Migrieren einer Node.js-Anwendung zur Verwendung kennwortloser Verbindungen mit Azure SQL-Datenbank

Artikel
12/29/2023

Anwendungsanforderungen an Azure SQL-Datenbank müssen authentifiziert werden. Obwohl es mehrere Optionen für die Authentifizierung bei Azure SQL-Datenbank gibt, sollten Sie nach Möglichkeit kennwortlose Verbindungen in Ihren Anwendungen priorisieren. Traditionelle Authentifizierungsmethoden, die Kennwörter oder geheime Schlüsseln verwenden, sind mit Sicherheitsrisiken und Komplikationen verbunden. Besuchen Sie den Hub für kennwortlose Verbindungen für Azure-Dienste, um mehr über die Vorteile der Umstellung auf kennwortlose Verbindungen zu erfahren.

Im folgenden Tutorial wird erläutert, wie eine vorhandene Node.js-Anwendung zur Verbindungsherstellung mit Azure SQL-Datenbank migriert werden kann, um kennwortlose Verbindungen anstelle einer Lösung mit Benutzername und Kennwort zu verwenden.

Konfigurieren der Azure SQL-Datenbank

Kennwortlose Verbindungen verwenden die Microsoft Entra-Authentifizierung für die Verbindung zu Azure-Diensten, einschließlich Azure SQL Database. Mit der Microsoft Entra-Authentifizierung können Sie Identitäten an einem zentralen Ort verwalten und so die Rechteverwaltung vereinfachen. Weitere Informationen finden Sie unter Konfigurieren der Microsoft Entra-Authentifizierung in einer Azure SQL-Datenbank.

Stellen Sie für diesen Migrationsleitfaden sicher, dass Ihrer Instanz von Azure SQL-Datenbank ein*e Azure AD-Administrator*in zugewiesen ist.

Navigieren Sie zur Microsoft EntraSeite Ihres logischen Servers.
Wählen Sie Administrator festlegen aus, um den Bereich Microsoft Entra ID zu öffnen.
Suchen Sie im Flyout-Menü Microsoft Entra ID nach dem Benutzer, den Sie als Administrator zuweisen möchten.
Wählen Sie den Benutzer bzw. die Benutzerin und dann Auswählen aus.

Konfigurieren Ihrer lokalen Entwicklungsumgebung

Kennwortlose Verbindungen können so konfiguriert werden, dass sie sowohl für lokale als auch für in Azure gehostete Umgebungen funktionieren. In diesem Abschnitt wenden Sie Konfigurationen an, damit sich einzelne Benutzer*innen bei Azure SQL-Datenbank für die lokale Entwicklung authentifizieren können.

Stellen Sie bei der lokalen Entwicklung sicher, dass Sie mit demselben Azure AD-Konto angemeldet sind, das Sie für den Zugriff auf Azure SQL-Datenbank verwenden möchten. Sie können sich über gängige Entwicklungstools wie die Azure-Befehlszeilenschnittstelle (CLI) oder Azure PowerShell authentifizieren. Die Entwicklungstools, mit denen Sie sich authentifizieren können, variieren je nach Sprache.

Melden Sie sich mit dem folgenden Befehl über die Azure-Befehlszeilenschnittstelle bei Azure an:

az login

Sie müssen die Azure CLI installieren, um mit DefaultAzureCredential über Visual Studio Code arbeiten zu können.

Navigieren Sie im Hauptmenü von Visual Studio Code zu Terminal > Neues Terminal.

Melden Sie sich mit dem folgenden Befehl über die Azure-Befehlszeilenschnittstelle bei Azure an:

az login

Melden Sie sich mithilfe von PowerShell über den folgenden Befehl bei Azure an:

Connect-AzAccount

Erstellen von Datenbankbenutzer*innen und Zuweisen von Rollen

Erstellen Sie einen Benutzer bzw. eine Benutzerin in Azure SQL-Datenbank. Die Benutzer*innen sollten dem Azure-Konto entsprechen, das Sie zur lokalen Anmeldung im Abschnitt Anmeldung bei Azure verwendet haben.

Navigieren Sie im Azure-Portal zu Ihrer SQL-Datenbank-Instanz, und wählen Sie Abfrage-Editor (Vorschau) aus.
Wählen Sie auf der rechten Seite des Bildschirms Weiter als <your-username> aus, um sich mit Ihrem Konto bei der Datenbank anzumelden.
Führen Sie in der Abfrage-Editor-Ansicht die folgenden T-SQL-Befehle aus:
```
CREATE USER [user@domain] FROM EXTERNAL PROVIDER;
ALTER ROLE db_datareader ADD MEMBER [user@domain];
ALTER ROLE db_datawriter ADD MEMBER [user@domain];
ALTER ROLE db_ddladmin ADD MEMBER [user@domain];
GO
```
Durch das Ausführen dieser Befehle wird dem angegebenen Konto die Rolle SQL-DB-Mitwirkender zugewiesen. Diese Rolle erlaubt es der Identität, die Daten und das Schema Ihrer Datenbank zu lesen, zu schreiben und zu ändern. Weitere Informationen zu den zugewiesenen Rollen finden Sie unter Feste Datenbankrollen.

Aktualisieren der lokalen Verbindungskonfiguration

Erstellen Sie Umgebungseinstellungen für Ihre Anwendung.

AZURE_SQL_SERVER=<YOURSERVERNAME>.database.windows.net
AZURE_SQL_DATABASE=<YOURDATABASENAME>
AZURE_SQL_PORT=1433

Vorhandener Anwendungscode, der mit dem Node.js-SQL-Treiber – tedious eine Verbindung mit Azure SQL-Datenbank herstellt, funktioniert mit geringfügigen Änderungen auch mit kennwortlosen Verbindungen. Um eine benutzerseitig zugewiesene verwaltete Identität zu verwenden, übergeben Sie die Eigenschaften authentication.type und options.clientId.

import sql from 'mssql';

// Environment settings - no user or password
const server = process.env.AZURE_SQL_SERVER;
const database = process.env.AZURE_SQL_DATABASE;
const port = parseInt(process.env.AZURE_SQL_PORT);

// Passwordless configuration
const config = {
    server,
    port,
    database,
    authentication: {
        type: 'azure-active-directory-default',
    },
    options: {
        encrypt: true,
        clientId: process.env.AZURE_CLIENT_ID  // <----- user-assigned managed identity        
    }
};

// Existing applicaton code
export default class Database {
    config = {};
    poolconnection = null;
    connected = false;

    constructor(config) {
        this.config = config;
        console.log(`Database: config: ${JSON.stringify(config)}`);
    }

    async connect() {
        try {
            console.log(`Database connecting...${this.connected}`);
            if (this.connected === false) {
                this.poolconnection = await sql.connect(this.config);
                this.connected = true;
                console.log('Database connection successful');
            } else {
                console.log('Database already connected');
            }
        } catch (error) {
            console.error(`Error connecting to database: ${JSON.stringify(error)}`);
        }
    }

    async disconnect() {
        try {
            this.poolconnection.close();
            console.log('Database connection closed');
        } catch (error) {
            console.error(`Error closing database connection: ${error}`);
        }
    }

    async executeQuery(query) {
        await this.connect();
        const request = this.poolconnection.request();
        const result = await request.query(query);

        return result.rowsAffected[0];
    }
}

const databaseClient = new Database(config);
const result = await databaseClient.executeQuery(`select * from mytable where id = 10`);

Die Umgebungsvariable AZURE_CLIENT_ID wird später in diesem Tutorial erstellt.

Testen der App

Führen Sie Ihre App lokal aus, und überprüfen Sie, ob die Verbindungen mit Azure SQL-Datenbank wie erwartet funktionieren. Denken Sie daran, dass es einige Minuten dauern kann, bis die Azure-Benutzer*innen und -Rollen in der Azure-Umgebung weitergegeben werden. Ihre Anwendung ist jetzt so konfiguriert, dass sie lokal ausgeführt werden kann, ohne dass Entwickler*innen Geheimnisse in der Anwendung selbst verwalten müssen.

Konfigurieren der Azure-Hostingumgebung

Sobald Ihre App für die lokale Verwendung kennwortloser Verbindungen konfiguriert ist, kann sich derselbe Code nach der Bereitstellung in Azure bei Azure SQL-Datenbank authentifizieren. In den folgenden Abschnitten wird erläutert, wie Sie eine bereitgestellte Anwendung so konfigurieren, dass sie mithilfe einer verwalteten Identität eine Verbindung mit Azure SQL-Datenbank herstellt. Verwaltete Identitäten bieten eine automatisch verwaltete Identität in Microsoft Entra ID (früher Azure Active Directory), die Anwendungen verwenden können, wenn sie sich mit Ressourcen verbinden, die die Microsoft Entra-Authentifizierung unterstützen. Weitere Informationen zu verwalteten Identitäten:

Erstellen Sie die verwaltete Identität

Erstellen Sie eine benutzerseitig zugewiesene verwaltete Identität über das Azure-Portal oder mithilfe der Azure CLI. Ihre Anwendung verwendet die Identität zur Identifizierung bei anderen Diensten.

Azure portal
Azure-Befehlszeilenschnittstelle

Suchen Sie oben im Azure-Portal nach Verwaltete Identitäten. Wählen Sie das Ergebnis Verwaltete Identitäten aus.
Wählen Sie oben auf der Übersichtsseite Verwaltete Identitäten die Option + Erstellen aus.
Geben Sie auf der Registerkarte Grundlagen die folgenden Werte ein:
- Abonnement: Wählen Sie Ihr gewünschtes Abonnement aus.
- Ressourcengruppe: Wählen Sie die gewünschte Ressourcengruppe aus.
- Region: Wählen Sie eine Region in Ihrer Nähe aus.
- Name: Geben Sie einen erkennbaren Namen für Ihre Identität ein, z. B. MigrationIdentity.
Wählen Sie am unteren Rand der Seite die Option Bewerten + erstellen aus.
Wenn die Überprüfungen abgeschlossen sind, wählen Sie Erstellen aus. Azure erstellt eine neue benutzerseitig zugewiesene Identität.

Nachdem die Ressource erstellt wurde, wählen Sie Zu Ressource wechseln aus, um die Details der verwalteten Identität anzuzeigen.

Verwenden Sie den Befehl az identity create zum Erstellen einer benutzerseitig zugewiesenen verwalteten Identität:

az identity create --name MigrationIdentity --resource-group <resource-group>

Zuordnen der verwalteten Identität zu Ihrer Web-App

Konfigurieren Sie Ihre Web-App so, dass sie die von Ihnen erstellte benutzerseitig zugewiesene verwaltete Identität verwendet.

Azure portal
Azure-Befehlszeilenschnittstelle

Führen Sie im Azure-Portal die folgenden Schritte aus, um Ihrer App die benutzerseitig zugewiesene verwaltete Identität zuzuordnen. Dieselben Schritte gelten für die folgenden Azure-Dienste:

Azure Spring Apps
Azure Container Apps
Virtuelle Azure-Computer
Azure Kubernetes Service
Navigieren Sie zur Übersichtsseite Ihrer Web-App.

Wählen Sie im linken Navigationsbereich Identität aus.
Wechseln Sie auf der Seite Identität zur Registerkarte Benutzerseitig zugewiesen.
Wählen Sie + Hinzufügen aus, um das Flyout Benutzerseitig zugewiesene verwaltete Identität hinzufügen zu öffnen.
Wählen Sie das Abonnement aus, das Sie vorher zum Erstellen der Identität verwendet haben.
Suchen Sie anhand des Namens nach der MigrationIdentity, und wählen Sie sie aus den Suchergebnissen aus.
Wählen Sie Hinzufügen aus, um die Identität Ihrer App zuzuordnen.

Verwenden Sie die folgenden Azure CLI-Befehle, um Ihrer App eine Identität zuzuordnen:

Rufen Sie die vollqualifizierte Ressourcen-ID der verwalteten Identität ab, die Sie mit dem Befehl az identity show erstellt haben. Kopieren Sie den Ausgabewert zur Verwendung im nächsten Schritt.

az identity show --name MigrationIdentity -g <your-identity-resource-group-name> --query id

Sie können einer Azure App Service-Instanz mit dem Befehl az webapp identity assign eine verwaltete Identität zuweisen. Der Parameter --identities benötigt die vollqualifizierte Ressourcen-ID der verwalteten Identität, die Sie im vorherigen Schritt abgerufen haben. Eine vollqualifizierte Ressourcen-ID beginnt mit „/subscriptions/{subscriptionId}“ oder „/providers/{resourceProviderNamespace}/“.

az webapp identity assign \
    --resource-group <resource-group-name> \
    --name <webapp-name> \
    --identities <managed-identity-id>

Wenn Sie mit Git Bash arbeiten, achten Sie bei der Verwendung vollqualifizierter Ressourcen-IDs auf Pfadkonvertierungen. Um die Pfadkonvertierung zu deaktivieren, fügen Sie am Anfang Ihres Befehls MSYS_NO_PATHCONV=1 hinzu. Weitere Informationen finden Sie unter Automatische Übersetzung von Ressourcen-IDs.

Sie können einer Azure Spring Apps-Instanz mit dem Befehl az spring app identity assign eine verwaltete Identität zuweisen.

az spring app identity assign \
    --resource-group <resource-group-name> \
    --name <app-name> \
    --service <service-name> \
    --user-assigned <managed-identity-id>

Sie können einem virtuellen Computer mit dem Befehl az vm containerapp identity assign eine verwaltete Identität zuweisen.

az containerapp identity assign \
    --resource-group <resource-group-name> \
    --name <app-name> \
    --user-assigned <managed-identity-id>

Sie können einem virtuellen Computer mit dem Befehl az vm identity assign eine verwaltete Identität zuweisen.

az vm identity assign \
    --resource-group <resource-group-name> \
    --name <virtual-machine-name> \
    --identities <managed-identity-id>

Sie können einer Azure Kubernetes Service-Instanz mit dem Befehl az aks update eine verwaltete Identität zuweisen.

az aks update \
    --resource-group <resource-group-name> \
    --name <cluster-name> \
    --enable-managed-identity \
    --assign-identity <managed-identity-id> \
    --assign-kubelet-identity <managed-identity-id>

Erstellen von Datenbankbenutzer*innen für die Identität und Zuweisen von Rollen

Erstellen Sie einen SQL-Datenbank-Benutzer bzw. eine SQL-Datenbank-Benutzerin, der bzw. die der benutzerseitig zugewiesenen verwalteten Identität zugeordnet ist. Weisen Sie dem Benutzer bzw. der Benutzerin die erforderlichen SQL-Rollen zu, damit Ihre App die Daten und das Schema Ihrer Datenbank lesen, schreiben und ändern kann.

Navigieren Sie im Azure-Portal zu Ihrer SQL-Datenbank-Instanz, und wählen Sie Abfrage-Editor (Vorschau) aus.
Wählen Sie auf der rechten Seite des Bildschirms Weiter als <username> aus, um sich mit Ihrem Konto bei der Datenbank anzumelden.
Führen Sie in der Abfrage-Editor-Ansicht die folgenden T-SQL-Befehle aus:
```
CREATE USER [user-assigned-identity-name] FROM EXTERNAL PROVIDER;
ALTER ROLE db_datareader ADD MEMBER [user-assigned-identity-name];
ALTER ROLE db_datawriter ADD MEMBER [user-assigned-identity-name];
ALTER ROLE db_ddladmin ADD MEMBER [user-assigned-identity-name];
GO
```
Wenn Sie diese Befehle ausführen, wird der benutzerseitig zugewiesenen verwalteten Identität die Rolle SQL-DB-Mitwirkender zugewiesen. Diese Rolle erlaubt es der Identität, die Daten und das Schema Ihrer Datenbank zu lesen, zu schreiben und zu ändern.

Wichtig

Gehen Sie beim Zuweisen von Datenbankbenutzerrollen in Produktionsumgebungen von Unternehmen vorsichtig vor. In diesen Szenarien sollte die App nicht alle Vorgänge mit einer einzelnen Identität mit erhöhten Rechten ausführen. Versuchen Sie, das Prinzip der geringsten Rechte zu implementieren, indem Sie mehrere Identitäten mit bestimmten Berechtigungen für bestimmte Aufgaben konfigurieren.

Weitere Informationen zum Konfigurieren von Datenbankrollen und der Sicherheit finden Sie in den folgenden Ressourcen:

Erstellen einer App-Einstellung für die Client-ID der verwalteten Identität

Um die benutzerseitig zugewiesene verwaltete Identität zu verwenden, erstellen Sie eine Umgebungsvariable AZURE_CLIENT_ID und legen sie auf die Client-ID der verwalteten Identität fest. Sie können diese Variable im Azure-Portal im Abschnitt Konfiguration Ihrer App festlegen. Die Client-ID finden Sie im Azure-Portal im Abschnitt Übersicht der verwalteten Identitätsressource.

Speichern Sie Ihre Änderungen, und starten Sie die Anwendung neu, falls dies nicht automatisch geschieht.

Wenn Sie eine systemseitig zugewiesene verwaltete Identität verwenden müssen, lassen Sie die options.clientId-Eigenschaft aus. Sie müssen die authentication.type-Eigenschaft trotzdem übergeben.

const config = {
  server,
  port,
  database,
  authentication: {
    type: 'azure-active-directory-default'
  },
  options: {
    encrypt: true
  }
};

Testen der App

Testen Sie Ihre App, um sicherzustellen, dass noch alles funktioniert. Es kann einige Minuten dauern, bis alle Änderungen in Ihrer Azure-Umgebung weitergegeben werden.

Nächste Schritte

In diesem Tutorial haben Sie gelernt, wie Sie eine Anwendung zu kennwortlosen Verbindungen migrieren.

Sie können die folgenden Ressourcen lesen, um die in diesem Artikel erläuterten Konzepte ausführlicher zu erkunden:

Freigeben über

Migrieren einer Node.js-Anwendung zur Verwendung kennwortloser Verbindungen mit Azure SQL-Datenbank

Konfigurieren der Azure SQL-Datenbank

Konfigurieren Ihrer lokalen Entwicklungsumgebung

Erstellen von Datenbankbenutzer*innen und Zuweisen von Rollen

Aktualisieren der lokalen Verbindungskonfiguration

Testen der App

Konfigurieren der Azure-Hostingumgebung

Erstellen Sie die verwaltete Identität

Zuordnen der verwalteten Identität zu Ihrer Web-App

Erstellen von Datenbankbenutzer*innen für die Identität und Zuweisen von Rollen

Erstellen einer App-Einstellung für die Client-ID der verwalteten Identität

Testen der App

Nächste Schritte

Feedback

Zusätzliche Ressourcen

Freigeben über

Migrieren einer Node.js-Anwendung zur Verwendung kennwortloser Verbindungen mit Azure SQL-Datenbank

Konfigurieren der Azure SQL-Datenbank

Konfigurieren Ihrer lokalen Entwicklungsumgebung

Anmelden bei Azure

Erstellen von Datenbankbenutzer*innen und Zuweisen von Rollen

Aktualisieren der lokalen Verbindungskonfiguration

Testen der App

Konfigurieren der Azure-Hostingumgebung

Erstellen Sie die verwaltete Identität

Zuordnen der verwalteten Identität zu Ihrer Web-App

Erstellen von Datenbankbenutzer*innen für die Identität und Zuweisen von Rollen

Erstellen einer App-Einstellung für die Client-ID der verwalteten Identität

Testen der App

Nächste Schritte

Feedback

Zusätzliche Ressourcen