Exercício - Criar uma identidade de carga de trabalho

Para trabalhar com identidades de carga de trabalho no Azure, inicie sessão na sua conta do Azure a partir do terminal do Visual Studio Code. Certifique-se de ter instalado as ferramentas da CLI do Azure.

1. No menu Terminal, selecione Novo Terminal. A janela do terminal geralmente abre na metade inferior da tela.

   O shell padrão é normalmente pwsh, como mostrado no lado direito da janela do terminal.

   

2. Selecione a lista suspensa Iniciar perfil e, em seguida, selecione Azure Cloud Shell (Bash).

   

   Um novo shell se abre.

Entrar no Azure usando a CLI do Azure

1. No terminal do Visual Studio Code, execute o seguinte comando para entrar no Azure:

   az login
   

2. No browser que se abre, inicie sessão na sua conta do Azure.

Para implantar esse modelo no Azure, entre em sua conta do Azure a partir do terminal do Visual Studio Code. Certifique-se de que instalou o Azure PowerShell e inicie sessão na mesma conta que utilizou para ativar a sandbox.

1. No menu Terminal, selecione Novo Terminal. A janela do terminal geralmente abre na metade inferior da tela.

   O shell padrão é normalmente pwsh, como mostrado no lado direito da janela do terminal.

   

2. Selecione a lista suspensa Iniciar perfil e, em seguida, selecione Azure Cloud Shell (PowerShell).

   

   Um novo shell se abre.

Iniciar sessão no Azure com o Azure PowerShell

1. No terminal do Visual Studio Code, execute o seguinte comando para entrar no Azure:

   Connect-AzAccount
   

2. No browser que se abre, inicie sessão na sua conta do Azure.

Para criar a identidade da carga de trabalho, os comandos da CLI do Azure usam jq para analisar dados da saída JSON. Se você não tiver jq instalado, poderá usar o Bash no Azure Cloud Shell para criar a identidade da carga de trabalho, o grupo de recursos e a atribuição de função e preparar os segredos do GitHub.

1. Execute o código a seguir para definir variáveis para seu nome de usuário do GitHub e seu nome de repositório. Certifique-se de substituir mygithubuser pelo seu nome de usuário do GitHub, que você anotou na unidade de exercício anterior.

   githubOrganizationName='mygithubuser'
   githubRepositoryName='toy-website-workflow'
   

2. Execute o código a seguir, que cria uma identidade de carga de trabalho e a associa ao repositório GitHub:

   applicationRegistrationDetails=$(az ad app create --display-name 'toy-website-workflow')
   applicationRegistrationObjectId=$(echo $applicationRegistrationDetails | jq -r '.id')
   applicationRegistrationAppId=$(echo $applicationRegistrationDetails | jq -r '.appId')
   
   az ad app federated-credential create \
      --id $applicationRegistrationObjectId \
      --parameters "{\"name\":\"toy-website-workflow\",\"issuer\":\"https://token.actions.githubusercontent.com\",\"subject\":\"repo:${githubOrganizationName}/${githubRepositoryName}:ref:refs/heads/main\",\"audiences\":[\"api://AzureADTokenExchange\"]}"
   

1. Execute o código a seguir para definir variáveis para seu nome de usuário do GitHub e seu nome de repositório. Certifique-se de substituir mygithubuser pelo seu nome de usuário do GitHub, que você anotou na unidade de exercício anterior.

   $githubOrganizationName = 'mygithubuser'
   $githubRepositoryName = 'toy-website-workflow'
   

2. Execute o código a seguir, que cria uma identidade de carga de trabalho e a associa ao repositório GitHub:

   $applicationRegistration = New-AzADApplication -DisplayName 'toy-website-workflow'
   
   New-AzADAppFederatedCredential `
      -Name 'toy-website-workflow' `
      -ApplicationObjectId $applicationRegistration.Id `
      -Issuer 'https://token.actions.githubusercontent.com' `
      -Audience 'api://AzureADTokenExchange' `
      -Subject "repo:$($githubOrganizationName)/$($githubRepositoryName):ref:refs/heads/main"
   

Para criar um novo grupo de recursos e conceder acesso à identidade da carga de trabalho a ele, execute este comando da CLI do Azure no terminal do Visual Studio Code:

resourceGroupResourceId=$(az group create --name ToyWebsite --location westus3 --query id --output tsv)

az ad sp create --id $applicationRegistrationObjectId
az role assignment create \
   --assignee $applicationRegistrationAppId \
   --role Contributor \
   --scope $resourceGroupResourceId

Para criar um grupo de recursos e conceder acesso à identidade da sua carga de trabalho a ele, execute este comando do Azure PowerShell no terminal do Visual Studio Code:

$resourceGroup = New-AzResourceGroup -Name ToyWebsite -Location westus3

New-AzADServicePrincipal -AppId $applicationRegistration.AppId
New-AzRoleAssignment `
   -ApplicationId $($applicationRegistration.AppId) `
   -RoleDefinitionName Contributor `
   -Scope $resourceGroup.ResourceId

echo "AZURE_CLIENT_ID: $applicationRegistrationAppId"
echo "AZURE_TENANT_ID: $(az account show --query tenantId --output tsv)"
echo "AZURE_SUBSCRIPTION_ID: $(az account show --query id --output tsv)"

$azureContext = Get-AzContext
Write-Host "AZURE_CLIENT_ID: $($applicationRegistration.AppId)"
Write-Host "AZURE_TENANT_ID: $($azureContext.Tenant.Id)"
Write-Host "AZURE_SUBSCRIPTION_ID: $($azureContext.Subscription.Id)"