Autenticare le app .NET ospitate in Azure usando un'identità gestita assegnata dal sistema

L'approccio consigliato per autenticare un'app ospitata in Azure in altre risorse di Azure consiste nell'usare un'identità gestita . Questo approccio è supportato per la maggior parte dei servizi di Azure, incluse le app ospitate nel servizio app di Azure, nelle app di Azure Container e nelle macchine virtuali di Azure. Altre informazioni sulle diverse tecniche e approcci di autenticazione sono disponibili nella pagina di panoramica dell'autenticazione . Nelle sezioni successive si apprenderà quanto descritto di seguito:

• Concetti essenziali relativi all'identità gestita
• Come creare un'identità gestita assegnata dal sistema per l'app
• Come assegnare ruoli all'identità gestita assegnata dal sistema
• Come eseguire l'autenticazione usando l'identità gestita assegnata dal sistema dal codice dell'app

Concetti essenziali relativi all'identità gestita

Un'identità gestita consente all'app di connettersi in modo sicuro ad altre risorse di Azure senza usare chiavi segrete o altri segreti dell'applicazione. Internamente, Azure tiene traccia dell'identità e delle risorse a cui è consentito connettersi. Azure usa queste informazioni per ottenere automaticamente i token di Microsoft Entra per consentire all'app di connettersi ad altre risorse di Azure.

Esistono due tipi di identità gestite da considerare durante la configurazione dell'app ospitata:

• Le gestite identità assegnate dal sistema sono abilitate direttamente su una risorsa di Azure e sono collegate al suo ciclo di vita. Quando la risorsa viene eliminata, Azure elimina automaticamente l'identità per te. Le identità assegnate dal sistema offrono un approccio minimalista all'uso delle identità gestite.
• le identità gestite assegnate dall'utente vengono create come risorse di Azure autonome e offrono maggiore flessibilità e funzionalità. Sono ideali per soluzioni che coinvolgono più risorse di Azure che devono condividere la stessa identità e le stesse autorizzazioni. Ad esempio, se più macchine virtuali devono accedere allo stesso set di risorse di Azure, un'identità gestita assegnata dall'utente offre la riutilizzabilità e la gestione ottimizzata.

Suggerimento

Altre informazioni sulla selezione e sulla gestione delle identità gestite assegnate dal sistema e delle identità gestite assegnate dall'utente sono disponibili nell'articolo raccomandazioni sulle procedure consigliate per l'identità gestita.

Le sezioni seguenti descrivono i passaggi per abilitare e usare un'identità gestita assegnata dal sistema per un'app ospitata in Azure. Se è necessario usare un'identità gestita assegnata dall'utente, vedere l'articolo identità gestite assegnate dall'utente per altre informazioni.

Abilitare un'identità gestita assegnata dal sistema nella risorsa di hosting di Azure

Per iniziare a usare un'identità gestita assegnata dal sistema con l'app, abilitare l'identità nella risorsa di Azure che ospita l'app, ad esempio un servizio app di Azure, un'app Azure Container o una macchina virtuale di Azure.

È possibile abilitare un'identità gestita assegnata dal sistema per una risorsa di Azure usando il portale di Azure o l'interfaccia della riga di comando di Azure.

portale di Azure

1. Nel portale di Azure passare alla risorsa che ospita il codice dell'applicazione, ad esempio un servizio app di Azure o un'istanza dell'app Azure Container.

2. Nella Pagina Panoramica della risorsa, espandere Impostazioni e selezionare Identità nel menu di navigazione.

3. Nella pagina Identity, impostare il cursore Stato su Attivato.

4. Selezionare Salva per applicare le modifiche.

   

Azure CLI

I comandi dell'interfaccia della riga di comando di Azure possono essere eseguiti nell'Azure Cloud Shell o in una postazione di lavoro con l'interfaccia della riga di comando di Azure installata.

I comandi dell'interfaccia della riga di comando di Azure usati per abilitare l'identità gestita per una risorsa di Azure sono nel formato az <command-group> identity --resource-group <resource-group-name> --name <resource-name>. Di seguito sono riportati comandi specifici per i servizi di Azure più diffusi.

Servizio app di Azure:

az webapp identity assign \
    --resource-group <resource-group-name> \
    --name <web-app-name>

Macchina virtuale di Azure:

az vm identity assign \
    --resource-group <resource-group-name> \
    --name <virtual-machine-name>

L'output è simile al seguente:

{
  "principalId": "99999999-9999-9999-9999-999999999999",
  "tenantId": "33333333-3333-3333-3333-333333333333",
  "type": "SystemAssigned",
  "userAssignedIdentities": null
}

Il valore principalId è l'ID univoco dell'identità gestita. Mantenere una copia di questo output, perché questi valori saranno necessari nel passaggio successivo.

Assegnare ruoli all'identità gestita

Successivamente, determinare i ruoli necessari per l'app e assegnare tali ruoli all'identità gestita. È possibile assegnare ruoli a un'identità gestita negli ambiti seguenti:

• risorsa: i ruoli assegnati si applicano solo a tale risorsa specifica.
• gruppo di risorse: i ruoli assegnati si applicano a tutte le risorse contenute nel gruppo di risorse.
• Sottoscrizione: I ruoli assegnati si applicano a tutte le risorse contenute nella sottoscrizione.

L'esempio seguente illustra come assegnare ruoli nell'ambito del gruppo di risorse, poiché molte app gestiscono tutte le risorse di Azure correlate usando un singolo gruppo di risorse.

Portale di Azure

1. Passare alla pagina panoramica del gruppo di risorse che contiene l'app con l'identità gestita assegnata dal sistema.

2. Selezionare Controllo di accesso (IAM) nella navigazione a sinistra.

3. Nella pagina Controllo di accesso (IAM), seleziona + Aggiungi nel menu in alto e quindi scegli Aggiungi assegnazione di ruolo per passare alla pagina Aggiungi assegnazione di ruolo.

   

4. La pagina Aggiungi assegnazione di ruolo presenta un flusso di lavoro a schede suddiviso in più passaggi per assegnare ruoli alle identità. Nella scheda iniziale Ruolo, usare la casella di ricerca in alto per individuare il ruolo da assegnare all'identità.

5. Selezionare il ruolo nei risultati e quindi scegliere Avanti per passare alla scheda Membri.

6. Per l'opzione Assegna accesso a, selezionare identità gestita.

7. Per l'opzione Membri, scegliere + Seleziona membri per aprire il pannello Seleziona identità gestite.

8. Nel pannello Seleziona identità gestite, utilizza i menu a tendina Sottoscrizione e Identità gestita per filtrare i risultati della ricerca delle tue identità. Usare la casella di ricerca Selezionare per individuare l'identità di sistema abilitata per la risorsa di Azure che ospita l'app.

   

9. Selezionare l'identità e scegliere Selezionare nella parte inferiore del pannello per continuare.

10. Selezionare Rivedi e assegna nella parte inferiore della pagina.

11. Nella scheda finale Rivedi e assegna, selezionare Rivedi e assegna per completare il flusso di lavoro.

Azure CLI

A un'identità gestita viene attribuito un ruolo in Azure usando il comando az role assignment create:

az role assignment create \
    --assignee "{managedIdentityId}" \
    --role "{roleName}" \
    --scope "{scope}"

Per ottenere i nomi dei ruoli a cui è possibile assegnare un principale del servizio, usare il comando az role definition list.

az role definition list \
    --query "sort_by([].{roleName:roleName, description:description}, &roleName)" \
    --output table

Ad esempio, per consentire all'identità gestita con l'ID di 99999999-9999-9999-9999-999999999999 l'accesso in lettura, scrittura ed eliminazione ai contenitori BLOB di Azure Storage e ai dati a tutti gli account di archiviazione nel gruppo di risorse msdocs-dotnet-sdk-auth-example, assegnare il principale del servizio applicativo al ruolo Storage Blob Data Contributor usando il comando seguente.

az role assignment create \
    --assignee 99999999-9999-9999-9999-999999999999 \
    --role "Storage Blob Data Contributor" \
    --scope "/subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/msdocs-dotnet-sdk-auth-example"

Per informazioni sull'assegnazione di autorizzazioni a livello di risorsa o sottoscrizione tramite l'interfaccia della riga di comando di Azure, vedere l'articolo Assegnare ruoli di Azure usando l'interfaccia della riga di comando di Azure.

Eseguire l'autenticazione ai servizi di Azure dall'app

La libreria di identità di Azure fornisce varie credenziali, ovvero implementazioni di TokenCredential adattate al supporto di diversi scenari e flussi di autenticazione di Microsoft Entra. Poiché l'identità gestita non è disponibile durante l'esecuzione in locale, i passaggi successivi illustrano quali credenziali usare in quale scenario:

• ambiente di sviluppo locale: durante lo sviluppo locale solo, usare una classe denominata DefaultAzureCredential per una catena di credenziali preconfigurata e opinata. DefaultAzureCredential individua le credenziali utente dagli strumenti locali o dall'IDE, ad esempio l'interfaccia della riga di comando di Azure o Visual Studio. Offre inoltre flessibilità e praticità per i tentativi, i tempi di attesa per le risposte e il supporto per più opzioni di autenticazione. Per altre informazioni, vedere l'articolo Eseguire l'autenticazione ai servizi di Azure durante lo sviluppo locale.
• app ospitate in Azure: quando l'app è in esecuzione in Azure, usare ManagedIdentityCredential per individuare in modo sicuro l'identità gestita configurata per l'app. La specifica di questo tipo esatto di credenziali impedisce che altre credenziali disponibili vengano prelevate in modo imprevisto.

Implementare il codice

Aggiungere il pacchetto Azure.Identity. In un progetto ASP.NET Core installare anche il pacchetto Microsoft.Extensions.Azure:

Riga di comando

In un terminale di propria scelta passare alla directory del progetto dell'applicazione ed eseguire i comandi seguenti:

dotnet add package Azure.Identity
dotnet add package Microsoft.Extensions.Azure

Gestore di Pacchetti NuGet

Fare clic con il pulsante destro del mouse sul progetto nella finestra Esplora soluzioni di Visual Studio e seleziona Gestisci pacchetti NuGet. Cercare Azure.Identitye installare il pacchetto corrispondente. Ripetere questo processo per il pacchetto Microsoft.Extensions.Azure.

È possibile accedere ai servizi di Azure usando classi client specializzate dalle varie librerie client di Azure SDK. Queste classi e i tuoi servizi personalizzati devono essere registrati per l'inserimento delle dipendenze in modo che possano essere usati nell'intera app. In Program.cs, completare i passaggi seguenti per configurare una classe client per l'iniezione delle dipendenze e l'autenticazione basata su token.

1. Includere i namespace Azure.Identity e Microsoft.Extensions.Azure tramite direttive using.
2. Registrare il cliente del servizio Azure usando il metodo di estensione corrispondente con prefisso Add.
3. Trasmettere un'istanza appropriata di TokenCredential al metodo UseCredential.
   • Usa DefaultAzureCredential quando l'app è in esecuzione in locale.
   • Usare ManagedIdentityCredential quando l'app è in esecuzione in Azure.

builder.Services.AddAzureClients(clientBuilder =>
{
    clientBuilder.AddBlobServiceClient(
        new Uri("https://<account-name>.blob.core.windows.net"));

    TokenCredential credential = null;

    if (builder.Environment.IsProduction())
    {
        // Managed identity token credential discovered when running in Azure environments
        credential = new ManagedIdentityCredential();
    }
    else
    {
        // Running locally on dev machine - DO NOT use in production or outside of local dev
        credential = new DefaultAzureCredential();
    }

    clientBuilder.UseCredential(credential);
});

Un'alternativa al metodo UseCredential consiste nel fornire direttamente le credenziali al client del servizio:

TokenCredential credential = null;

if (builder.Environment.IsProduction() || builder.Environment.IsStaging())
{
    // Managed identity token credential discovered when running in Azure environments
    credential = new ManagedIdentityCredential();
}
else
{
    // Running locally on dev machine - DO NOT use in production or outside of local dev
    credential = new DefaultAzureCredential();
}

builder.Services.AddSingleton<BlobServiceClient>(_ =>
    new BlobServiceClient(
        new Uri("https://<account-name>.blob.core.windows.net"), credential));

---

Il codice precedente si comporta in modo diverso a seconda dell'ambiente in cui è in esecuzione:

• Nella workstation di sviluppo locale, DefaultAzureCredential cerca nelle variabili di ambiente un'entità servizio applicativa o in strumenti di sviluppo installati localmente, ad esempio Visual Studio, un set di credenziali degli sviluppatori.
• Quando viene distribuita in Azure, ManagedIdentityCredential individua automaticamente le configurazioni delle identità gestite per l'autenticazione ad altri servizi.