Autentica le app Python ospitate in Azure alle risorse di Azure utilizzando un'identità gestita assegnata dal sistema.

L'approccio consigliato per autenticare un'app ospitata Azure in altre risorse di Azure consiste nell'usare un'identità managed identity. Questo approccio è supportato per la maggior parte dei servizi Azure, incluse le app ospitate in Azure App Service, Azure Container Apps e Azure Virtual Machines. Altre informazioni sulle diverse tecniche e approcci di autenticazione sono disponibili nella pagina di panoramica dell'autenticazione . Nelle sezioni successive si apprenderà quanto descritto di seguito:

• Concetti essenziali relativi all'identità gestita
• Come creare un'identità gestita assegnata dal sistema per l'app
• Come assegnare ruoli all'identità gestita assegnata dal sistema
• Come eseguire l'autenticazione usando l'identità gestita assegnata dal sistema dal codice dell'app

Concetti essenziali relativi all'identità gestita

Un'identità gestita consente all'app di connettersi in modo sicuro ad altre risorse Azure senza usare chiavi segrete o altri segreti dell'applicazione. Internamente, Azure tiene traccia dell'identità e delle risorse a cui è consentito connettersi. Azure usa queste informazioni per ottenere automaticamente token di Microsoft Entra per consentire all'app di connettersi ad altre risorse Azure.

Esistono due tipi di identità gestite da considerare durante la configurazione dell'app ospitata:

• Identità gestita assegnata dal sistema le identità gestite assegnate dal sistema vengono abilitate direttamente su una risorsa di Azure e sono associate al suo ciclo di vita. Quando la risorsa viene eliminata, Azure elimina automaticamente l'identità per te. Le identità assegnate dal sistema offrono un approccio minimalista all'uso delle identità gestite.
• Assegnato dall'utente, le identità gestite sono create come risorse autonome di Azure e offrono maggiore flessibilità e funzionalità. Sono ideali per soluzioni che coinvolgono più risorse Azure che devono condividere la stessa identità e le stesse autorizzazioni. Ad esempio, se più macchine virtuali devono accedere allo stesso set di risorse Azure, un'identità gestita assegnata dall'utente offre la riutilizzabilità e la gestione ottimizzata.

Le sezioni precedenti descrivono i passaggi per abilitare e usare un'identità gestita assegnata dal sistema per un'app ospitata Azure. Se è necessario usare un'identità gestita assegnata dall'utente, vedere l'articolo identità gestite assegnate dall'utente per altre informazioni.

Abilitare un'identità gestita assegnata dal sistema nella risorsa di hosting Azure

Per iniziare a usare un'identità gestita assegnata dal sistema con l'app, abilitare l'identità nella risorsa Azure che ospita l'app, ad esempio un'istanza di Azure App Service, Azure Container Apps o Azure Virtual Machines.

È possibile abilitare un'identità gestita assegnata dal sistema per una risorsa Azure usando il portale di Azure o l'Azure CLI.

az webapp identity assign \
    --resource-group <resource-group-name> \
    --name <web-app-name>

az containerapp identity assign \
    --resource-group <resource-group-name> \
    --name <container-app-name> \
    --system-assigned

az vm identity assign \
    --resource-group <resource-group-name> \
    --name <virtual-machine-name>

{
  "principalId": "aaaaaaaa-bbbb-cccc-1111-222222222222",
  "tenantId": "aaaabbbb-0000-cccc-1111-dddd2222eeee",
  "type": "SystemAssigned",
  "userAssignedIdentities": null
}

Assegnare ruoli all'identità gestita

Successivamente, determinare i ruoli necessari per l'app e assegnare tali ruoli all'identità gestita. È possibile assegnare ruoli a un'identità gestita negli ambiti seguenti:

• risorsa: i ruoli assegnati si applicano solo a tale risorsa specifica.
• gruppo di risorse: i ruoli assegnati si applicano a tutte le risorse contenute nel gruppo di risorse.
• Sottoscrizione: I ruoli assegnati si applicano a tutte le risorse contenute nella sottoscrizione.

L'esempio seguente illustra come assegnare ruoli nell'ambito del gruppo di risorse, poiché molte app gestiscono tutte le risorse Azure correlate usando un singolo gruppo di risorse.

az role assignment create \
    --assignee "{managedIdentityId}" \
    --role "{roleName}" \
    --scope "{scope}"

az role definition list \
    --query "sort_by([].{roleName:roleName, description:description}, &roleName)" \
    --output table

az role assignment create \
    --assignee aaaaaaaa-bbbb-cccc-1111-222222222222 \
    --role "Storage Blob Data Contributor" \
    --scope "/subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/msdocs-sdk-auth-example"

Autenticarsi ai servizi di Azure dalla tua app

La libreria di identità Azure offre varie credentials, implementazioni di TokenCredential adattate al supporto di diversi scenari e flussi di autenticazione Microsoft Entra. Poiché l'identità gestita non è disponibile durante l'esecuzione in locale, i passaggi successivi illustrano quali credenziali usare in quale scenario:

• ambiente di sviluppo locale: durante lo sviluppo locale solo, usare una classe denominata DefaultAzureCredential per una catena di credenziali preconfigurata e opinata. DefaultAzureCredential individua le credenziali utente dall'IDE o dagli strumenti locali, ad esempio il Azure CLI o l'Visual Studio Code. Offre inoltre flessibilità e praticità per i tentativi, i tempi di attesa per le risposte e il supporto per più opzioni di autenticazione. Per ulteriori informazioni, visitare l'articolo Autenticazione ai servizi Azure nello sviluppo locale.
• Azure-hosted apps: quando l'app è in esecuzione in Azure, usare ManagedIdentityCredential per individuare in modo sicuro l'identità gestita configurata per l'app. La specifica di questo tipo esatto di credenziali impedisce che altre credenziali disponibili vengano prelevate in modo imprevisto.

Implementare il codice

Aggiungere il pacchetto azure-identity all'applicazione passando alla directory del progetto dell'applicazione ed eseguendo il comando seguente:

pip install azure-identity

Azure servizi sono accessibili usando classi client specializzate dalle varie librerie client Azure SDK. Nell'esempio di codice seguente viene illustrato come creare un'istanza di credenziali e usarla con un client del servizio Azure SDK. Nel codice dell'applicazione completare la procedura seguente per eseguire l'autenticazione usando un'identità gestita:

1. Importare la ManagedIdentityCredential classe dal azure.identity modulo.
2. Creare un oggetto ManagedIdentityCredential.
3. Passare l'oggetto ManagedIdentityCredential al costruttore client Azure SDK.

L'esempio seguente illustra come autenticare un'identità gestita assegnata dal sistema utilizzando BlobServiceClient.

from azure.identity import ManagedIdentityCredential
from azure.storage.blob import BlobServiceClient

# Authenticate using system-assigned managed identity
credential = ManagedIdentityCredential()

blob_service_client = BlobServiceClient(
    account_url="https://<account-name>.blob.core.windows.net",
    credential=credential
)

Quando si sviluppa in locale, è possibile usare DefaultAzureCredential per individuare le credenziali dagli strumenti di sviluppo locali. Quando viene distribuito in Azure, passare a ManagedIdentityCredential per gli scenari di produzione:

import os
from azure.identity import DefaultAzureCredential, ManagedIdentityCredential
from azure.storage.blob import BlobServiceClient

# Use ManagedIdentityCredential in Azure, DefaultAzureCredential locally
if os.getenv("WEBSITE_HOSTNAME"):
    credential = ManagedIdentityCredential()
else:
    credential = DefaultAzureCredential()

blob_service_client = BlobServiceClient(
    account_url="https://<account-name>.blob.core.windows.net",
    credential=credential
)