Autenticare le app JavaScript ospitate su Azure alle risorse di Azure usando un'identità gestita assegnata dall'utente

L'approccio consigliato per autenticare un'app ospitata Azure in altre risorse di Azure consiste nell'usare un'identità managed identity. Questo approccio è supportato per la maggior parte dei servizi Azure, incluse le app ospitate in Azure App Service, Azure Container Apps e Azure Virtual Machines. Altre informazioni sulle diverse tecniche e approcci di autenticazione sono disponibili nella pagina di panoramica dell'autenticazione . Nelle sezioni successive si apprenderà quanto descritto di seguito:

Concetti essenziali relativi all'identità gestita
Come creare un'identità gestita assegnata dall'utente per l'app
Come assegnare ruoli all'identità gestita assegnata dall'utente
Come eseguire l'autenticazione usando l'identità gestita assegnata dall'utente dal codice dell'app

Concetti essenziali relativi all'identità gestita

Un'identità gestita consente all'app di connettersi in modo sicuro ad altre risorse Azure senza usare chiavi segrete o altri segreti dell'applicazione. Internamente, Azure tiene traccia dell'identità e delle risorse a cui è consentito connettersi. Azure usa queste informazioni per ottenere automaticamente token di Microsoft Entra per consentire all'app di connettersi ad altre risorse Azure.

Esistono due tipi di identità gestite da considerare durante la configurazione dell'app ospitata:

Assegnate dal sistema, le identità gestite vengono abilitate direttamente in una risorsa di Azure e sono associate al suo ciclo di vita. Quando la risorsa viene eliminata, Azure elimina automaticamente l'identità per te. Le identità assegnate dal sistema offrono un approccio minimalista all'uso delle identità gestite.
Identità gestite assegnate dall'utente vengono create come risorse Azure autonome e offrono maggiore flessibilità e funzionalità. Sono ideali per soluzioni che coinvolgono più risorse Azure che devono condividere la stessa identità e le stesse autorizzazioni. Ad esempio, se più macchine virtuali devono accedere allo stesso set di risorse Azure, un'identità gestita assegnata dall'utente offre la riutilizzabilità e la gestione ottimizzata.

Suggerimento

Altre informazioni sulla selezione e sulla gestione delle identità gestite assegnate dal sistema e assegnate dall'utente sono disponibili nell'articolo Raccomandazioni sulle procedure consigliate sulle identità gestite .

Le sezioni seguenti descrivono i passaggi per abilitare e usare un'identità gestita assegnata dall'utente per un'app ospitata Azure. Se è necessario usare un'identità gestita assegnata dal sistema, vedere l'articolo Identità gestite assegnate dal sistema per altre informazioni.

Creare un'identità gestita assegnata dall'utente

Le identità gestite assegnate dall'utente vengono create come risorse autonome nella sottoscrizione Azure usando il portale di Azure o il Azure CLI. I comandi di Azure CLI possono essere eseguiti nel Azure Cloud Shell o su una workstation con Azure CLI installata.

Portale Azure
Azure CLI

Nel portale di Azure immettere Managed identities nella barra di ricerca principale e selezionare il risultato corrispondente nella sezione Services.
Nella pagina Identità gestite selezionare + Crea.
Nella pagina Crea identità gestita assegnata dall'utente selezionare una sottoscrizione, un gruppo di risorse e un'area per l'identità gestita assegnata dall'utente e quindi specificare un nome.
Seleziona Rivedi e crea per esaminare e convalidare i dati.
Selezionare Crea per creare l'identità gestita assegnata dall'utente.
Dopo aver creato l'identità, selezionare Vai alla risorsa.
Nella pagina panoramica della nuova identità, copiare il valore ID client da utilizzare successivamente per configurare il codice dell'applicazione.

Usare il comando Azure CLI az identity create per creare un'identità gestita:

az identity create \
    --resource-group <resource-group-name> \
    --name <identity-name> \
    --query 'clientId' \
    --output json

L'output del comando stampa l'ID del client della identità gestita creata e assegnata dall'utente. L'ID client viene usato per configurare il codice dell'applicazione che si basa sull'identità.

È sempre possibile visualizzare di nuovo le proprietà dell'identità gestita usando il comando az identity show:

az identity show \
    --resource-group <your-resource-group> \
    --name <your-managed-identity-name> \
    --output json

Assegna l'identità gestita alla tua app

Un'identità gestita assegnata dall'utente può essere associata a una o più risorse Azure. Tutte le risorse che usano tale identità ottengono le autorizzazioni applicate tramite i ruoli dell'identità.

Portale Azure
Azure CLI

Nel portale di Azure passare alla risorsa che ospita il codice dell'app, ad esempio un'istanza di Azure App Service o Azure Container Apps.
Nella Pagina Panoramica della risorsa, espandere Impostazioni e selezionare Identità nel menu di navigazione.
Nella pagina Identità , passare alla scheda Assegnata dall'utente .
Selezionare + Aggiungi per aprire il pannello Aggiungi identità gestita assegnata dall'utente.
Nel pannello Aggiungi identità gestita assegnata dall'utente, usa il menu a discesa Sottoscrizione per filtrare i risultati della ricerca per le tue identità. Usare la casella di ricerca Identità gestite assegnate dall'utente per individuare l'identità gestita assegnata dall'utente abilitata per la risorsa Azure che ospita l'app.
Selezionare l'identità e scegliere Aggiungi nella parte inferiore del pannello per continuare.

Il Azure CLI fornisce comandi diversi per assegnare un'identità gestita assegnata dall'utente a diversi tipi di servizi di hosting.

Per assegnare un'identità gestita assegnata dall'utente a una risorsa, ad esempio un'app Web Azure App Service usando il Azure CLI, è necessario l'ID risorsa dell'identità. Usare il comando az identity show per recuperare l'ID risorsa:
```
az identity show \
    --resource-group <your-resource-group> \
    --name <your-managed-identity-name> \
    --output json \
    --query id
```

Dopo aver ottenuto l'ID risorsa, usare il comando Azure CLI comando az <resourceType> identity assign per associare l'identità gestita assegnata dall'utente a risorse diverse, ad esempio:

Per Azure App Service, usare il comando Azure CLI az webapp identity assign:

az webapp identity assign \
    --resource-group <resource-group-name> \
    --name <webapp-name> \
    --identities <user-assigned-identity-resource-id>

Per Azure Container Apps, usare il comando Azure CLI az containerapp identity assign:

az containerapp identity assign \
    --resource-group <resource-group-name> \
    --name <containerapp-name> \
    --user-assigned <user-assigned-identity-resource-id>

Per Azure Virtual Machines, usare il comando Azure CLI az vm identity assign:

az vm identity assign \
    --resource-group <resource-group-name> \
    --name <vm-name> \
    --identities <user-assigned-identity-resource-id>

Assegnare ruoli all'identità gestita

Successivamente, determinare i ruoli necessari per l'app e assegnare tali ruoli all'identità gestita. È possibile assegnare ruoli a un'identità gestita negli ambiti seguenti:

risorsa: i ruoli assegnati si applicano solo a tale risorsa specifica.
gruppo di risorse: i ruoli assegnati si applicano a tutte le risorse contenute nel gruppo di risorse.
Sottoscrizione: I ruoli assegnati si applicano a tutte le risorse contenute nella sottoscrizione.

L'esempio seguente illustra come assegnare ruoli nell'ambito del gruppo di risorse, poiché molte app gestiscono tutte le risorse Azure correlate usando un singolo gruppo di risorse.

Portale Azure
Azure CLI

Passare alla pagina panoramica del gruppo di risorse che contiene l'app con l'identità gestita assegnata dall'utente.
Selezionare Controllo di accesso (IAM) nella navigazione a sinistra.
Nella pagina Controllo di accesso (IAM), seleziona + Aggiungi nel menu in alto e quindi scegli Aggiungi assegnazione di ruolo per passare alla pagina Aggiungi assegnazione di ruolo.
La pagina Aggiungi assegnazione di ruolo presenta un flusso di lavoro a schede suddiviso in più passaggi per assegnare ruoli alle identità. Nella scheda iniziale Ruolo, usare la casella di ricerca in alto per individuare il ruolo da assegnare all'identità.
Selezionare il ruolo nei risultati e quindi scegliere Avanti per passare alla scheda Membri.
Per l'opzione Assegna accesso a, selezionare identità gestita.
Per l'opzione Membri, scegliere + Seleziona membri per aprire il pannello Seleziona identità gestite.
Nel pannello Seleziona identità gestite, utilizza i menu a tendina Sottoscrizione e Identità gestita per filtrare i risultati della ricerca delle tue identità. Usare la casella di ricerca Select per individuare l'identità gestita assegnata dall'utente abilitata per la risorsa Azure che ospita l'app.
Selezionare l'identità e scegliere Selezionare nella parte inferiore del pannello per continuare.
Selezionare Rivedi e assegna nella parte inferiore della pagina.
Nella scheda finale Rivedi e assegna, selezionare Rivedi e assegna per completare il flusso di lavoro.

Per assegnare un ruolo a un'identità gestita assegnata dall'utente utilizzando Azure CLI, è necessario l'ID principale dell'identità. Usare il comando az identity show per recuperare l'ID principale:
```
az identity show \
    --resource-group <your-resource-group> \
    --name <your-managed-identity-name> \
    --output json \
    --query principalId
```

Usare il comando az role definition list per esplorare i ruoli a cui è possibile assegnare un'identità gestita:

az role definition list \
    --query "sort_by([].{roleName:roleName, description:description}, &roleName)" \
    --output table

Assegna un ruolo a un'identità gestita utilizzando il comando az role assignment create:
```
az role assignment create \
    --assignee <your-principal-id> \
    --role <role-name> \
    --scope <scope>
```
Ad esempio, per consentire all'identità gestita con l'ID di 99999999-9999-9999-9999-999999999999 l'accesso in lettura, scrittura ed eliminazione ai contenitori BLOB e ai dati di Azure Storage da tutti i conti di archiviazione nel gruppo di risorse msdocs-sdk-auth-example, assegnare il principale del servizio dell'applicazione al ruolo Storage Blob Data Contributor utilizzando il comando seguente:
```
az role assignment create \
    --assignee 99999999-9999-9999-9999-999999999999 \
    --role "Storage Blob Data Contributor" \
    --scope "/subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/msdocs-sdk-auth-example"
```

Per informazioni sull'assegnazione di autorizzazioni a livello di risorsa o sottoscrizione tramite il Azure CLI, vedere l'articolo Assegnare ruoli Azure usando il Azure CLI.

Eseguire l'autenticazione ai servizi di Azure dalla tua app

La libreria Azure Identity fornisce varie credentials- implementazioni di TokenCredential adattate al supporto di diversi scenari e flussi di autenticazione Microsoft Entra. Poiché l'identità gestita non è disponibile durante l'esecuzione in locale, i passaggi successivi illustrano quali credenziali usare in quale scenario:

ambiente di sviluppo locale: durante lo sviluppo locale solo, usare una classe denominata DefaultAzureCredential per una catena di credenziali preconfigurata e opinata. DefaultAzureCredential individua le credenziali utente dall'IDE o dagli strumenti locali, ad esempio il Azure CLI o l'Visual Studio Code. Offre inoltre flessibilità e praticità per i tentativi, i tempi di attesa per le risposte e il supporto per più opzioni di autenticazione. Per ulteriori informazioni, visitare l'articolo Autenticazione ai servizi Azure durante lo sviluppo locale.
Azure-hosted apps: quando l'app è in esecuzione in Azure, usare ManagedIdentityCredential per individuare in modo sicuro l'identità gestita configurata per l'app. La specifica di questo tipo esatto di credenziali impedisce che altre credenziali disponibili vengano prelevate in modo imprevisto.

Implementare il codice

In un progetto JavaScript aggiungere il pacchetto @azure/identity . In un terminale di propria scelta passare alla directory del progetto dell'applicazione ed eseguire i comandi seguenti:

npm install @azure/identity

Azure servizi sono accessibili usando classi client specializzate dalle varie librerie client Azure SDK. In index.jscompletare i passaggi seguenti per configurare l'autenticazione basata su token:

Importare il pacchetto @azure/identity.
Passa un'istanza TokenCredential appropriata al client:
- Usa DefaultAzureCredential quando l'app è in esecuzione in locale.
- Usare ManagedIdentityCredential quando l'app è in esecuzione in Azure e configurare l'ID client, l'ID risorsa o l'ID oggetto.

L'ID client viene usato per identificare un'identità gestita durante la configurazione di applicazioni o servizi che devono eseguire l'autenticazione usando tale identità.

Recuperare l'ID client assegnato a un'identità gestita assegnata dall'utente usando il comando seguente:

az identity show \
    --resource-group <resource-group-name> \
    --name <identity-name> \
    --query 'clientId'

Configurare ManagedIdentityCredential con l'ID client:

import { BlobServiceClient } from '@azure/storage-blob';
import { ManagedIdentityCredential, DefaultAzureCredential } from '@azure/identity';

console.log(process.env);

function createBlobServiceClient() {
    const accountName = process.env.AZURE_STORAGE_ACCOUNT_NAME;
    if (!accountName) throw Error('Azure Storage accountName not found');
    const url = `https://${accountName}.blob.core.windows.net`;

    if (process.env.NODE_ENV === "production") {
        const clientId = process.env.AZURE_CLIENT_ID;
        if (!clientId) throw Error('AZURE_CLIENT_ID not found for Managed Identity');
        return new BlobServiceClient(url, new ManagedIdentityCredential(clientId));
    } else {
        return new BlobServiceClient(url, new DefaultAzureCredential());
    }
}

async function main() {
    try {
        const blobServiceClient = createBlobServiceClient();
        const containerClient = blobServiceClient.getContainerClient(process.env.AZURE_STORAGE_CONTAINER_NAME);
        // do something with client
        const properties = await containerClient.getProperties();

        console.log(properties);
    } catch (err) {
        console.error("Error retrieving container properties:", err.message);
        throw err;
    }
}

main().catch((err) => {
    console.error("Error running sample:", err.message);
    process.exit(1);
});

L'ID risorsa identifica in modo univoco la risorsa identità gestita all'interno della sottoscrizione Azure usando la struttura seguente:

/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.ManagedIdentity/userAssignedIdentities/{identityName}

Gli ID risorsa possono essere compilati per convenzione, in modo da renderli più pratici quando si lavora con un numero elevato di identità gestite assegnate dall'utente nell'ambiente.

Recuperare l'ID risorsa per un'identità gestita assegnata dall'utente usando il comando seguente:

az identity show \
    --resource-group <resource-group-name> \
    --name <identity-name> \
    --query 'id'

Configurare ManagedIdentityCredential con il codice ID della risorsa:

import { BlobServiceClient } from '@azure/storage-blob';
import { ManagedIdentityCredential, DefaultAzureCredential } from '@azure/identity';


function createBlobServiceClient() {
    const accountName = process.env.AZURE_STORAGE_ACCOUNT_NAME;
    if (!accountName) throw Error('Azure Storage accountName not found');
    const url = `https://${accountName}.blob.core.windows.net`;

    if (process.env.NODE_ENV === "production") {
        const resourceId = process.env.AZURE_RESOURCE_ID;
        if (!resourceId) throw Error('AZURE_RESOURCE_ID not found for Managed Identity');
        return new BlobServiceClient(url, new ManagedIdentityCredential(resourceId));
    } else {
        return new BlobServiceClient(url, new DefaultAzureCredential());
    }
}

async function main() {
    try {
        const blobServiceClient = createBlobServiceClient();
        const containerClient = blobServiceClient.getContainerClient(process.env.AZURE_STORAGE_CONTAINER_NAME);
        // do something with client
        const properties = await containerClient.getProperties();

        console.log(properties);
    } catch (err) {
        console.error("Error retrieving container properties:", err.message);
        throw err;
    }
}

main().catch((err) => {
    console.error("Error running sample:", err.message);
    process.exit(1);
});

Un ID principale è un altro nome per un ID oggetto.

Recuperare l'ID oggetto per un'identità gestita assegnata dall'utente usando il comando seguente:

az identity show \
    --resource-group <resource-group-name> \
    --name <identity-name> \
    --query 'principalId'

Configurare ManagedIdentityCredential con l'ID oggetto:

import { BlobServiceClient } from '@azure/storage-blob';
import { ManagedIdentityCredential, DefaultAzureCredential } from '@azure/identity';


function createBlobServiceClient() {
    const accountName = process.env.AZURE_STORAGE_ACCOUNT_NAME;
    if (!accountName) throw Error('Azure Storage accountName not found');
    const url = `https://${accountName}.blob.core.windows.net`;

    if (process.env.NODE_ENV === "production") {
        const objectId = process.env.AZURE_OBJECT_ID;
        if (!objectId) throw Error('AZURE_OBJECT_ID not found for Managed Identity');
        return new BlobServiceClient(url, new ManagedIdentityCredential(objectId));
    } else {
        return new BlobServiceClient(url, new DefaultAzureCredential());
    }
}

async function main() {
    try {
        const blobServiceClient = createBlobServiceClient();
        const containerClient = blobServiceClient.getContainerClient(process.env.AZURE_STORAGE_CONTAINER_NAME);
        // do something with client
        const properties = await containerClient.getProperties();

        console.log(properties);
    } catch (err) {
        console.error("Error retrieving container properties:", err.message);
        throw err;
    }
}

main().catch((err) => {
    console.error("Error running sample:", err.message);
    process.exit(1);
});

Implementare il codice

In un progetto TypeScript aggiungere il pacchetto @azure/identity . In un terminale di propria scelta passare alla directory del progetto dell'applicazione ed eseguire i comandi seguenti:

npm install typescript @azure/identity @types/node

Azure servizi sono accessibili usando classi client specializzate dalle varie librerie client Azure SDK. In index.jscompletare i passaggi seguenti per configurare l'autenticazione basata su token:

Importare il pacchetto @azure/identity.
Passa al client un'appropriata istanza TokenCredential:
- Usa DefaultAzureCredential quando l'app è in esecuzione in locale
- Usare ManagedIdentityCredential quando l'app è in esecuzione in Azure e configurare l'ID client, l'ID risorsa o l'ID oggetto.

L'ID client viene usato per identificare un'identità gestita durante la configurazione di applicazioni o servizi che devono eseguire l'autenticazione usando tale identità.

Recuperare l'ID client assegnato a un'identità gestita assegnata dall'utente usando il comando seguente:

az identity show \
    --resource-group <resource-group-name> \
    --name <identity-name> \
    --query 'clientId'

Configurare ManagedIdentityCredential con l'ID client:

import { BlobServiceClient } from '@azure/storage-blob';
import { ManagedIdentityCredential, DefaultAzureCredential } from '@azure/identity';

function createBlobServiceClient(): BlobServiceClient {
    const accountName = process.env.AZURE_STORAGE_ACCOUNT_NAME;
    if (!accountName) throw Error('Azure Storage accountName not found');
    const url = `https://${accountName}.blob.core.windows.net`;

    if (process.env.NODE_ENV === "production") {
        const clientId = process.env.AZURE_CLIENT_ID;
        if (!clientId) throw Error('AZURE_CLIENT_ID not found for Managed Identity');
        return new BlobServiceClient(url, new ManagedIdentityCredential(clientId));
    } else {
        return new BlobServiceClient(url, new DefaultAzureCredential());
    }
}

async function main(): Promise<void> {
    try {
        const blobServiceClient = createBlobServiceClient();
        const containerClient = blobServiceClient.getContainerClient(process.env.AZURE_STORAGE_CONTAINER_NAME!);
        const properties = await containerClient.getProperties();

        console.log(properties);
    } catch (err: any) {
        console.error("Error retrieving container properties:", err.message);
        throw err;
    }
}

main().catch((err: Error) => {
    console.error("Error running sample:", err.message);
    process.exit(1);
});

L'ID risorsa identifica in modo univoco la risorsa identità gestita all'interno della sottoscrizione Azure usando la struttura seguente:

/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.ManagedIdentity/userAssignedIdentities/{identityName}

Gli ID risorsa possono essere compilati per convenzione, in modo da renderli più pratici quando si lavora con un numero elevato di identità gestite assegnate dall'utente nell'ambiente.

Recuperare l'ID risorsa per un'identità gestita assegnata dall'utente usando il comando seguente:

az identity show \
    --resource-group <resource-group-name> \
    --name <identity-name> \
    --query 'id'

Configurare ManagedIdentityCredential con il codice ID della risorsa:

import { BlobServiceClient } from '@azure/storage-blob';
import { ManagedIdentityCredential, DefaultAzureCredential } from '@azure/identity';

function createBlobServiceClient(): BlobServiceClient {
    const accountName = process.env.AZURE_STORAGE_ACCOUNT_NAME;
    if (!accountName) throw Error('Azure Storage accountName not found');
    const url = `https://${accountName}.blob.core.windows.net`;

    if (process.env.NODE_ENV === "production") {
        const resourceId = process.env.AZURE_RESOURCE_ID;
        if (!resourceId) throw Error('AZURE_RESOURCE_ID not found for Managed Identity');
        return new BlobServiceClient(url, new ManagedIdentityCredential(resourceId));
    } else {
        return new BlobServiceClient(url, new DefaultAzureCredential());
    }
}

async function main(): Promise<void> {
    try {
        const blobServiceClient = createBlobServiceClient();
        const containerClient = blobServiceClient.getContainerClient(process.env.AZURE_STORAGE_CONTAINER_NAME!);
        const properties = await containerClient.getProperties();

        console.log(properties);
    } catch (err: any) {
        console.error("Error retrieving container properties:", err.message);
        throw err;
    }
}

main().catch((err: Error) => {
    console.error("Error running sample:", err.message);
    process.exit(1);
});

Un ID principale è un altro nome per un ID oggetto.

Recuperare l'ID oggetto per un'identità gestita assegnata dall'utente usando il comando seguente:

az identity show \
    --resource-group <resource-group-name> \
    --name <identity-name> \
    --query 'principalId'

Configurare ManagedIdentityCredential con l'ID oggetto:

import { BlobServiceClient } from '@azure/storage-blob';
import { ManagedIdentityCredential, DefaultAzureCredential } from '@azure/identity';

function createBlobServiceClient(): BlobServiceClient {
    const accountName = process.env.AZURE_STORAGE_ACCOUNT_NAME;
    if (!accountName) throw Error('Azure Storage accountName not found');
    const url = `https://${accountName}.blob.core.windows.net`;

    if (process.env.NODE_ENV === "production") {
        const objectId = process.env.AZURE_OBJECT_ID;
        if (!objectId) throw Error('AZURE_OBJECT_ID not found for Managed Identity');
        return new BlobServiceClient(url, new ManagedIdentityCredential(objectId));
    } else {
        return new BlobServiceClient(url, new DefaultAzureCredential());
    }
}

async function main(): Promise<void> {
    try {
        const blobServiceClient = createBlobServiceClient();
        const containerClient = blobServiceClient.getContainerClient(process.env.AZURE_STORAGE_CONTAINER_NAME!);
        const properties = await containerClient.getProperties();

        console.log(properties);
    } catch (err: any) {
        console.error("Error retrieving container properties:", err.message);
        throw err;
    }
}

main().catch((err: Error) => {
    console.error("Error running sample:", err.message);
    process.exit(1);
});

Il codice precedente si comporta in modo diverso a seconda dell'ambiente in cui è in esecuzione:

Nella workstation di sviluppo locale DefaultAzureCredential cerca nelle variabili di ambiente un'entità servizio dell'applicazione o in strumenti di sviluppo installati localmente, ad esempio Visual Studio Code, per un set di credenziali per sviluppatori.
Quando viene distribuito in Azure, ManagedIdentityCredential individua automaticamente le configurazioni delle identità gestite per l'autenticazione ad altri servizi.

Commenti e suggerimenti

Questa pagina è stata utile?

Last updated on 2026-03-11

Condividi tramite

Autenticare le app JavaScript ospitate su Azure alle risorse di Azure usando un'identità gestita assegnata dall'utente

Concetti essenziali relativi all'identità gestita

Creare un'identità gestita assegnata dall'utente

Assegna l'identità gestita alla tua app

Assegnare ruoli all'identità gestita

Eseguire l'autenticazione ai servizi di Azure dalla tua app

Implementare il codice

Implementare il codice

Commenti e suggerimenti

Risorse aggiuntive