كيفية استخدام الهويات المُدارة لـ App Service وAzure Functions

1. يمكنك الوصول إلى إعدادات التطبيق في مدخل Microsoft Azure ضمن مجموعة الإعدادات في جزء التنقل الأيمن.

2. حدد "Identity".

3. في علامة التبويب النظام المعين، بدِّل الحالة إلى تشغيل. انقر فوق حفظ.

   

شغِّل الأمر az webapp identity assign لإنشاء الهوية التي يعيّنها النظام:

az webapp identity assign --name myApp --resource-group myResourceGroup

لخدمة التطبيق

شغِّل الأمر Set-AzWebApp -AssignIdentity لإنشاء الهوية التي يعيّنها النظام لخدمة التطبيق:

Set-AzWebApp -AssignIdentity $true -Name <app-name> -ResourceGroupName <group-name> 

للوظائف

شغِّل الأمر Update-AzFunctionApp -IdentityType لإنشاء الهوية التي يعيّنها النظام لتطبيق الوظائف:

Update-AzFunctionApp -Name $functionAppName -ResourceGroupName $resourceGroupName -IdentityType SystemAssigned

يمكن استخدام قالب Azure Resource Manager من أجل أتمتة توزيع موارد Azure. لمعرفة المزيد حول التوزيع إلى App Service وFunctions، راجع أتمتة توزيع الموارد في App Service وأتمتة توزيع الموارد في Azure Functions.

يمكن إنشاء أي مورد من النوع Microsoft.Web/sites بهوية من خلال تضمين الخاصية التالية في تعريف المورد:

"identity": {
    "type": "SystemAssigned"
}

تُعلِم إضافة نوع عيّنه النظام Azure بإنشاء هوية تطبيقك وإدارتها.

وعلى سبيل المثال، قد يبدو قالب تطبيق الويب مثل JSON التالي:

{
    "apiVersion": "2022-03-01",
    "type": "Microsoft.Web/sites",
    "name": "[variables('appName')]",
    "location": "[resourceGroup().location]",
    "identity": {
        "type": "SystemAssigned"
    },
    "properties": {
        "name": "[variables('appName')]",
        "serverFarmId": "[resourceId('Microsoft.Web/serverfarms', variables('hostingPlanName'))]",
        "hostingEnvironment": "",
        "clientAffinityEnabled": false,
        "alwaysOn": true
    },
    "dependsOn": [
        "[resourceId('Microsoft.Web/serverfarms', variables('hostingPlanName'))]"
    ]
}

عند إنشاء الموقع، يكون لها الخصائص الإضافية التالية:

"identity": {
    "type": "SystemAssigned",
    "tenantId": "<tenant-id>",
    "principalId": "<principal-id>"
}

تحدد الخاصية tenantId ما ينتمي إليه مستأجر Microsoft Entra الذي تنتمي إليه الهوية. إن PrincipId هو معرّف فريد للهوية الجديدة للتطبيق. ضمن معرف Microsoft Entra، يكون لمدير الخدمة نفس الاسم الذي أعطيته ل App Service أو مثيل Azure Functions.

إذا كنت بحاجة إلى الرجوع إلى هذه الخصائص في مرحلة لاحقة في القالب، يمكنك القيام بذلك عبر reference() دالة القالب مع العلامة 'Full'، كما هو الحال في هذا المثال:

{
    "tenantId": "[reference(resourceId('Microsoft.Web/sites', variables('appName')), '2018-02-01', 'Full').identity.tenantId]",
    "objectId": "[reference(resourceId('Microsoft.Web/sites', variables('appName')), '2018-02-01', 'Full').identity.principalId]",
}

ستحتاج أولاً إلى إنشاء مورد هوية يعيّنها المستخدم.

1. إنشاء مورد هوية مُدارة يعينها المستخدم وفقًا لهذه الإرشادات.

2. في جزء التنقل الأيسر من صفحة التطبيق، مرِّر لأسفل وصولاً إلى مجموعة الإعدادات.

3. حدد "Identity".

4. حدد إضافة معينة من قبل>المستخدم.

5. ابحث عن الهوية التي أنشأتها سابقا، وحددها، وحدد إضافة.

   

   بمجرد تحديد إضافة، يتم إعادة تشغيل التطبيق.

1. قم بإنشاء هوية معينة من قِبل المستخدم .

   az identity create --resource-group <group-name> --name <identity-name>
   

2. شغِّل الأمر az webapp identity assign لتعيين الهوية إلى التطبيق.

   az webapp identity assign --resource-group <group-name> --name <app-name> --identities <identity-id>
   

لخدمة التطبيق

إضافة هوية معينة من قبل المستخدم في App Service غير مدعومة حاليًا.

للوظائف

1. قم بإنشاء هوية معينة من قِبل المستخدم .

   Install-Module -Name Az.ManagedServiceIdentity -AllowPrerelease
   $userAssignedIdentity = New-AzUserAssignedIdentity -Name $userAssignedIdentityName -ResourceGroupName <group-name>
   

2. شغِّل الأمر Update-AzFunctionApp -IdentityType UserAssigned -IdentityId لتعيين الهوية إلى الوظائف:

   Update-AzFunctionApp -Name <app-name> -ResourceGroupName <group-name> -IdentityType UserAssigned -IdentityId $userAssignedIdentity.Id
   

يمكن استخدام قالب Azure Resource Manager من أجل أتمتة توزيع موارد Azure. لمعرفة المزيد حول التوزيع إلى App Service وFunctions، راجع أتمتة توزيع الموارد في App Service وأتمتة توزيع الموارد في Azure Functions.

يمكن إنشاء أي مورد من النوع Microsoft.Web/sites بهوية عن طريق تضمين الكتلة التالية في تعريف المورد، واستبدال <resource-id> بمعرف المورد للهوية المطلوبة:

"identity": {
    "type": "UserAssigned",
    "userAssignedIdentities": {
        "<resource-id>": {}
    }
}

تؤدي إضافة النوع المعين من قبل المستخدم إلى إخبار Azure باستخدام الهوية المعينة من قبل المستخدم المحددة للتطبيق الخاص بك.

وعلى سبيل المثال، قد يبدو قالب تطبيق الويب مثل JSON التالي:

{
    "apiVersion": "2022-03-01",
    "type": "Microsoft.Web/sites",
    "name": "[variables('appName')]",
    "location": "[resourceGroup().location]",
    "identity": {
        "type": "UserAssigned",
        "userAssignedIdentities": {
            "[resourceId('Microsoft.ManagedIdentity/userAssignedIdentities', variables('identityName'))]": {}
        }
    },
    "properties": {
        "name": "[variables('appName')]",
        "serverFarmId": "[resourceId('Microsoft.Web/serverfarms', variables('hostingPlanName'))]",
        "hostingEnvironment": "",
        "clientAffinityEnabled": false,
        "alwaysOn": true
    },
    "dependsOn": [
        "[resourceId('Microsoft.Web/serverfarms', variables('hostingPlanName'))]",
        "[resourceId('Microsoft.ManagedIdentity/userAssignedIdentities', variables('identityName'))]"
    ]
}

عند إنشاء الموقع، يكون لها الخصائص الإضافية التالية:

"identity": {
    "type": "UserAssigned",
    "userAssignedIdentities": {
        "<resource-id>": {
            "principalId": "<principal-id>",
            "clientId": "<client-id>"
        }
    }
}

principalId هو معرف فريد للهوية المستخدمة لإدارة Microsoft Entra. معرف العميل هو معرف فريد لهوية التطبيق الجديدة المستخدمة لتحديد الهوية التي يجب استخدامها في أثناء مكالمات وقت التشغيل.

يستخدم طلب HTTP GET الأولي متغيري البيئة المتوفرين ويبدو مثل المثال التالي:

GET /MSI/token?resource=https://vault.azure.net&api-version=2019-08-01 HTTP/1.1
Host: <ip-address-:-port-in-IDENTITY_ENDPOINT>
X-IDENTITY-HEADER: <value-of-IDENTITY_HEADER>

وقد تبدو عينة الاستجابة كما يلي:

HTTP/1.1 200 OK
Content-Type: application/json

{
    "access_token": "eyJ0eXAi…",
    "expires_on": "1586984735",
    "resource": "https://vault.azure.net",
    "token_type": "Bearer",
    "client_id": "00001111-aaaa-2222-bbbb-3333cccc4444"
}

هذه الاستجابة هي نفس الاستجابة لطلب الرمز المميز للوصول من خدمة إلى خدمة Microsoft Entra. وللوصول إلى Key Vault، ستضيف قيمة access_token إلى اتصال عميل بالمخزن.

بالنسبة لتطبيقات ووظائف ‎.NET، فإن أبسط طريقة للتعامل مع هوية مُدارة هي من خلال مكتبة عميل Azure Identity لـ ‎.NET. للحصول على إرشادات مفصلة، راجع البرنامج التعليمي: الاتصال بقواعد بيانات Azure من App Service دون أسرار باستخدام هوية مُدارة.

راجع عناوين الوثائق الخاصة بمكتبة العميل للحصول على المعلومات:

• إضافة مكتبة عميل Azure Identity إلى مشروعك
• الوصول إلى خدمة Azure بهوية يعيّنها النظام
• الوصول إلى خدمة Azure بهوية يعيّنها المستخدم

تستخدم الأمثلة المرتبطة DefaultAzureCredential. إنه مفيد لمعظم السيناريوهات لأن نفس النمط يعمل في Azure (مع الهويات المُدارة) وعلى جهازك المحلي (دون الهويات المُدارة).

بالنسبة إلى تطبيقات Node.js ووظائف JavaScript، تكون أبسط طريقة للعمل مع هوية مُدارة من خلال مكتبة عميل Azure Identity لـ JavaScript. للحصول على إرشادات مفصلة، راجع البرنامج التعليمي: الاتصال بقواعد بيانات Azure من App Service دون أسرار باستخدام هوية مُدارة.

راجع عناوين الوثائق الخاصة بمكتبة العميل للحصول على المعلومات:

• إضافة مكتبة عميل Azure Identity إلى مشروعك
• الوصول إلى خدمة Azure بهوية يعيّنها النظام
• الوصول إلى خدمة Azure بهوية يعيّنها المستخدم

تستخدم الأمثلة المرتبطة DefaultAzureCredential. إنه مفيد لمعظم السيناريوهات لأن نفس النمط يعمل في Azure (مع الهويات المُدارة) وعلى جهازك المحلي (دون الهويات المُدارة).

للحصول على مزيدٍ من أمثلة التعليمات البرمجية لمكتبة عميل Azure Identity لـ JavaScript، راجع أمثلة Azure Identity.

بالنسبة لتطبيقات ووظائف Python، فإن أبسط طريقة للعمل بهوية مُدارة هي من خلال مكتبة عميل Azure Identity لـ Python. للحصول على إرشادات مفصلة، راجع البرنامج التعليمي: الاتصال بقواعد بيانات Azure من App Service دون أسرار باستخدام هوية مُدارة.

راجع عناوين الوثائق الخاصة بمكتبة العميل للحصول على المعلومات:

• إضافة مكتبة عميل Azure Identity إلى مشروعك
• الوصول إلى خدمة Azure بهوية يعيّنها النظام
• الوصول إلى خدمة Azure بهوية يعيّنها المستخدم

تستخدم الأمثلة المرتبطة DefaultAzureCredential. إنه مفيد لمعظم السيناريوهات لأن نفس النمط يعمل في Azure (مع الهويات المُدارة) وعلى جهازك المحلي (دون الهويات المُدارة).

بالنسبة إلى تطبيقات ووظائف Java، تكون أبسط طريقة للعمل مع هوية مُدارة من خلال مكتبة عميل Azure Identity لـ Java. للحصول على إرشادات مفصلة، راجع البرنامج التعليمي: الاتصال بقواعد بيانات Azure من App Service دون أسرار باستخدام هوية مُدارة.

راجع عناوين الوثائق الخاصة بمكتبة العميل للحصول على المعلومات:

• إضافة مكتبة عميل Azure Identity إلى مشروعك
• الوصول إلى خدمة Azure بهوية يعيّنها النظام
• الوصول إلى خدمة Azure بهوية يعيّنها المستخدم

تستخدم الأمثلة المرتبطة DefaultAzureCredential. إنه مفيد لمعظم السيناريوهات لأن نفس النمط يعمل في Azure (مع الهويات المُدارة) وعلى جهازك المحلي (دون الهويات المُدارة).

للحصول على مزيدٍ من أمثلة التعليمات البرمجية لمكتبة عميل Azure Identity لـ Java، راجع أمثلة Azure Identity.

استخدم البرنامج النصي التالي لاسترداد رمز مميز من نقطة النهاية المحلية عن طريق تحديد URI لمورد لخدمة Azure:

$resourceURI = "https://<AAD-resource-URI-for-resource-to-obtain-token>"
$tokenAuthURI = $env:IDENTITY_ENDPOINT + "?resource=$resourceURI&api-version=2019-08-01"
$tokenResponse = Invoke-RestMethod -Method Get -Headers @{"X-IDENTITY-HEADER"="$env:IDENTITY_HEADER"} -Uri $tokenAuthURI
$accessToken = $tokenResponse.access_token

1. في جزء التنقل الأيمن من صفحة التطبيق، مرِّر لأسفل وصولاً إلى مجموعة الإعدادات.

2. حدد "Identity". ثم اتبع الخطوات بناءً على نوع الهوية:

   • الهوية التي يعيّنها النظام: ضمن علامة التبويب "System assigned"، بدِّل الحالة إلى إيقاف التشغيل. انقر فوق حفظ.
   • الهوية التي يعيّنها المستخدم: حدد علامة التبويب "User assigned"، وحدد خانة الاختيار للهوية، وحدد "Remove". حدد نعم للتأكيد.

لإزالة الهوية التي يعيّنها النظام:

az webapp identity remove --name <app-name> --resource-group <group-name>

لإزالة هوية واحدة أو أكثر من الهويات التي يعيّنها المستخدم:

az webapp identity remove --name <app-name> --resource-group <group-name> --identities <identity-id1> <identity-id2> ...

يمكنك أيضًا إزالة هوية النظام المعينة بتحديد [system] في --identities.

لخدمة التطبيق

شغِّل الأمر Set-AzWebApp -AssignIdentity لإزالة الهوية التي يعيّنها النظام لخدمة التطبيق:

Set-AzWebApp -AssignIdentity $false -Name <app-name> -ResourceGroupName <group-name> 

للوظائف

لإزالة جميع الهويّات في Azure PowerShell (وظائف Azure فقط):

# Update an existing function app to have IdentityType "None".
Update-AzFunctionApp -Name $functionAppName -ResourceGroupName $resourceGroupName -IdentityType None

لإزالة جميع الهويّات في قالب ARM:

"identity": {
    "type": "None"
}