Uwierzytelnianie w zasobach platformy Azure z lokalnych aplikacji JavaScript
Aplikacje działające poza platformą Azure (na przykład lokalne lub w centrum danych innej firmy) powinny używać jednostki usługi aplikacji do uwierzytelniania na platformie Azure podczas uzyskiwania dostępu do zasobów platformy Azure. Obiekty jednostki usługi aplikacji są tworzone przy użyciu procesu rejestracji aplikacji na platformie Azure. Po utworzeniu jednostki usługi aplikacji identyfikator klienta i klucz tajny klienta są generowane dla aplikacji. Identyfikator klienta, klucz tajny klienta i identyfikator dzierżawy są przechowywane w zmiennych środowiskowych, aby zestaw Azure SDK dla języka JavaScript używał zmiennych środowiskowych do uwierzytelniania aplikacji na platformie Azure w czasie wykonywania.
Dla każdego środowiska (takiego jak test, etap, produkcja) należy utworzyć inną rejestrację aplikacji. Umożliwia to skonfigurowanie uprawnień zasobów specyficznych dla środowiska dla każdej jednostki usługi i upewnienie się, że aplikacja wdrożona w jednym środowisku nie rozmawia z zasobami platformy Azure, które są częścią innego środowiska.
1 — Rejestrowanie aplikacji na platformie Azure
Aplikację można zarejestrować na platformie Azure przy użyciu witryny Azure Portal lub interfejsu wiersza polecenia platformy Azure.
Zaloguj się do witryny Azure Portal i wykonaj następujące kroki.
| Instrukcje | Zrzut ekranu |
|---|---|
W witrynie Azure Portal:
|
|
| Na stronie Rejestracje aplikacji wybierz pozycję + Nowa rejestracja. | 
|
Na stronie Rejestrowanie aplikacji wypełnij formularz w następujący sposób.
|
|
Na stronie Rejestracja aplikacji dla aplikacji:
|
|
| Na stronie Certyfikaty i wpisy tajne wybierz pozycję + Nowy klucz tajny klienta. | 
|
W oknie dialogowym Dodawanie wpisu tajnego klienta zostanie wyświetlone okno dialogowe po prawej stronie. W tym oknie dialogowym:
WAŻNE: Ustaw przypomnienie w kalendarzu przed datą wygaśnięcia wpisu tajnego. Dzięki temu możesz dodać nowy wpis tajny przed wygaśnięciem tego wpisu tajnego i zaktualizować aplikacje przed wygaśnięciem tego wpisu tajnego i uniknąć przerw w działaniu usługi w aplikacji. |
|
| Na stronie Certyfikaty i wpisy tajne jest wyświetlana wartość klucza tajnego klienta. Skopiuj tę wartość do lokalizacji tymczasowej w edytorze tekstów, ponieważ będzie ona potrzebna w przyszłym kroku. WAŻNE: jest to jedyna godzina wyświetlenia tej wartości. Po opuszczeniu lub odświeżeniu tej strony nie będzie można ponownie wyświetlić tej wartości. Możesz dodać kolejny klucz tajny klienta bez unieważnienia tego wpisu tajnego klienta, ale ta wartość nie zostanie ponownie wyświetlona. |
|
2 — Przypisywanie ról do jednostki usługi aplikacji
Następnie należy określić, jakich ról (uprawnień) potrzebuje twoja aplikacja na temat zasobów i przypisać te role do aplikacji. Role mogą być przypisywane do roli w zakresie zasobu, grupy zasobów lub subskrypcji. W tym przykładzie pokazano, jak przypisać role dla jednostki usługi w zakresie grupy zasobów, ponieważ większość aplikacji grupuje wszystkie zasoby platformy Azure w jedną grupę zasobów.
| Instrukcje | Zrzut ekranu |
|---|---|
| Znajdź grupę zasobów dla aplikacji, wyszukując nazwę grupy zasobów przy użyciu pola wyszukiwania w górnej części witryny Azure Portal. Przejdź do grupy zasobów, wybierając nazwę grupy zasobów pod nagłówkiem Grupy zasobów w oknie dialogowym. |
|
| Na stronie grupy zasobów wybierz pozycję Kontrola dostępu (Zarządzanie dostępem i tożsamościami) z menu po lewej stronie. | 
|
Na stronie Kontrola dostępu (Zarządzanie dostępem i tożsamościami):
|
|
Strona Dodawanie przypisania roli zawiera listę wszystkich ról, które można przypisać dla grupy zasobów.
|
|
Następna strona Dodawanie przypisania roli umożliwia określenie, do którego użytkownika ma zostać przypisana rola.
|
|
W oknie dialogowym Wybieranie członków:
|
|
| Jednostka usługi jest wyświetlana jako wybrana na ekranie Dodawanie przypisania roli. Wybierz pozycję Przejrzyj i przypisz , aby przejść do ostatniej strony, a następnie ponownie przejrzyj i przypisz, aby ukończyć proces. |
|
3 — Konfigurowanie zmiennych środowiskowych dla aplikacji
Należy ustawić AZURE_CLIENT_IDzmienne środowiskowe , AZURE_TENANT_IDi AZURE_CLIENT_SECRET dla procesu, który uruchamia aplikację JavaScript, aby poświadczenia jednostki usługi aplikacji dostępne dla aplikacji w czasie wykonywania. Obiekt DefaultAzureCredential szuka informacji o jednostce usługi w tych zmiennych środowiskowych.
AZURE_CLIENT_ID=<value>
AZURE_TENANT_ID=<value>
AZURE_CLIENT_SECRET=<value>
4 — Implementowanie wartości domyślnejAzureCredential w aplikacji
Aby uwierzytelnić obiekty klienta zestawu Azure SDK na platformie Azure, aplikacja powinna używać DefaultAzureCredential klasy z pakietu @azure/tożsamości .
Najpierw dodaj pakiet @azure/identity do aplikacji.
npm install @azure/identity
Następnie w przypadku dowolnego kodu JavaScript, który tworzy obiekt klienta zestawu Azure SDK w aplikacji, należy wykonać następujące czynności:
- Zaimportuj klasę
DefaultAzureCredentialz modułu@azure/identity. - Utwórz
DefaultAzureCredentialobiekt. - Przekaż obiekt do konstruktora
DefaultAzureCredentialobiektu klienta zestawu Azure SDK.
Przykład jest pokazany w następującym segmencie kodu.
// connect-with-default-azure-credential.js
import { BlobServiceClient } from '@azure/storage-blob';
import { DefaultAzureCredential } from '@azure/identity';
import 'dotenv/config'
const accountName = process.env.AZURE_STORAGE_ACCOUNT_NAME;
if (!accountName) throw Error('Azure Storage accountName not found');
const blobServiceClient = new BlobServiceClient(
`https://${accountName}.blob.core.windows.net`,
new DefaultAzureCredential()
);
Gdy powyższy kod tworzy wystąpienie DefaultAzureCredential obiektu, DefaultAzureCredential odczytuje zmienne AZURE_SUBSCRIPTION_IDśrodowiskowe , AZURE_TENANT_ID, AZURE_CLIENT_IDi AZURE_CLIENT_SECRET informacje o jednostce usługi aplikacji w celu nawiązania połączenia z platformą Azure za pomocą polecenia .