Migrar um aplicativo para usar conexões sem senha com o Armazenamento de Blobs do Azure

1. No portal do Azure, localize sua conta de armazenamento usando a barra de pesquisa principal ou a navegação à esquerda.

2. Na página de visão geral da conta de armazenamento, selecione Controle de acesso (IAM) no menu à esquerda.

3. Na página Controle de acesso (IAM), selecione a guia Atribuições de função.

4. Selecione + Adicionar no menu superior e, em seguida, Adicionar atribuição de função no menu suspenso resultante.

   

5. Use a caixa de pesquisa para filtrar os resultados para a função desejada. Para este exemplo, procure por Storage Blob Data Contributor e selecione o resultado correspondente e, em seguida, escolha Next.

6. Em Atribuir acesso a, selecione Utilizador, grupo ou entidade de serviço e, em seguida, selecione + Selecionar membros.

7. Na caixa de diálogo, procure seu nome de usuário do Microsoft Entra (geralmente seu endereço de e-mail user@domain ) e escolha Selecionar na parte inferior da caixa de diálogo.

8. Selecione Rever + atribuir para ir para a página final e, em seguida , Rever + atribuir novamente para concluir o processo.

Para atribuir uma função no nível de recurso usando a CLI do Azure, primeiro você deve recuperar a id do recurso usando o az storage account show comando. Você pode filtrar as propriedades de saída usando o --query parâmetro.

az storage account show --resource-group '<your-resource-group-name>' --name '<your-storage-account-name>' --query id

Copie a saída Id do comando anterior. Em seguida, você pode atribuir funções usando o comando az role da CLI do Azure.

az role assignment create --assignee "<user@domain>" \
    --role "Storage Blob Data Contributor" \
    --scope "<your-resource-id>"

Para atribuir uma função no nível de recurso usando o Azure PowerShell, primeiro você deve recuperar a ID do recurso usando o Get-AzResource comando.

Get-AzResource -ResourceGroupName "<yourResourceGroupname>" -Name "<yourStorageAccountName>"

Copie o Id valor da saída do comando anterior. Em seguida, você pode atribuir funções usando o comando New-AzRoleAssignment no PowerShell.

New-AzRoleAssignment -SignInName <user@domain> `
    -RoleDefinitionName "Storage Blob Data Contributor" `
    -Scope <yourStorageAccountId>

Entre no Azure por meio da CLI do Azure usando o seguinte comando:

az login

Selecione o botão Entrar no canto superior direito do Visual Studio.

Entre usando a conta do Microsoft Entra à qual você atribuiu uma função anteriormente.

Você precisará instalar a CLI do Azure para trabalhar com DefaultAzureCredential o Visual Studio Code.

No menu principal do Visual Studio Code, navegue até Terminal > New Terminal.

Entre no Azure por meio da CLI do Azure usando o seguinte comando:

az login

Entre no Azure usando o PowerShell por meio do seguinte comando:

Connect-AzAccount

1. Para usar DefaultAzureCredential em um aplicativo .NET, instale o Azure.Identity pacote:

   dotnet add package Azure.Identity
   

2. Na parte superior do ficheiro, adicione o seguinte código:

   using Azure.Identity;
   

3. Identifique os locais em seu código que criam um BlobServiceClient para se conectar ao Armazenamento de Blobs do Azure. Atualize seu código para corresponder ao exemplo a seguir:

   DefaultAzureCredential credential = new();
   
   BlobServiceClient blobServiceClient = new(
       new Uri($"https://{storageAccountName}.blob.core.windows.net"),
       credential);
   

1. Para usar DefaultAzureCredential em um aplicativo Go, instale o azidentity módulo:

   go get -u github.com/Azure/azure-sdk-for-go/sdk/azidentity
   

2. Na parte superior do ficheiro, adicione o seguinte código:

   import (
       "github.com/Azure/azure-sdk-for-go/sdk/azidentity"
   )
   

3. Identifique os locais em seu código que criam uma Client instância para se conectar ao Armazenamento de Blobs do Azure. Atualize seu código para corresponder ao exemplo a seguir:

   cred, err := azidentity.NewDefaultAzureCredential(nil)
   if err != nil {
       // handle error
   }
   
   serviceURL := fmt.Sprintf("https://%s.blob.core.windows.net", storageAccountName)
   client, err := azblob.NewClient(serviceURL, cred, nil)
   if err != nil {
       // handle error
   }
   

1. Para usar DefaultAzureCredential em uma aplicação Java, instale o azure-identity pacote através de uma das seguintes abordagens:

   1. Inclua o arquivo BOM.
   2. Inclua uma dependência direta.

2. Na parte superior do ficheiro, adicione o seguinte código:

   import com.azure.identity.DefaultAzureCredentialBuilder;
   

3. Identifique os locais em seu código que criam um BlobServiceClient objeto para se conectar ao Armazenamento de Blobs do Azure. Atualize seu código para corresponder ao exemplo a seguir:

   DefaultAzureCredential credential = new DefaultAzureCredentialBuilder()
       .build();
   String endpoint = 
       String.format("https://%s.blob.core.windows.net", storageAccountName);
   
   BlobServiceClient blobServiceClient = new BlobServiceClientBuilder()
       .endpoint(endpoint)
       .credential(credential)
       .buildClient();
   

1. Para usar DefaultAzureCredential em um aplicativo Node.js, instale o @azure/identity pacote:

   npm install --save @azure/identity
   

2. Na parte superior do ficheiro, adicione o seguinte código:

   import { DefaultAzureCredential } from "@azure/identity";
   

3. Identifique os locais em seu código que criam um BlobServiceClient objeto para se conectar ao Armazenamento de Blobs do Azure. Atualize seu código para corresponder ao exemplo a seguir:

   const credential = new DefaultAzureCredential();
   
   const blobServiceClient = new BlobServiceClient(
     `https://${storageAccountName}.blob.core.windows.net`,
     credential
   );    
   

1. Para usar DefaultAzureCredential em um aplicativo Python, instale o azure-identity pacote:

   pip install azure-identity
   

2. Na parte superior do ficheiro, adicione o seguinte código:

   from azure.identity import DefaultAzureCredential
   

3. Identifique os locais em seu código que criam um BlobServiceClient objeto para se conectar ao Armazenamento de Blobs do Azure. Atualize seu código para corresponder ao exemplo a seguir:

   credential = DefaultAzureCredential()
   
   blob_service_client = BlobServiceClient(
       account_url = "https://%s.blob.core.windows.net" % storage_account_name,
       credential = credential
   )
   

1. Na parte superior do portal do Azure, procure identidades gerenciadas. Selecione o resultado Identidades gerenciadas.
2. Selecione + Criar na parte superior da página de visão geral de Identidades Gerenciadas .
3. Na guia Noções básicas, insira os seguintes valores:
   • Assinatura: Selecione a assinatura desejada.
   • Grupo de recursos: selecione o grupo de recursos desejado.
   • Região: selecione uma região perto da sua localização.
   • Nome: insira um nome reconhecível para sua identidade, como MigrationIdentity.
4. Selecione Rever + criar na parte inferior da página.
5. Quando as verificações de validação terminarem, selecione Criar. O Azure cria uma nova identidade atribuída pelo usuário.

Depois que o recurso for criado, selecione Ir para o recurso para exibir os detalhes da identidade gerenciada.

Use o comando az identity create para criar uma identidade gerenciada atribuída pelo usuário:

az identity create --name MigrationIdentity --resource-group <your-resource-group>

Conclua as etapas a seguir no portal do Azure para associar uma identidade ao seu aplicativo. Estas mesmas etapas se aplicam aos seguintes serviços do Azure:

• Azure Spring Apps
• Azure Container Apps
• Máquinas virtuais do Azure
• Azure Kubernetes Service

1. Navegue até a página de visão geral do seu aplicativo Web.

2. Selecione Identidade na navegação à esquerda.

3. Na página Identidade, alterne para a guia Usuário atribuído.

4. Selecione + Adicionar para abrir o submenu Adicionar identidade gerenciada atribuída ao usuário.

5. Selecione a assinatura usada anteriormente para criar a identidade.

6. Procure a MigrationIdentity pelo nome e selecione-a nos resultados da pesquisa.

7. Selecione Adicionar para associar a identidade ao seu aplicativo.

   

Use os seguintes comandos da CLI do Azure para associar uma identidade ao seu aplicativo:

Recupere a ID da identidade gerenciada que você criou usando o comando az identity show . Copie o valor de saída para usar na próxima etapa.

az identity show --name MigrationIdentity -g <your-identity-resource-group-name> --query id

az webapp identity assign \
    --resource-group <resource-group-name> \
    --name <webapp-name>
    --identities <managed-identity-id>

az spring app identity assign \
    --resource-group <resource-group-name> \
    --name <app-name> \
    --service <service-name>
    --user-assigned <managed-identity-id>

az containerapp identity assign \
    --resource-group <resource-group-name> \
    --name <app-name>
    --user-assigned <managed-identity-id>

az vm identity assign \
    --resource-group <resource-group-name> \
    --name <virtual-machine-name>
    --identities <managed-identity-id>

az aks update \
    --resource-group <resource-group-name> \
    --name <cluster-name> \
    --enable-managed-identity \
    --assign-identity <managed-identity-id> \
    --assign-kubelet-identity <managed-identity-id>

Você pode usar o Service Connector para criar uma conexão entre um ambiente de hospedagem de computação do Azure e um serviço de destino usando a CLI do Azure. Os comandos da CLI do Service Connector atribuem automaticamente a função adequada à sua identidade. Você pode saber mais sobre o Service Connector e quais cenários são suportados na página de visão geral.

1. Recupere a ID do cliente da identidade gerenciada que você criou usando o az identity show comando. Copie o valor para uso posterior.

   az identity show --name MigrationIdentity --resource-group <your-resource-group> --query clientId
   

2. Use o comando apropriado da CLI para estabelecer a conexão de serviço:

   • Serviço de Aplicações do Azure
   • Azure Spring Apps
   • Aplicativos de contêiner do Azure

   Se você estiver usando um Serviço de Aplicativo do Azure, use o comando az webapp connection :

   az webapp connection create storage-blob \
       --resource-group <resource-group-name> \
       --name <webapp-name> \
       --target-resource-group <target-resource-group-name> \
       --account <target-storage-account-name> \
       --user-identity "client-id=<your-identity-client-id>" "subs-id=<your-subscription-id>"
   

1. Navegue até a página de visão geral da conta de armazenamento e selecione Controle de acesso (IAM) na navegação à esquerda.

2. Escolha Adicionar atribuição de função

   

3. Na caixa Pesquisa de função, procure por Colaborador de Dados de Blob de Armazenamento, que é uma função comum usada para gerenciar operações de dados para blobs. Você pode atribuir qualquer função apropriada para seu caso de uso. Selecione o Colaborador de Dados de Blob de Armazenamento na lista e escolha Avançar.

4. Na tela Adicionar atribuição de função, para a opção Atribuir acesso a, selecione Identidade gerenciada. Em seguida, escolha +Selecionar membros.

5. No submenu, procure a identidade gerenciada criada pelo nome e selecione-a nos resultados. Escolha Selecionar para fechar o menu suspenso.

   

6. Selecione Avançar algumas vezes até conseguir selecionar Revisar + atribuir para concluir a atribuição de função.

Para atribuir uma função no nível de recurso usando a CLI do Azure, primeiro você deve recuperar a ID do recurso usando o comando az storage account show. Você pode filtrar as propriedades de saída usando o --query parâmetro.

az storage account show \
    --resource-group '<your-resource-group-name>' \
    --name '<your-storage-account-name>' \
    --query id

Copie o ID de saída do comando anterior. Em seguida, você pode atribuir funções usando o comando az role assignment da CLI do Azure.

az role assignment create \
    --assignee "<your-username>" \
    --role "Storage Blob Data Contributor" \
    --scope "<your-resource-id>"

Se você conectou seus serviços usando o Service Connector, não precisará concluir esta etapa. As configurações de função necessárias foram manipuladas para você quando você executou os comandos da CLI do Service Connector.