrado anteriormente neste guia como o valor do ssign-identity parâmetro.

az webapp create \
    --resource-group "<name-of-existing-resource-group>" \
    --name "<name-of-existing-web-app>" \
    --plan "<name-of-existing-plan>" \
    --assign-identity "<resource-id-recorded-earlier>"

Obtenha os detalhes de todas as identidades atribuídas a esta conta usando az webapp show e uma consulta JMESPath.

az webapp show \
    --resource-group "<name-of-existing-resource-group>" \
    --name "<name-of-existing-account>" \
    --query "identity"   

Revise a saída do comando. Ele deve incluir a identidade gerenciada atribuída pelo usuário.

{
  "principalId": null,
  "tenantId": null,
  "type": "UserAssigned",
  "userAssignedIdentities": {
    "/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourcegroups/msdocs-identity-example/providers/Microsoft.ManagedIdentity/userAssignedIdentities/msdocs-identity-example-user-assigned": {
      "clientId": "11112222-bbbb-3333-cccc-4444dddd5555",
      "principalId": "cccccccc-dddd-eeee-3333-444444444444"
    }
  }
}

Crie outro arquivo Bicep chamado app-service-web-app.bicep e defina um plano e um aplicativo Web do Serviço de Aplicativo do Azure. Defina estas propriedades para esses recursos:

metadata description = 'Creates an Azure App Service plan and web app with a user-assigned managed identity.'

@description('The name of the app service plan.')
param planName string

@description('The name of the web app.')
param webAppName string

@description('The name of the user-assigned managed identity.')
param identityName string

resource identity 'Microsoft.ManagedIdentity/userAssignedIdentities@2023-01-31' existing = {
  name: identityName
}

resource plan 'Microsoft.Web/serverfarms@2023-12-01' = {
  name: planName
  location: resourceGroup().location
}

resource webApp 'Microsoft.Web/sites@2023-12-01' = {
  name: webAppName
  location: resourceGroup().location
  identity: {
    type: 'UserAssigned'
    userAssignedIdentities: {
      '${identity.id}': {}
    }
  }
  properties: {
    serverFarmId: plan.id
  }
}

output userAssignedIdentity object = webApp.identity

Crie um arquivo de parâmetros do Bicep chamado app-service-web-app.bicepparam. Neste arquivo de parâmetros, crie um nome exclusivo para seu aplicativo Web e planeje usando os planName parâmetros e webAppName respectivamente. Em seguida, forneça o nome da identidade gerenciada atribuída pelo usuário como o valor do identityName parâmetro.

using './app-service-web-app.bicep'

param planName = '<name-of-new-app-service-plan>'
param webAppName = '<name-of-new-web-app>'
param identityName = '<name-of-existing-managed-identity>'

Implante o modelo Bicep usando az deployment group createo . Especifique o nome do modelo Bicep, do arquivo de parâmetros e do grupo de recursos do Azure.

az deployment group create \
    --resource-group "<name-of-existing-resource-group>" \
    --parameters "app-service-web-app.bicepparam" \
    --template-file "app-service-web-app.bicep"

Analise a saída da implantação. A saída contém o objeto de identidade da instância de contêiner na properties.outputs.userAssignedIdentity.value propriedade.

{
  "type": "UserAssigned",
  "userAssignedIdentities": {
    "/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourcegroups/msdocs-identity-example/providers/Microsoft.ManagedIdentity/userAssignedIdentities/msdocs-identity-example-user-assigned": {
      "clientId": "11112222-bbbb-3333-cccc-4444dddd5555",
      "principalId": "cccccccc-dddd-eeee-3333-444444444444"
    }
  }
}

Insira Aplicativo Web na barra de pesquisa global.

Em Serviços, selecione Serviços de Aplicativo.

No painel Serviços de Aplicativo , selecione Criar e, em seguida , Aplicativo Web.

No painel Noções básicas, configure as seguintes opções e selecione Revisar + criar:

No painel Rever + criar, aguarde até que a validação da sua conta termine com êxito e, em seguida, selecione Criar.

O portal navega automaticamente para o painel Implantação . Aguarde pela conclusão da implementação.

Quando a implantação estiver concluída, selecione Ir para o recurso para navegar até o novo recurso de Instâncias de Contêiner do Azure.

No painel da nova instância de contêiner, selecione Identidade dentro da seção Configurações do menu de serviço.

No painel Identidade, selecione a opção Usuário atribuído.

Selecione Adicionar para abrir uma caixa de diálogo para atribuir identidades gerenciadas atribuídas pelo usuário existentes. Na caixa de diálogo, selecione sua identidade gerenciada atribuída pelo usuário existente e, em seguida, selecione Adicionar.

Por fim, revise a lista de identidades gerenciadas atribuídas pelo usuário associadas ao seu aplicativo Web. Ele deve incluir o nome da identidade, o nome do grupo de recursos e o identificador de assinatura.

Use New-AzWebApp para criar um novo aplicativo Web do Serviço de Aplicativo do Azure.

$parameters = @{
    ResourceGroupName = "<name-of-existing-resource-group>"
    Name = "<name-of-new-web-app>"
    Location = "<azure-region>"
}
New-AzWebApp @parameters

Corrija o aplicativo Web recém-criado para definir a identity.type propriedade e UserAssigned adicionar sua identidade gerenciada atribuída pelo usuário existente à identity.userAssignedIdentities propriedade. Para realizar essa tarefa, primeiro forneça o id campo registrado anteriormente neste guia como o valor da identityId variável shell. Em seguida, construa um objeto de carga útil e converta-o em JSON. Finalmente, use Invoke-AzRestMethod com o verbo PATCH HTTP para atualizar o aplicativo Web existente.

$identityId = "<resource-id-recorded-earlier>"

$payload = @{
    identity = @{
        type = "UserAssigned"
        userAssignedIdentities = @{
            "$identityId" = @{}
        }
    }
} | ConvertTo-Json -Depth 3

$parameters = @{
    ResourceGroupName = "<name-of-existing-resource-group>"
    Name = "<name-of-existing-web-app>"
    ResourceProviderName = 'Microsoft.Web'
    ResourceType = 'sites'
    ApiVersion = '2023-12-01'
    Method = 'PATCH'
    Payload = $payload
}
Invoke-AzRestMethod @parameters

Obtenha os detalhes de todas as identidades atribuídas ao aplicativo Web usando Get-AzWebApp, Select-Objecte ConvertTo-Json selecionando apenas a Identity propriedade.

$parameters = @{
    ResourceGroupName = "<name-of-existing-resource-group>"
    Name = "<name-of-existing-web-app>"
}
Get-AzWebApp @parameters | Select-Object Identity | ConvertTo-Json -Depth 3

Revise a saída do comando. Deve incluir os identificadores únicos da identidade e do inquilino.

{
  "Identity": {
    "Type": "UserAssigned",
    "TenantId": null,
    "PrincipalId": null,
    "UserAssignedIdentities": {
      "/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourcegroups/msdocs-identity-example/providers/Microsoft.ManagedIdentity/userAssignedIdentities/msdocs-identity-example-user-assigned": {
        "PrincipalId": "cccccccc-dddd-eeee-3333-444444444444",
        "ClientId": "11112222-bbbb-3333-cccc-4444dddd5555"
      }
    }
  }
}