Utiliser les identités gérées pour les tests de charge Azure

Cet article explique comment créer une identité managée pour le service Test de charge Azure. Vous pouvez utiliser une identité managée pour lire en toute sécurité des secrets ou des certificats à partir d’Azure Key Vault dans votre test de charge.

Une identité managée de Microsoft Entra ID permet à votre ressource de test de charge d’accéder facilement à Azure Key Vault protégé par Microsoft Entra. Managée par la plateforme Azure, l’identité ne nécessite pas que vous gériez ou permutiez de secrets. Pour plus d’informations sur les identités managées dans Microsoft Entra ID, consultez Identités managées pour les ressources Azure.

Le test de charge Azure prend en charge deux types d’identités :

• Une identité affectée par le système est associée à votre ressource de test de charge et supprimée en même temps que votre ressource. Une ressource ne peut avoir qu’une seule identité affectée par le système.
• Une identité affectée par l’utilisateur est une ressource Azure autonome que vous pouvez attribuer à votre ressource de test de charge. Lorsque vous supprimez la ressource de test de charge, l’identité managée reste disponible. Vous pouvez attribuer plusieurs identités affectées par l’utilisateur à la ressource de test de charge.

Actuellement, vous pouvez uniquement utiliser l’identité managée pour accéder à Azure Key Vault.

Prérequis

• Compte Azure avec un abonnement actif. Si vous n’avez pas d’abonnement Azure, créez un compte gratuit avant de commencer.
• Une ressource de test de charge Azure. Si vous avez besoin de créer une ressource de test de charge Azure, consultez le guide de démarrage rapide Créer et exécuter un test de charge.
• Pour créer une identité managée affectée par l’utilisateur, votre compte a besoin de l’affectation de rôle Contributeur d’identité managée.

Attribuer une identité affectée par le système à une ressource de test de charge

Pour attribuer une identité affectée par le système pour votre ressource de test de charge Azure, activez une propriété sur la ressource. Vous pouvez définir cette propriété à l’aide du portail Azure ou à l’aide d’un modèle Azure Resource Manager (ARM).

Portail

Pour configurer une identité managée dans le portail, vous devez d’abord créer une ressource de test de charge Azure, puis activer la fonctionnalité.

1. Dans le portail Azure, accédez à votre ressource de test de charge Azure.

2. Dans le volet de gauche, sélectionnez Identité.

3. Sous l’onglet Attribué(e) par le système, définissez État sur Activé, puis sélectionnez Enregistrer.

   

4. Dans la fenêtre de confirmation, sélectionnez Oui pour confirmer l’attribution de l’identité managée.

5. Une fois cette opération terminée, la page affiche l’ID d’objet de l’identité managée et vous permet de lui attribuer des autorisations.

   

Azure CLI

Exécutez la commande az load update avec --identity-type SystemAssigned pour ajouter une identité affectée par le système à votre ressource de test de charge :

az load update --name <load-testing-resource-name> --resource-group <group-name> --identity-type SystemAssigned

Modèle ARM

Vous pouvez utiliser un modèle ARM pour automatiser le déploiement de vos ressources Azure. Pour plus d’informations sur l’utilisation de modèles ARM avec le service Test de charge Azure, consultez la documentation de référence ARM sur le service Test de charge Azure.

Vous pouvez attribuer une identité managée affectée par le système lorsque vous créez une ressource de type Microsoft.LoadTestService/loadtests. Configurez la propriété identity avec la valeur SystemAssigned dans la définition de ressource :

"identity": {
    "type": "SystemAssigned"
}

En ajoutant le type « identité affectée par le système », vous demandez à Azure de créer et de gérer l’identité de votre ressource. Par exemple, une ressource de test de charge Azure peut se présenter comme suit :

{
    "type": "Microsoft.LoadTestService/loadtests",
    "apiVersion": "2021-09-01-preview",
    "name": "[parameters('name')]",
    "location": "[parameters('location')]",
    "tags": "[parameters('tags')]",
    "identity": {
        "type": "SystemAssigned"
    }
}

Une fois la création de la ressource terminée, les propriétés suivantes sont configurées pour la ressource :

"identity": {
    "type": "SystemAssigned",
    "tenantId": "00000000-0000-0000-0000-000000000000",
    "principalId": "00000000-0000-0000-0000-000000000000"
}

La propriété tenantId identifie le tenant Microsoft Entra auquel appartient l’identité managée. principalId est un identificateur unique pour la nouvelle identité de la ressource. Dans Microsoft Entra ID, le principal de service porte le même nom que la ressource de test de charge Azure.

Attribuer une identité affectée par l’utilisateur à une ressource de test de charge

Avant de pouvoir ajouter une identité managée affectée par l’utilisateur à une ressource de test de charge Azure, vous devez d’abord créer cette identité dans Microsoft Entra ID. Vous pouvez ensuite attribuer l’identité à l’aide de son identificateur de ressource.

Vous pouvez ajouter plusieurs identités managées affectées par l’utilisateur à votre ressource. Par exemple, si vous devez accéder à plusieurs ressources Azure, vous pouvez accorder des autorisations différentes à chacune de ces identités.

Portail

1. Créez une identité managée affectée par l’utilisateur en suivant les instructions mentionnées dans Créer une identité managée affectée par l’utilisateur.

   

2. Dans le portail Azure, accédez à votre ressource de test de charge Azure.

3. Dans le volet de gauche, sélectionnez Identité.

4. Sélectionnez l’onglet Affectée par l’utilisateur, puis Ajouter.

5. Recherchez et sélectionnez l’identité managée que vous avez créée précédemment. Sélectionnez ensuite Ajouter pour l’ajouter à la ressource de test de charge Azure.

   

Azure CLI

1. Créer uneidentité affectée par l’utilisateur.

   az identity create --resource-group <group-name> --name <identity-name>
   

2. Exécutez la commande az load update avec --identity-type UserAssigned pour ajouter une identité affectée par l’utilisateur à votre ressource de test de charge :

   az load update --name <load-testing-resource-name> --resource-group <group-name> --identity-type UserAssigned --user-assigned <identity-id>
   

Modèle ARM

Vous pouvez créer une ressource de test de charge Azure à l’aide d’un modèle ARM et du type de ressource Microsoft.LoadTestService/loadtests. Pour plus d’informations sur l’utilisation de modèles ARM avec le service Test de charge Azure, consultez la documentation de référence ARM sur le service Test de charge Azure.

1. Créez une identité managée affectée par l’utilisateur en suivant les instructions mentionnées dans Créer une identité managée affectée par l’utilisateur.

2. Spécifiez l’identité managée affectée par l’utilisateur dans la section identity de la définition de ressource.

   Remplacez l’espace réservé <RESOURCEID> par l’ID ressource de votre identité managée affectée par l’utilisateur :

   "identity": {
       "type": "UserAssigned",
       "userAssignedIdentities": {
           "<RESOURCEID>": {}
       }
   }
   

   L’extrait de code suivant montre un exemple de définition de ressource ARM de test de charge Azure avec une identité affectée par l’utilisateur :

   {
       "type": "Microsoft.LoadTestService/loadtests",
       "apiVersion": "2021-09-01-preview",
       "name": "[parameters('name')]",
       "location": "[parameters('location')]",
       "tags": "[parameters('tags')]",
       "identity": {
           "type": "UserAssigned",
           "userAssignedIdentities": {
               "<RESOURCEID>": {}
           }
   }
   

   Une fois la ressource de test de charge créée, Azure fournit les propriétés principalId et clientId dans la sortie :

   "identity": {
       "type": "UserAssigned",
       "userAssignedIdentities": {
           "<RESOURCEID>": {
               "principalId": "00000000-0000-0000-0000-000000000000",
               "clientId": "00000000-0000-0000-0000-000000000000"
           }
       }
   }
   

   principalId est un identificateur unique pour l’identité qui est utilisée pour l’administration de Microsoft Entra. clientId est un identificateur unique pour la nouvelle identité de la ressource qui est utilisée pour spécifier l’identité à utiliser lors des appels à l’exécution.

Configurer la ressource cible

Vous devrez peut-être configurer la ressource cible pour autoriser l’accès à partir de votre ressource de test de charge. Par exemple, si vous lisez un secret ou un certificat à partir d’Azure Key Vaultou si vous utilisez des clés gérées par le client pour le chiffrement, vous devez également ajouter une stratégie d’accès qui inclut l’identité managée de votre ressource. Sinon, vos appels à Azure Key Vault sont rejetés, même si vous utilisez un jeton valide.

De même, si vous souhaitez définir des critères d’échec sur les métriques de serveur, vous devez spécifier une identité de référence de métriques pour laquelle récupérer (fetch) des métriques. Vous devez configurer la ressource cible pour que l’identité puisse lire les métriques de la ressource.

Contenu connexe

• Utiliser des secrets ou des certificats dans votre test de charge
• Configurer des clés gérées par le client pour le chiffrement
• Que sont les identités managées pour les ressources Azure ?