Usar identidades gerenciadas para o Serviço de Aplicativo e o Azure Functions

1. No portal do Azure, vá para a página do seu aplicativo.

2. No menu à esquerda, selecione Configurações>Identidade.

3. Na guia Sistema atribuído, alterne Estado para Ativado. Em seguida, selecione Guardar.

Execute o az webapp identity assign comando:

az webapp identity assign --resource-group <group-name> --name <app-name> 

Para o Serviço de Aplicações

Execute o Set-AzWebApp -AssignIdentity comando:

Set-AzWebApp -AssignIdentity $true -ResourceGroupName <group-name>  -Name <app-name>

Para funções

Execute o Update-AzFunctionApp -IdentityType comando:

Update-AzFunctionApp -ResourceGroupName <group-name> -Name <function-app-name>  -IdentityType SystemAssigned

Você pode usar um modelo do Azure Resource Manager para automatizar a implantação de seus recursos do Azure. Para saber mais, consulte Automatizar a implantação de recursos no Serviço de Aplicativo e Automatizar a implantação de recursos no Azure Functions.

Você pode criar qualquer recurso do tipo Microsoft.Web/sites com uma identidade incluindo a seguinte propriedade na definição de recurso:

"identity": {
    "type": "SystemAssigned"
}

Adicionar o tipo atribuído pelo sistema informa ao Azure para criar e gerenciar a identidade para seu aplicativo.

Por exemplo, o modelo de um aplicativo Web pode se parecer com o seguinte JSON:

{
    "apiVersion": "2022-03-01",
    "type": "Microsoft.Web/sites",
    "name": "[variables('appName')]",
    "location": "[resourceGroup().location]",
    "identity": {
        "type": "SystemAssigned"
    },
    "properties": {
        "name": "[variables('appName')]",
        "serverFarmId": "[resourceId('Microsoft.Web/serverfarms', variables('hostingPlanName'))]",
        "hostingEnvironment": "",
        "clientAffinityEnabled": false,
        "alwaysOn": true
    },
    "dependsOn": [
        "[resourceId('Microsoft.Web/serverfarms', variables('hostingPlanName'))]"
    ]
}

Quando o site é criado, ele inclui as seguintes propriedades:

"identity": {
    "type": "SystemAssigned",
    "tenantId": "<tenant-id>",
    "principalId": "<principal-id>"
}

A tenantId propriedade identifica a qual locatário do Microsoft Entra a identidade pertence. A principalId propriedade é um identificador exclusivo para a nova identidade do aplicativo. Na Microsoft Entra ID, o principal de serviço tem os mesmos nomes que você deu à sua instância do App Service ou do Azure Functions.

Se você precisar fazer referência a essas propriedades em um estágio posterior no modelo, use a reference() função de modelo com a 'Full' opção, como neste exemplo:

{
    "tenantId": "[reference(resourceId('Microsoft.Web/sites', variables('appName')), '2018-02-01', 'Full').identity.tenantId]",
    "objectId": "[reference(resourceId('Microsoft.Web/sites', variables('appName')), '2018-02-01', 'Full').identity.principalId]",
}

1. Crie um recurso de identidade gerenciado atribuído pelo usuário de acordo com estas instruções.

2. No menu esquerdo da página do seu aplicativo, selecione Configurações>Identidade.

3. Selecione Usuário atribuído e, em seguida, selecione Adicionar.

4. Procure a identidade que criou anteriormente, selecione-a e, em seguida, selecione Adicionar.

Depois de concluir estas etapas, o aplicativo é reiniciado.

1. Crie uma identidade atribuída pelo usuário:

   az identity create --resource-group <group-name> --name <identity-name>
   

2. Execute o az webapp identity assign comando para atribuir a identidade ao aplicativo:

   az webapp identity assign --resource-group <group-name> --name <app-name> --identities <identity-id>
   

Para o Serviço de Aplicações

Atualmente, não há suporte para a adição de uma identidade atribuída pelo usuário no Serviço de Aplicativo usando o Azure PowerShell.

Para funções

1. Crie uma identidade atribuída pelo usuário:

   Install-Module -Name Az.ManagedServiceIdentity -AllowPrerelease
   $userAssignedIdentity = New-AzUserAssignedIdentity -Name <identity-name> -ResourceGroupName <group-name> -Location <region>
   

2. Execute o Update-AzFunctionApp -IdentityType UserAssigned -IdentityId comando para atribuir a identidade no Functions:

   Update-AzFunctionApp -Name <app-name> -ResourceGroupName <group-name> -IdentityType UserAssigned -IdentityId $userAssignedIdentity.Id
   

Você pode usar um modelo do Azure Resource Manager para automatizar a implantação de seus recursos do Azure. Para saber mais, consulte Automatizar a implantação de recursos no Serviço de Aplicativo e Automatizar a implantação de recursos no Azure Functions.

Você pode criar qualquer recurso do tipo Microsoft.Web/sites com uma identidade incluindo o seguinte bloco na definição de recurso. Substitua <resource-id> pelo ID de recurso da identidade desejada.

"identity": {
    "type": "UserAssigned",
    "userAssignedIdentities": {
        "<resource-id>": {}
    }
}

Ao adicionar o tipo atribuído pelo utilizador, indica ao Azure para usar a identidade atribuída pelo utilizador que especificou para a sua aplicação.

Por exemplo, o modelo de um aplicativo Web pode se parecer com o seguinte JSON:

{
    "apiVersion": "2022-03-01",
    "type": "Microsoft.Web/sites",
    "name": "[variables('appName')]",
    "location": "[resourceGroup().location]",
    "identity": {
        "type": "UserAssigned",
        "userAssignedIdentities": {
            "[resourceId('Microsoft.ManagedIdentity/userAssignedIdentities', variables('identityName'))]": {}
        }
    },
    "properties": {
        "name": "[variables('appName')]",
        "serverFarmId": "[resourceId('Microsoft.Web/serverfarms', variables('hostingPlanName'))]",
        "hostingEnvironment": "",
        "clientAffinityEnabled": false,
        "alwaysOn": true
    },
    "dependsOn": [
        "[resourceId('Microsoft.Web/serverfarms', variables('hostingPlanName'))]",
        "[resourceId('Microsoft.ManagedIdentity/userAssignedIdentities', variables('identityName'))]"
    ]
}

Quando o site é criado, ele inclui as seguintes propriedades:

"identity": {
    "type": "UserAssigned",
    "userAssignedIdentities": {
        "<resource-id>": {
            "principalId": "<principal-id>",
            "clientId": "<client-id>"
        }
    }
}

A principalId propriedade é um identificador exclusivo para a identidade usada para a administração do Microsoft Entra. A clientId propriedade é um identificador exclusivo para a nova identidade do aplicativo. Usa-se para especificar qual identidade usar durante as chamadas em tempo de execução.

Uma solicitação HTTP GET bruta usa as duas variáveis de ambiente fornecidas e se parece com o exemplo a seguir:

GET /MSI/token?resource=https://vault.azure.net&api-version=2019-08-01 HTTP/1.1
Host: <ip-address-:-port-in-IDENTITY_ENDPOINT>
X-IDENTITY-HEADER: <value-of-IDENTITY_HEADER>

Um exemplo de resposta pode ser semelhante ao exemplo a seguir:

HTTP/1.1 200 OK
Content-Type: application/json

{
    "access_token": "eyJ0eXAi…",
    "expires_on": "1586984735",
    "resource": "https://vault.azure.net",
    "token_type": "Bearer",
    "client_id": "00001111-aaaa-2222-bbbb-3333cccc4444"
}

Esta resposta é a mesma que a resposta para a solicitação de token de acesso de serviço a serviço do Microsoft Entra. Para aceder ao Cofre de Chaves, adicione o valor de access_token a uma ligação de cliente com o cofre.

Para aplicativos e funções .NET, a maneira mais simples de trabalhar com uma identidade gerenciada é por meio da biblioteca de cliente do Azure Identity para .NET. Para obter mais informações, consulte Tutorial: Conectar-se a bancos de dados do Azure a partir do Serviço de Aplicativo sem segredos usando uma identidade gerenciada.

Para obter mais informações, consulte os respetivos títulos de documentação da biblioteca do cliente:

• Adicionar a biblioteca de cliente do Azure Identity ao seu projeto
• Acessar um serviço do Azure usando uma identidade atribuída ao sistema
• Acessar um serviço do Azure usando uma identidade atribuída pelo usuário

Os exemplos vinculados usam DefaultAzureCredential. O mesmo padrão funciona no Azure com identidades gerenciadas e em sua máquina local sem identidades gerenciadas.

Para aplicativos Node.js e funções JavaScript, a maneira mais simples de trabalhar com uma identidade gerenciada é por meio da biblioteca de cliente do Azure Identity para JavaScript. Para obter mais informações, consulte Tutorial: Conectar-se a bancos de dados do Azure a partir do Serviço de Aplicativo sem segredos usando uma identidade gerenciada.

Para obter mais informações, consulte os respetivos títulos de documentação da biblioteca do cliente:

• Adicionar uma biblioteca de cliente do Azure Identity ao seu projeto
• Acessar um serviço do Azure usando uma identidade atribuída ao sistema
• Acessar um serviço do Azure usando uma identidade atribuída pelo usuário

Os exemplos vinculados usam DefaultAzureCredential. O mesmo padrão funciona no Azure com identidades gerenciadas e em sua máquina local sem identidades gerenciadas.

Para obter mais exemplos de código da biblioteca de cliente do Azure Identity para JavaScript, consulte Exemplos do Azure Identity.

Para aplicativos e funções Python, a maneira mais simples de trabalhar com uma identidade gerenciada é por meio da biblioteca de cliente do Azure Identity para Python. Para obter mais informações, consulte Tutorial: Conectar-se a bancos de dados do Azure a partir do Serviço de Aplicativo sem segredos usando uma identidade gerenciada.

Para obter mais informações, consulte os respetivos títulos de documentação da biblioteca do cliente:

• Adicionar uma biblioteca de cliente do Azure Identity ao seu projeto
• Acessar um serviço do Azure usando uma identidade atribuída ao sistema
• Acessar um serviço do Azure usando uma identidade atribuída pelo usuário

Os exemplos vinculados usam DefaultAzureCredential. O mesmo padrão funciona no Azure com identidades gerenciadas e em sua máquina local sem identidades gerenciadas.

Para aplicativos e funções Java, a maneira mais simples de trabalhar com uma identidade gerenciada é por meio da biblioteca de cliente do Azure Identity para Java. Para obter mais informações, consulte Tutorial: Conectar-se a bancos de dados do Azure a partir do Serviço de Aplicativo sem segredos usando uma identidade gerenciada.

Para obter mais informações, consulte os respetivos títulos de documentação da biblioteca do cliente:

• Adicionar uma biblioteca de cliente do Azure Identity ao seu projeto
• Acessar um serviço do Azure usando uma identidade atribuída ao sistema
• Acessar um serviço do Azure usando uma identidade atribuída pelo usuário

Os exemplos vinculados usam DefaultAzureCredential. O mesmo padrão funciona no Azure com identidades gerenciadas e em sua máquina local sem identidades gerenciadas.

Para obter mais exemplos de código da biblioteca de cliente do Azure Identity para Java, consulte Exemplos de Identidade do Azure.

Use o script a seguir para recuperar um token do ponto de extremidade local especificando um URI de recurso de um serviço do Azure:

$resourceURI = "https://<Entra-resource-URI-for-resource-to-obtain-token>"
$tokenAuthURI = $env:IDENTITY_ENDPOINT + "?resource=$resourceURI&api-version=2019-08-01"
$tokenResponse = Invoke-RestMethod -Method Get -Headers @{"X-IDENTITY-HEADER"="$env:IDENTITY_HEADER"} -Uri $tokenAuthURI
$accessToken = $tokenResponse.access_token

1. No menu esquerdo da página do seu aplicativo, selecione Configurações>Identidade.

2. Siga as etapas com base no tipo de identidade:

   • Para uma identidade atribuída pelo sistema: na guia Sistema atribuído , alterne Status para Desativado. Em seguida, selecione Guardar.
   • Para uma identidade atribuída pelo usuário: selecione a guia Usuário atribuído , marque a caixa de seleção da identidade e selecione Remover. Selecione Sim para confirmar.

Para remover a identidade atribuída ao sistema, use este comando:

az webapp identity remove --resource-group <group-name> --name <app-name>

Para remover uma ou mais identidades atribuídas pelo usuário, use este comando:

az webapp identity remove --resource-group <group-name> --name <app-name> --identities <identity-id1> <identity-id2> ...

Você também pode remover a identidade atribuída ao sistema especificando [system] em --identities.

Para o Serviço de Aplicações

Para remover uma identidade atribuída pelo sistema para o Serviço de Aplicativo, execute o Set-AzWebApp -AssignIdentity comando:

Set-AzWebApp -AssignIdentity $false -Name <app-name> -ResourceGroupName <group-name> 

Para funções

Para remover todas as identidades no Azure PowerShell (somente Azure Functions), execute este comando:

# Update an existing function app to have IdentityType "None".
Update-AzFunctionApp -Name <function-app-name> -ResourceGroupName <group-name> -IdentityType None

Para remover todas as identidades em um modelo ARM, use este código:

"identity": {
    "type": "None"
}