Partilhar via

Migrar um aplicativo .NET para usar conexões sem senha com o Banco de Dados SQL do Azure

  • Artigo

Aplica-se a:Banco de Dados SQL do Azure

As solicitações de aplicativo para o Banco de Dados SQL do Azure devem ser autenticadas. Embora haja várias opções para autenticação no Banco de Dados SQL do Azure, você deve priorizar conexões sem senha em seus aplicativos quando possível. Os métodos de autenticação tradicionais que usam senhas ou chaves secretas criam riscos e complicações de segurança. Visite as conexões sem senha para o hub de serviços do Azure para saber mais sobre as vantagens de mudar para conexões sem senha. O tutorial a seguir explica como migrar um aplicativo existente para se conectar ao Banco de Dados SQL do Azure para usar conexões sem senha em vez de uma solução de nome de usuário e senha.

Configurar o Banco de Dados SQL do Azure

As conexões sem senha usam a autenticação do Microsoft Entra para se conectar aos serviços do Azure, incluindo o Banco de Dados SQL do Azure. Autenticação do Microsoft Entra, você pode gerenciar identidades em um local central para simplificar o gerenciamento de permissões. Saiba mais sobre como configurar a autenticação do Microsoft Entra para seu Banco de Dados SQL do Azure:

Para este guia de migração, verifique se você tem um administrador do Microsoft Entra atribuído ao seu Banco de Dados SQL do Azure.

  1. Navegue até a página Microsoft Entra do seu servidor lógico.

  2. Selecione Definir administrador para abrir o menu suspenso ID do Microsoft Entra .

  3. No menu suspenso Microsoft Entra ID , procure o usuário que você deseja atribuir como administrador.

  4. Selecione o usuário e escolha Selecionar.

    A screenshot showing how to enable Microsoft Entra admin.

Configure seu ambiente de desenvolvimento local

As conexões sem senha podem ser configuradas para funcionar em ambientes locais e hospedados no Azure. Nesta seção, você aplicará configurações para permitir que usuários individuais se autentiquem no Banco de Dados SQL do Azure para desenvolvimento local.

Entrar no Azure

Para desenvolvimento local, verifique se você está conectado com a mesma conta do Azure AD que deseja usar para acessar o Banco de Dados SQL do Azure. Você pode autenticar por meio de ferramentas de desenvolvimento populares, como a CLI do Azure ou o Azure PowerShell. As ferramentas de desenvolvimento com as quais você pode autenticar variam entre os idiomas.

Entre no Azure por meio da CLI do Azure usando o seguinte comando:

az login

Criar um usuário de banco de dados e atribuir funções

Crie um usuário no Banco de Dados SQL do Azure. O usuário deve corresponder à conta do Azure que você usou para entrar localmente por meio de ferramentas de desenvolvimento como Visual Studio ou IntelliJ.

  1. No portal do Azure, navegue até o banco de dados SQL e selecione Editor de consultas (visualização).

  2. Selecione Continuar como <your-username> no lado direito da tela para entrar no banco de dados usando sua conta.

  3. No modo de exibição do editor de consultas, execute os seguintes comandos T-SQL:

    CREATE USER [user@domain] FROM EXTERNAL PROVIDER;
ALTER ROLE db_datareader ADD MEMBER [user@domain];
ALTER ROLE db_datawriter ADD MEMBER [user@domain];
ALTER ROLE db_ddladmin ADD MEMBER [user@domain];
GO

    A screenshot showing how to use the Azure Query editor.

    A execução desses comandos atribui a função de Colaborador do Banco de Dados SQL à conta especificada. Essa função permite que a identidade leia, escreva e modifique os dados e o esquema do seu banco de dados. Para obter mais informações sobre as funções atribuídas, consulte Funções de banco de dados fixas.

Atualizar a configuração da conexão local

O código de aplicativo existente que se conecta ao Banco de Dados SQL do Azure usando a biblioteca ou o Microsoft.Data.SqlClient Entity Framework Core continuará a funcionar com conexões sem senha. No entanto, você deve atualizar sua cadeia de conexão de banco de dados para usar o formato sem senha. Por exemplo, o código a seguir funciona com autenticação SQL e conexões sem senha:

string connectionString = app.Configuration.GetConnectionString("AZURE_SQL_CONNECTIONSTRING")!;

using var conn = new SqlConnection(connectionString);
conn.Open();

var command = new SqlCommand("SELECT * FROM Persons", conn);
using SqlDataReader reader = command.ExecuteReader();

Para atualizar a cadeia de conexão referenciada (AZURE_SQL_CONNECTIONSTRING) para usar o formato de cadeia de conexão sem senha:

  1. Localize a cadeia de conexão. Para desenvolvimento local com aplicativos .NET, isso geralmente é armazenado em um dos seguintes locais:

    • O appsettings.json arquivo de configuração para seu projeto.
    • O launchsettings.json arquivo de configuração para projetos do Visual Studio.
    • Sistema local ou variáveis de ambiente de contêiner.

  2. Substitua o valor da cadeia de conexão pelo seguinte formato sem senha. Atualize os espaços reservados e <database-name> com <database-server-name> seus próprios valores:

    Server=tcp:<database-server-name>.database.windows.net,1433;Initial Catalog=<database-name>;
Encrypt=True;TrustServerCertificate=False;Connection Timeout=30;Authentication="Active Directory Default";

Testar a aplicação

Execute seu aplicativo localmente e verifique se as conexões com o Banco de Dados SQL do Azure estão funcionando conforme o esperado. Lembre-se de que pode levar vários minutos para que as alterações nos usuários e funções do Azure se propaguem pelo seu ambiente do Azure. Seu aplicativo agora está configurado para ser executado localmente sem que os desenvolvedores tenham que gerenciar segredos no próprio aplicativo.

Configurar o ambiente de hospedagem do Azure

Depois que seu aplicativo estiver configurado para usar conexões sem senha localmente, o mesmo código poderá ser autenticado no Banco de Dados SQL do Azure depois de implantado no Azure. As seções a seguir explicam como configurar um aplicativo implantado para se conectar ao Banco de Dados SQL do Azure usando uma identidade gerenciada. As identidades gerenciadas fornecem uma identidade gerenciada automaticamente no Microsoft Entra ID (anteriormente Azure Ative Directory) para os aplicativos usarem ao se conectar a recursos que oferecem suporte à autenticação do Microsoft Entra. Saiba mais sobre identidades gerenciadas:

Criar a identidade gerenciada

Crie uma identidade gerenciada atribuída pelo usuário usando o portal do Azure ou a CLI do Azure. Seu aplicativo usa a identidade para autenticar em outros serviços.

  1. Na parte superior do portal do Azure, procure identidades gerenciadas. Selecione o resultado Identidades gerenciadas.
  2. Selecione + Criar na parte superior da página de visão geral de Identidades Gerenciadas .
  3. Na guia Noções básicas, insira os seguintes valores:
    • Assinatura: Selecione a assinatura desejada.
    • Grupo de recursos: selecione o grupo de recursos desejado.
    • Região: selecione uma região perto da sua localização.
    • Nome: insira um nome reconhecível para sua identidade, como MigrationIdentity.
  4. Selecione Rever + criar na parte inferior da página.
  5. Quando as verificações de validação terminarem, selecione Criar. O Azure cria uma nova identidade atribuída pelo usuário.

Depois que o recurso for criado, selecione Ir para o recurso para exibir os detalhes da identidade gerenciada.

A screenshot showing how to create a managed identity using the Azure portal.

Associar a identidade gerenciada ao seu aplicativo Web

Configure seu aplicativo Web para usar a identidade gerenciada atribuída pelo usuário que você criou.

Conclua as etapas a seguir no portal do Azure para associar a identidade gerenciada atribuída pelo usuário ao seu aplicativo. Estas mesmas etapas se aplicam aos seguintes serviços do Azure:

  • Azure Spring Apps
  • Azure Container Apps
  • Máquinas virtuais do Azure
  • Azure Kubernetes Service
  • Navegue até a página de visão geral do seu aplicativo Web.

  1. Selecione Identidade na navegação à esquerda.

  2. Na página Identidade, alterne para a guia Usuário atribuído.

  3. Selecione + Adicionar para abrir o submenu Adicionar identidade gerenciada atribuída ao usuário.

  4. Selecione a assinatura usada anteriormente para criar a identidade.

  5. Procure a MigrationIdentity pelo nome e selecione-a nos resultados da pesquisa.

  6. Selecione Adicionar para associar a identidade ao seu aplicativo.

    A screenshot showing how to assign a managed identity.

Criar um usuário de banco de dados para a identidade e atribuir funções

Crie um usuário do banco de dados SQL que mapeie de volta para a identidade gerenciada atribuída pelo usuário. Atribua as funções SQL necessárias ao usuário para permitir que seu aplicativo leia, grave e modifique os dados e o esquema do banco de dados.

  1. No portal do Azure, navegue até o banco de dados SQL e selecione Editor de consultas (visualização).

  2. Selecione Continuar como <username> no lado direito da tela para entrar no banco de dados usando sua conta.

  3. No modo de exibição do editor de consultas, execute os seguintes comandos T-SQL:

    CREATE USER [user-assigned-identity-name] FROM EXTERNAL PROVIDER;
ALTER ROLE db_datareader ADD MEMBER [user-assigned-identity-name];
ALTER ROLE db_datawriter ADD MEMBER [user-assigned-identity-name];
ALTER ROLE db_ddladmin ADD MEMBER [user-assigned-identity-name];
GO

    A screenshot showing how to use the Azure Query editor to create a SQL user for a managed identity.

    A execução desses comandos atribui a função de Colaborador do Banco de Dados SQL à identidade gerenciada atribuída pelo usuário. Essa função permite que a identidade leia, escreva e modifique os dados e o esquema do seu banco de dados.

Importante

Tenha cuidado ao atribuir funções de usuário de banco de dados em ambientes de produção corporativos. Nesses cenários, o aplicativo não deve executar todas as operações usando uma única identidade elevada. Tente implementar o princípio do menor privilégio configurando várias identidades com permissões específicas para tarefas específicas.

Você pode ler mais sobre como configurar funções de banco de dados e segurança nos seguintes recursos:

Atualizar a cadeia de ligação

Atualize a configuração do aplicativo do Azure para usar o formato de cadeia de conexão sem senha. As cadeias de conexão geralmente são armazenadas como variáveis de ambiente em seu ambiente de hospedagem de aplicativo. As instruções a seguir se concentram no Serviço de Aplicativo, mas outros serviços de hospedagem do Azure fornecem configurações semelhantes.

  1. Navegue até a página de configuração da sua instância do Serviço de Aplicativo e localize a cadeia de conexão do Banco de Dados SQL do Azure.

  2. Selecione o ícone de edição e atualize o valor da cadeia de conexão para corresponder ao formato a seguir. Altere os espaços reservados e <database-name> com os <database-server-name> valores do seu próprio serviço.

    Server=tcp:<database-server-name>.database.windows.net,1433;Initial Catalog=<database-name>;
Encrypt=True;TrustServerCertificate=False;Connection Timeout=30;Authentication="Active Directory Default";

  3. Salve suas alterações e reinicie o aplicativo se ele não fizer isso automaticamente.

Testar a aplicação

Teste seu aplicativo para verificar se tudo ainda está funcionando. Pode levar alguns minutos para que todas as alterações se propaguem pelo seu ambiente do Azure.

Próximos passos

Neste tutorial, você aprendeu como migrar um aplicativo para conexões sem senha.

Você pode ler os seguintes recursos para explorar os conceitos discutidos neste artigo com mais profundidade: