Authentifier les applications Go hébergées sur Azure aux ressources Azure à l’aide d’une identité managée attribuée par le système.

L’approche recommandée pour authentifier une application hébergée Azure sur d’autres ressources Azure consiste à utiliser une identité managed. Cette approche est prise en charge pour la plupart des services Azure, y compris les applications hébergées sur Azure App Service, Azure Container Apps et Azure Virtual Machines. Découvrez plus d’informations sur les différentes techniques et approches d’authentification sur la page vue d’ensemble de l’authentification. Dans les sections à venir, vous allez apprendre :

• Concepts essentiels de l’identité managée
• Comment créer une identité managée affectée par le système pour votre application
• Comment attribuer des rôles à l’identité managée affectée par le système
• Comment s’authentifier à l’aide de l’identité managée affectée par le système à partir de votre code d’application

Concepts essentiels de l’identité managée

Une identité managée permet à votre application de se connecter en toute sécurité à d’autres ressources Azure sans utiliser de clés secrètes ou d’autres secrets d’application. En interne, Azure effectue le suivi de l'identité et des ressources auxquelles il est autorisé à se connecter. Azure utilise ces informations pour obtenir automatiquement des jetons Microsoft Entra pour que l’application lui permette de se connecter à d’autres ressources Azure.

Il existe deux types d’identités managées à prendre en compte lors de la configuration de votre application hébergée :

• Les identités managées affectées par le système sont activées directement sur une ressource Azure et sont liées à son cycle de vie. Lorsque la ressource est supprimée, Azure supprime automatiquement l’identité pour vous. Les identités affectées par le système fournissent une approche minimaliste de l’utilisation d’identités managées.
• Identités managées attribuées par l'utilisateur sont créées en tant qu'entités autonomes d'Azure et offrent une plus grande flexibilité et des fonctionnalités. Elles sont idéales pour les solutions impliquant plusieurs ressources Azure qui doivent partager les mêmes identités et autorisations. Par exemple, si plusieurs machines virtuelles doivent accéder au même ensemble de ressources Azure, une identité managée affectée par l’utilisateur fournit une réutilisation et une gestion optimisée.

Les sections suivantes décrivent les étapes permettant d’activer et d’utiliser une identité managée affectée par le système pour une application hébergée Azure. Si vous devez utiliser une identité managée affectée par l’utilisateur, consultez l’article sur les identités managées affectées par l’utilisateur pour plus d’informations.

Activer une identité managée affectée par le système sur la ressource d’hébergement Azure

Pour commencer à utiliser une identité managée affectée par le système avec votre application, activez l’identité sur la ressource Azure hébergeant votre application, telle qu’une Azure App Service, une Azure Container Apps ou une instance Azure Virtual Machines.

Vous pouvez activer une identité managée affectée par le système pour une ressource Azure à l’aide du portail Azure ou du Azure CLI.

az webapp identity assign \
    --resource-group <resource-group-name> \
    --name <web-app-name>

az containerapp identity assign \
    --resource-group <resource-group-name> \
    --name <container-app-name> \
    --system-assigned

az vm identity assign \
    --resource-group <resource-group-name> \
    --name <virtual-machine-name>

{
  "principalId": "aaaaaaaa-bbbb-cccc-1111-222222222222",
  "tenantId": "aaaabbbb-0000-cccc-1111-dddd2222eeee",
  "type": "SystemAssigned",
  "userAssignedIdentities": null
}

Attribuer des rôles à l’identité managée

Ensuite, déterminez les rôles dont votre application a besoin et attribuez ces rôles à l’identité managée. Vous pouvez attribuer des rôles à une identité managée dans les étendues suivantes :

• ressource: les rôles attribués s’appliquent uniquement à cette ressource spécifique.
• groupe de ressources: les rôles attribués s’appliquent à toutes les ressources contenues dans le groupe de ressources.
• Abonnement: les rôles attribués s’appliquent à toutes les ressources contenues dans l’abonnement.

L’exemple suivant montre comment attribuer des rôles à l’étendue du groupe de ressources, car de nombreuses applications gèrent toutes leurs ressources Azure associées à l’aide d’un seul groupe de ressources.

az role assignment create \
    --assignee "{managedIdentityId}" \
    --role "{roleName}" \
    --scope "{scope}"

az role definition list \
    --query "sort_by([].{roleName:roleName, description:description}, &roleName)" \
    --output table

az role assignment create \
    --assignee aaaaaaaa-bbbb-cccc-1111-222222222222 \
    --role "Storage Blob Data Contributor" \
    --scope "/subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/msdocs-sdk-auth-example"

S’authentifier auprès de Azure services à partir de votre application

Le module azidentity fournit diverses credentials - implémentations de TokenCredential adaptées à la prise en charge de différents scénarios et flux d’authentification Microsoft Entra. Étant donné que l’identité managée n’est pas disponible lors de l’exécution locale, les étapes à suivre illustrent les informations d’identification à utiliser dans quel scénario :

• Environnement de développement local : pendant le développement local uniquement, utilisez DefaultAzureCredential pour une chaîne d’informations d’identification préconfigurée et avisée. DefaultAzureCredential découvre les informations d’identification de l’utilisateur à partir de vos outils de développement locaux, tels que le Azure CLI. Il offre également une flexibilité et une commodité pour les nouvelles tentatives, les temps d’attente pour les réponses et la prise en charge de plusieurs options d’authentification. Consultez l’article Authenticate pour Azure services pendant le développement local pour en savoir plus.
• applications hébergées Azure : quand votre application s’exécute dans Azure, utilisez ManagedIdentityCredential pour découvrir en toute sécurité l’identité managée configurée pour votre application. La spécification de ce type exact d’informations d’identification empêche les autres informations d’identification disponibles d’être récupérées de manière inattendue.

Implémenter le code

Ajoutez le module azidentity.

Dans un terminal de votre choix, accédez au répertoire du projet d’application et exécutez les commandes suivantes :

go get github.com/Azure/azure-sdk-for-go/sdk/azidentity

Azure services sont accessibles à l’aide de clients spécialisés à partir des différentes bibliothèques clientes Azure SDK. Pour tout code Go qui instancie un client Azure SDK dans votre application, vous devez :

1. Importez le package azidentity.
2. Créez une instance de type DefaultAzureCredential.
3. Transmettez l'instance de type DefaultAzureCredential au constructeur du client Azure SDK.
4. Définissez la AZURE_TOKEN_CREDENTIALS variable d’environnement à ManagedIdentityCredential pour garantir que DefaultAzureCredential utilise uniquement l'identité managée. Cette pratique rend l’authentification plus prévisible et plus facile à déboguer lorsqu’elle est déployée sur Azure. Pour plus d’informations, consultez Utiliser des informations d’identification spécifiques.

Un exemple de ces étapes est illustré dans l'extrait de code suivant avec un client de Blob de stockage Azure.

import (
	"context"
	"github.com/Azure/azure-sdk-for-go/sdk/azidentity"
	"github.com/Azure/azure-sdk-for-go/sdk/storage/azblob"
)

const (
	account       = "https://<replace_with_your_storage_account_name>.blob.core.windows.net/"
	containerName = "sample-container"
	blobName      = "sample-blob"
	sampleFile    = "path/to/sample/file"
)

func main() {
	// create a credential
	cred, err := azidentity.NewDefaultAzureCredential(nil)
	if err != nil {
	  // TODO: handle error
	}

	// create a client for the specified storage account
	client, err := azblob.NewClient(account, cred, nil)
	if err != nil {
	  // TODO: handle error
	}

	// TODO: perform some action with the azblob Client
	// _, err = client.DownloadFile(context.TODO(), <containerName>, <blobName>, <target_file>, <DownloadFileOptions>)
}

Dans l’article Aperçu de l’authentification Azure SDK pour Go, DefaultAzureCredential prend en charge plusieurs méthodes d’authentification et détermine la méthode utilisée au moment de l’exécution. L’avantage de cette approche est que votre application peut utiliser différentes méthodes d’authentification dans différents environnements sans implémenter de code spécifique à l’environnement. Lorsque le code précédent est exécuté sur votre station de travail pendant le développement local, DefaultAzureCredential utilise un principal de service d’application, tel que déterminé par les paramètres d’environnement ou les informations d’identification de l’outil développeur pour s’authentifier auprès d’autres ressources Azure. Par conséquent, le même code peut être utilisé pour authentifier votre application pour Azure ressources pendant le développement local et lorsqu’elle est déployée sur Azure.

Une alternative à DefaultAzureCredential consiste à utiliser ManagedIdentityCredential. Les étapes d’utilisation ManagedIdentityCredential sont les mêmes que pour l’utilisation du DefaultAzureCredential type.

Un exemple de ces étapes est illustré dans l'extrait de code suivant avec un client de Blob de stockage Azure.

import (
	"context"
	"github.com/Azure/azure-sdk-for-go/sdk/azidentity"
	"github.com/Azure/azure-sdk-for-go/sdk/storage/azblob"
)

const (
                    // Replace placeholder text with your storage account name
	account       = "https://<replace_with_your_storage_account_name>.blob.core.windows.net/"
	containerName = "sample-container"
	blobName      = "sample-blob"
	sampleFile    = "path/to/sample/file"
)

func main() {
	// create a credential
	cred, err := azidentity.NewManagedIdentityCredential(nil)
	
	// When using User Assigned Managed Identity use this instead and pass your client id in the options
	// clientID := azidentity.ClientID("abcd1234-...")
	// opts := azidentity.ManagedIdentityCredentialOptions{ID: clientID}
	// cred, err := azidentity.NewManagedIdentityCredential(&opts)
	
	if err != nil {
	  // TODO: handle error
	}
	
	// create a client for the specified storage account
	client, err := azblob.NewClient(account, cred, nil)
	if err != nil {
	  // TODO: handle error
	}
	
	// TODO: perform some action with the azblob Client
	// _, err = client.DownloadFile(context.TODO(), <containerName>, <blobName>, <target_file>, <DownloadFileOptions>)
}