Python용 Azure SDK를 사용하여 Azure 리소스에 Azure 호스팅 앱 인증

아티클
08/24/2024

Azure 앱 Service, Azure Virtual Machines 또는 Azure Container Instances와 같은 서비스를 사용하여 Azure에서 앱을 호스트하는 경우 Azure 리소스에 앱을 인증하는 데 권장되는 방법은 관리 ID를 사용하는 것입니다.

관리 ID는 비밀 키나 다른 애플리케이션 비밀을 사용할 필요 없이 다른 Azure 리소스에 연결할 수 있도록 앱에 대한 ID를 제공합니다. 내부적으로 Azure는 앱의 ID와 연결이 허용되는 리소스를 알고 있습니다. Azure는 이 정보를 사용하여 애플리케이션 비밀을 관리할 필요 없이 앱이 다른 Azure 리소스에 연결할 수 있도록 허용하는 Microsoft Entra 토큰을 자동으로 가져옵니다.

참고 항목

AKS(Azure Kubernetes Service)에서 실행되는 앱은 워크로드 ID를 사용하여 Azure 리소스로 인증할 수 있습니다. AKS에서 워크로드 ID는 관리 ID와 Kubernetes 서비스 계정 간의 트러스트 관계를 나타냅니다. AKS에 배포된 애플리케이션이 이러한 관계에서 DefaultAzureCredential Kubernetes 서비스 계정으로 구성된 경우 관리 ID를 사용하여 Azure에 앱을 인증합니다. 워크로드 ID를 사용한 인증은 Azure Kubernetes Service에서 Microsoft Entra 워크로드 ID 사용에서 설명합니다. 워크로드 ID를 구성하는 방법에 대한 단계는 AKS(Azure Kubernetes Service) 클러스터에서 워크로드 ID 배포 및 구성을 참조 하세요.

관리 ID 유형

두 가지 종류의 관리 ID가 있습니다.

시스템 할당 관리 ID - 이 형식의 관리 ID는 Azure 리소스에 의해 제공되며 Azure 리소스에 직접 연결됩니다. Azure 리소스에서 관리 ID를 사용하도록 설정하면 해당 리소스에 대해 시스템이 할당한 관리 ID를 가져오게 됩니다. 시스템 할당 관리 ID는 연결된 Azure 리소스의 수명 주기에 연결됩니다. 리소스가 삭제되면 Azure에서 자동으로 ID를 삭제합니다. 코드를 호스트하는 Azure 리소스에 대해 관리 ID를 사용하도록 설정하기만 하면 되므로 이 방법은 가장 쉬운 유형의 관리 ID입니다.
사용자 할당 관리 ID - 독립 실행형 Azure 리소스로 관리 ID를 만들 수도 있습니다. 이 방법은 솔루션에 동일한 ID와 동일한 권한을 모두 공유해야 하는 여러 Azure 리소스에서 실행되는 여러 워크로드가 있는 경우에 가장 자주 사용됩니다. 예를 들어 솔루션에 동일한 Azure 리소스 집합에 대한 액세스가 필요한 여러 App Service 및 가상 머신 인스턴스에서 실행되는 구성 요소가 있는 경우 해당 리소스에서 사용되는 사용자 할당 관리 ID가 적합합니다.

이 문서에서는 앱에 대해 시스템 할당 관리 ID를 사용하도록 설정하고 사용하는 단계를 설명합니다. 사용자 할당 관리 ID를 사용해야 하는 경우 사용자 할당 관리 ID 관리 문서를 참조하여 사용자 할당 관리 ID를 만드는 방법을 알아봅니다.

1 - 앱을 호스팅하는 Azure 리소스에서 관리 ID 사용

첫 번째 단계는 앱을 호스팅하는 Azure 리소스에서 관리 ID를 사용하도록 설정하는 것입니다. 예를 들어 Azure 앱 Service를 사용하여 Django 애플리케이션을 호스팅하는 경우 앱을 호스팅하는 App Service 웹앱에 대한 관리 ID를 사용하도록 설정해야 합니다. 가상 머신을 사용하여 앱을 호스트하는 경우 VM에서 관리 ID를 사용하도록 설정합니다.

Azure Portal 또는 Azure CLI를 사용하여 Azure 리소스에 관리 ID를 사용할 수 있습니다.

Azure CLI
Azure Portal

Azure CLI 명령은 Azure Cloud Shell에서 실행하거나 Azure CLI가 설치된 워크스테이션에서 실행할 수 있습니다.

Azure 리소스에 대한 관리 ID를 사용하도록 설정하는 데 사용되는 Azure CLI 명령은 az <command-group> identity --resource-group <resource-group-name> --name <resource-name> 형식입니다. 널리 사용되는 Azure 서비스에 대한 특정 명령은 다음과 같습니다.

Azure App Service
Azure Virtual Machines

az webapp identity assign --resource-group <resource-group-name> -name <web-app-name>

az vm identity assign --resource-group <resource-group-name> -name <virtual-machine-name>

출력은 다음과 같이 표시됩니다.

{
  "principalId": "aaaaaaaa-bbbb-cccc-1111-222222222222",
  "tenantId": "aaaabbbb-0000-cccc-1111-dddd2222eeee",
  "type": "SystemAssigned",
  "userAssignedIdentities": null
}

principalId 값은 관리 ID의 고유 ID입니다. 다음 단계에서 이러한 값이 필요하므로 이 출력의 복사본을 보관합니다.

지침	스크린샷
Azure Portal에서 애플리케이션 코드를 호스팅하는 리소스로 이동합니다. 예를 들어, 페이지 상단의 검색 상자에 리소스 이름을 입력하고 대화 상자에서 해당 리소스를 선택하여 탐색할 수 있습니다.
리소스 페이지의 왼쪽 메뉴에서 ID 메뉴 항목을 선택합니다. 관리 ID를 지원할 수 있는 모든 Azure 리소스에는 메뉴 레이아웃이 약간 다를 수 있더라도 ID 메뉴 항목이 있습니다.
ID 페이지에서: 상태 슬라이더를 켜기로 변경합니다. 저장을 선택합니다. 확인 대화 상자는 서비스에 대한 관리 ID를 사용하도록 설정할 것인지 확인합니다. 예라고 대답하여 Azure 리소스에 대한 관리 ID를 사용하도록 설정합니다.

2 - 관리 ID에 역할 할당

다음으로, 앱에 필요한 역할(권한)을 결정하고 Azure에서 해당 역할에 관리 ID를 할당해야 합니다. 관리 ID에는 리소스, 리소스 그룹 또는 구독 범위에서 역할을 할당할 수 있습니다. 이 예제에서는 대부분의 애플리케이션이 모든 Azure 리소스를 단일 리소스 그룹으로 그룹화하기 때문에 리소스 그룹 범위에서 역할을 할당하는 방법을 보여 줍니다.

Azure CLI
Azure Portal

관리 ID에는 az role assignment create 명령을 사용하여 Azure의 역할이 할당됩니다. 담당자의 경우 1단계에서 복사한 항목을 사용합니다 principalId .

az role assignment create --assignee <managedIdentityprincipalId> \
    --scope /subscriptions/<subscriptionId>/resourceGroups/<resourceGroupName> \
    --role "<roleName>"

서비스 주체를 할당할 수 있는 역할 이름을 가져오려면 az role definition list 명령을 사용합니다.

az role definition list \
    --query "sort_by([].{roleName:roleName, description:description}, &roleName)" \
    --output table

예를 들어 ID가 있는 구독의 msdocs-python-sdk-auth-example 리소스 그룹에 있는 모든 스토리지 계정의 aaaaaaaa-bbbb-cccc-1111-222222222222 Azure Storage Blob 컨테이너 및 데이터에 대한 읽기, 쓰기 및 삭제 액세스 권한이 있는 관리 IDaaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e를 허용하려면 다음 명령을 사용하여 애플리케이션 서비스 주체를 Storage Blob 데이터 기여자 역할에 할당합니다.

az role assignment create --assignee aaaaaaaa-bbbb-cccc-1111-222222222222 \
    --scope /subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/msdocs-python-sdk-auth-example \
    --role "Storage Blob Data Contributor"

Azure CLI를 사용하여 리소스 또는 구독 수준에서 권한을 할당하는 방법에 대한 자세한 내용은 Azure CLI를 사용하여 Azure 역할 할당 문서를 참조하세요.

지침	스크린샷
Azure Portal 상단에 있는 검색 상자를 통해 리소스 그룹 이름을 검색하여 애플리케이션에 대한 리소스 그룹을 찾습니다. 대화 상자의 리소스 그룹 제목 아래에서 리소스 그룹 이름을 선택하여 리소스 그룹으로 이동합니다.
리소스 그룹 페이지의 왼쪽 메뉴에서 액세스 제어(IAM)를 선택합니다.
액세스 제어(IAM) 페이지에서 다음을 수행합니다. 역할 할당 탭을 선택합니다. 위쪽 메뉴에서 + 추가를 선택한 다음, 드롭다운 메뉴에서 역할 할당 추가를 선택합니다.
역할 할당 추가 페이지에는 리소스 그룹에 할당할 수 있는 모든 역할이 나열됩니다. 검색 상자를 사용하여 목록을 보다 관리하기 쉬운 크기로 필터링합니다. 이 예에서는 Storage Blob 역할을 필터링하는 방법을 보여 줍니다. 할당하려는 역할을 선택합니다. 다음 화면으로 이동하려면 다음을 선택합니다.
다음 역할 할당 추가 페이지에서는 역할을 할당할 사용자를 할당할 수 있습니다. 다음에 대한 액세스 할당에서 관리 ID를 선택합니다. 멤버에서 + 멤버 선택을 선택합니다. Azure Portal의 오른쪽에 대화 상자가 열립니다.
관리 ID 선택 대화 상자에서 다음을 수행합니다. 관리 ID 드롭다운 및 선택 텍스트 상자를 사용하여 구독의 관리 ID 목록을 필터링할 수 있습니다. 이 예에서는 App Service를 선택하면 App Service와 연결된 관리 ID만 표시됩니다. 애플리케이션을 호스팅하는 Azure 리소스에 대한 관리 ID를 선택합니다. 대화 상자 아래쪽에서 선택을 선택하여 계속합니다.
관리 ID는 역할 할당 추가 화면에서 선택된 대로 표시됩니다. 검토 + 할당을 선택하여 최종 페이지로 이동한 다음 다시 검토 + 할당을 선택하여 프로세스를 완료합니다.

3 - 애플리케이션에 DefaultAzureCredential 구현

코드가 Azure에서 실행되고 앱이 호스트 DefaultAzureCredential 되는 Azure 리소스에서 관리 ID를 사용하도록 설정된 경우 다음 순서대로 사용할 자격 증명이 결정됩니다.

환경 변수AZURE_CLIENT_IDAZURE_TENANT_ID에 정의된 대로 환경의 서비스 주체를 확인하고(선택 사항) 중 하나 AZURE_CLIENT_SECRET 또는 AZURE_CLIENT_CERTIFICATE_PATH (선택 사항) AZURE_CLIENT_CERTIFICATE_PASSWORD
사용자 할당 관리 ID에 대한 키워드 매개 변수를 확인합니다. 매개 변수에서 클라이언트 ID를 지정하여 사용자 할당 관리 ID managed_identity_client_id 를 전달할 수 있습니다.
AZURE_CLIENT_ID 사용자 할당 관리 ID의 클라이언트 ID에 대한 환경 변수를 확인합니다.
사용하도록 설정된 경우 Azure 리소스에 대해 시스템 할당 관리 ID를 사용합니다.

키워드 매개 변수True를 설정하여 자격 증명에서 관리 ID를 제외할 exclude_managed_identity_credential 수 있습니다.

이 문서에서는 Azure 앱 Service 웹앱에 시스템 할당 관리 ID를 사용하므로 환경에서 관리 ID를 구성하거나 매개 변수로 전달할 필요가 없습니다. 다음 단계에서 DefaultAzureCredential는 .

먼저 애플리케이션에 azure.identity 패키지를 추가합니다.

pip install azure-identity

다음으로, 앱에서 Azure SDK 클라이언트 개체를 만드는 Python 코드의 경우 다음을 수행합니다.

모듈에서 DefaultAzureCredential 클래스를 azure.identity 가져옵니다.
DefaultAzureCredential 개체를 만듭니다.
개체를 DefaultAzureCredential Azure SDK 클라이언트 개체 생성자에 전달합니다.

이러한 단계의 예는 다음 코드 세그먼트에 나와 있습니다.

from azure.identity import DefaultAzureCredential
from azure.storage.blob import BlobServiceClient

# Acquire a credential object
token_credential = DefaultAzureCredential()

blob_service_client = BlobServiceClient(
        account_url="https://<my_account_name>.blob.core.windows.net",
        credential=token_credential)

Python용 Azure SDK 인증 개요 문서에서 DefaultAzureCredential 설명한 대로 여러 인증 방법을 지원하고 런타임에 사용되는 인증 방법을 결정합니다. 이 방법의 이점은 앱이 환경별 코드를 구현하지 않고도 다양한 환경에서 다양한 인증 방법을 사용할 수 있다는 것입니다. 로컬 개발 DefaultAzureCredential 중에 워크스테이션에서 위의 코드를 실행하는 경우 환경 설정에 따라 결정된 애플리케이션 서비스 주체 또는 개발자 도구 자격 증명을 사용하여 다른 Azure 리소스로 인증합니다. 따라서 동일한 코드를 사용하여 로컬 개발 중 및 Azure에 배포하는 동안 Azure 리소스에 앱을 인증할 수 있습니다.

다음을 통해 공유

Python용 Azure SDK를 사용하여 Azure 리소스에 Azure 호스팅 앱 인증

관리 ID 유형

1 - 앱을 호스팅하는 Azure 리소스에서 관리 ID 사용

2 - 관리 ID에 역할 할당

3 - 애플리케이션에 DefaultAzureCredential 구현

피드백

추가 리소스