Python-apps verifiëren voor Azure services tijdens lokale ontwikkeling met behulp van service-principals

1. Gebruik in de Azure-portal de zoekbalk om naar de pagina App registrations te gaan.

2. Selecteer op de pagina App registrations+ Nieuwe registratie.

3. Op de pagina Een toepassing registreren:

   • Voer voor het veld Naam een beschrijvende waarde in die de naam van de app en de doelomgeving bevat.
   • Selecteer voor de Ondersteunde accounttypende optie Accounts in dit organisatieadresboek (alleen Microsoft Customer Led - Enkele tenant)of de optie die het beste bij uw vereisten past.

4. Selecteer Register om uw app te registreren en de service-principal te maken.

   

5. Kopieer op de pagina App-registratie voor uw app de toepassings-id (client) en Directory-id (tenant) en plak deze op een tijdelijke locatie voor later in de configuraties van uw applicatiecode.

6. Selecteer Een certificaat of geheim toevoegen om referenties voor uw app in te stellen.

7. Op de pagina Certificaten en geheimen, selecteer + Nieuw clientgeheim.

8. Voeg in het een clientgeheim toe flyoutvenster dat wordt geopend:

   • Voer voor de Descriptioneen waarde in van Current.
   • Voor de verloopt waarde, laat u de standaard aanbevolen waarde van 180 dagen staan.
   • Selecteer Toevoegen om het geheim toe te voegen.

9. Kopieer op de pagina Certificaten & geheimen de eigenschap Waarde van het clientgeheim voor gebruik in een toekomstige stap.

   Notitie

   De waarde van het clientgeheim wordt slechts eenmaal weergegeven nadat de app-registratie is gemaakt. U kunt meer clientgeheimen toevoegen zonder dit clientgeheim ongeldig te maken, maar u kunt deze waarde niet opnieuw weergeven.

Azure CLI opdrachten kunnen worden uitgevoerd in de Azure Cloud Shell of op een werkstation waarop de Azure CLI is geïnstalleerd.

1. Gebruik de opdracht az ad sp create-for-rbac om een nieuwe app-registratie en service-principal voor de app aan te maken.

   az ad sp create-for-rbac --name <service-principal-name>
   

   De uitvoer van deze opdracht lijkt op de volgende JSON:

   {
     "appId": "00000000-0000-0000-0000-000000000000",
     "displayName": "<service-principal-name>",
     "password": "abcdefghijklmnopqrstuvwxyz",
     "tenant": "11111111-1111-1111-1111-111111111111"
   }
   

2. Kopieer deze uitvoer naar een tijdelijk bestand in een teksteditor, omdat u deze waarden in een toekomstige stap nodig hebt.

   Notitie

   De waarde van het clientgeheim wordt slechts eenmaal weergegeven nadat de app-registratie is gemaakt. U kunt meer clientgeheimen toevoegen zonder dit clientgeheim ongeldig te maken, maar u kunt deze waarde niet opnieuw weergeven.

1. Navigeer naar de overzichtspagina Microsoft Entra ID in de Azure-portal.

2. Selecteer Alle groepen in het menu aan de linkerkant.

3. Selecteer Nieuwe groep op de pagina Groepen.

4. Vul op de pagina Nieuwe groep de volgende formuliervelden in:

   • Groepstype: selecteer Beveiliging.
   • Groepsnaam: Voer een naam in voor de groep die een verwijzing naar de app- of omgevingsnaam bevat.
   • Groepsbeschrijving: Voer een beschrijving in waarmee het doel van de groep wordt uitgelegd.

   

5. Selecteer de koppeling Geen leden geselecteerd onder Leden om leden toe te voegen aan de groep.

6. Zoek in het uitklapvenster dat wordt geopend naar de service-principal die u eerder hebt gemaakt en selecteer deze uit de gefilterde resultaten. Kies de knop Selecteren onderaan het deelvenster om uw selectie te bevestigen.

7. Selecteer Maken onder aan de pagina Nieuwe groep om de groep te maken en terug te keren naar de pagina Alle groepen . Als de nieuwe groep niet wordt weergegeven, wacht u even en vernieuwt u de pagina.

1. Gebruik de opdracht az ad group create om groepen te maken in Microsoft Entra ID.

   az ad group create \
       --display-name <group-name> \
       --mail-nickname <group-mail-nickname> \
       --description <group-description>
   

   De parameters --display-name en --mail-nickname zijn vereist. De naam die aan de groep wordt gegeven, moet zijn gebaseerd op de naam en omgeving van de app om het doel van de groep aan te geven.

2. Als u leden aan de groep wilt toevoegen, hebt u de object-id van de service-principal van de toepassing nodig. Dit verschilt van de toepassings-id. Gebruik de opdracht az ad sp list om de beschikbare service-principals weer te geven:

   az ad sp list \
       --filter "startswith(displayName, '<group-name>')" \
       --query "[].{objectId:id, displayName:displayName}"
   

   De --filter parameter accepteert OData-stijlfilters en kan worden gebruikt om de lijst te filteren zoals wordt weergegeven. De --query parameter beperkt de uitvoer tot alleen de interessekolommen.

3. Gebruik de opdracht az ad group member add om leden toe te voegen aan de groep:

   az ad group member add \
       --group <group-name> \
       --member-id <object-id>
   

1. Navigeer in de Azure-portal naar de pagina Overview van de resourcegroep die uw app bevat.

2. Selecteer Toegangsbeheer (IAM) in de linkernavigatie.

3. Selecteer + Toevoegen en kies vervolgens roltoewijzing toevoegen in de vervolgkeuzelijst op de pagina Toegangsbeheer (IAM). De pagina Roltoewijzing toevoegen bevat verschillende tabbladen voor het configureren en toewijzen van rollen.

4. Gebruik op het tabblad Rol het zoekvak om de rol te vinden die u wilt toewijzen. Selecteer de rol en kies Volgende.

5. Op het tabblad Leden :

   • Voor de waarde 'toegang toewijzen aan' selecteert u gebruiker, gebruikersgroep of service-principal.
   • Voor de waarde Leden kiest u + Leden selecteren om het flyoutdeelvenster Leden selecteren te openen.
   • Zoek naar de Microsoft Entra groep die u eerder hebt gemaakt en selecteer deze in de gefilterde resultaten. Kies Selecteren om de groep te selecteren en het uitklapdeelvenster te sluiten.
   • Selecteer Beoordelen en toewijzen onderaan het tabblad Leden .

   

6. Selecteer op het tabblad Controleren en toewijzen de optie Controleren en toewijzen onderaan de pagina.

1. Gebruik de opdracht az role definition list om de namen op te halen van de rollen waaraan een Microsoft Entra groep of service-principal kan worden toegewezen:

   az role definition list \
       --query "sort_by([].{roleName:roleName, description:description}, &roleName)" \
       --output table
   

2. Gebruik de opdracht az-roltoewijzing maken om een rol toe te wijzen aan de Microsoft Entra groep die u hebt gemaakt:

   az role assignment create \
       --assignee "<group-object-Id>" \
       --role "<role-name>" \
       --resource-group "<resource-group-name>"
   

   Zie Assign Azure roles using the Azure CLI voor informatie over het toewijzen van machtigingen op resource- of abonnementsniveau met behulp van de Azure CLI.

Omdat de meeste ontwikkelaars aan meerdere toepassingen werken, wordt het gebruik van een pakket zoals python-dotenv aanbevolen voor toegang tot omgevingsvariabelen vanuit een .env bestand dat tijdens de ontwikkeling in de map van de toepassing is opgeslagen. Deze benadering is gericht op de omgevingsvariabelen, zodat alleen deze toepassing ze kan gebruiken.

Het bestand .env wordt nooit ingecheckt in broncodebeheer, omdat het de geheime sleutel van de toepassing voor Azure bevat. Het standaardbestand .gitignore voor Python sluit het bestand .env automatisch uit van het inchecken.

Als u het python-dotenv pakket wilt gebruiken, installeert u eerst het pakket in uw toepassing:

pip install python-dotenv

Maak vervolgens een .env bestand in de hoofdmap van uw toepassing. Stel de omgevingsvariabelewaarden in met waarden die zijn verkregen uit het app-registratieproces:

AZURE_CLIENT_ID=<your-client-id>
AZURE_TENANT_ID=<your-tenant-id>
AZURE_CLIENT_SECRET=<your-client-secret>

Gebruik ten slotte in de opstartcode voor uw toepassing de python-dotenv bibliotheek om de omgevingsvariabelen uit het bestand bij het .env opstarten te lezen:

from dotenv import load_dotenv

load_dotenv()

In Visual Studio Code kunnen omgevingsvariabelen worden ingesteld in het bestand launch.json van uw project. Deze waarden worden automatisch opgehaald wanneer de app wordt gestart. Deze configuraties reizen echter niet met uw app tijdens de implementatie, dus u moet omgevingsvariabelen instellen in uw doelhostingomgeving.

{
    "version": "0.2.0",
    "configurations": [
        {
            "name": "Python: Current File",
            "type": "debugpy",
            "request": "launch",
            "program": "${file}",
            "console": "integratedTerminal",
            "env": {
                "AZURE_CLIENT_ID": "<your-client-id>",
                "AZURE_TENANT_ID": "<your-tenant-id>",
                "AZURE_CLIENT_SECRET": "<your-client-secret>"
            }
        }
    ]
}

U kunt omgevingsvariabelen instellen voor Windows vanaf de opdrachtregel. De waarden zijn echter toegankelijk voor alle apps die op dat besturingssysteem worden uitgevoerd en kunnen conflicten veroorzaken, dus wees voorzichtig met deze aanpak. Omgevingsvariabelen kunnen worden ingesteld op gebruikers- of systeemniveau.

setx AZURE_CLIENT_ID "<your-client-id>"
setx AZURE_TENANT_ID "<your-tenant-id>"
setx AZURE_CLIENT_SECRET "<your-client-secret>"

PowerShell kan ook worden gebruikt om omgevingsvariabelen in te stellen op gebruikers- of systeemniveau:

[Environment]::SetEnvironmentVariable("AZURE_CLIENT_ID", "<your-client-id>", "User")
[Environment]::SetEnvironmentVariable("AZURE_TENANT_ID", "<your-tenant-id>", "User")
[Environment]::SetEnvironmentVariable("AZURE_CLIENT_SECRET", "<your-client-secret>", "User")

Nadat u deze opdrachten hebt uitgevoerd, start u alle open terminals of toepassingen opnieuw op om de nieuwe omgevingsvariabelen op te halen.

export AZURE_CLIENT_ID="<your-client-id>"
export AZURE_TENANT_ID="<your-tenant-id>"
export AZURE_CLIENT_SECRET="<your-client-secret>"

Als u deze omgevingsvariabelen permanent wilt maken voor terminalsessies, voegt u deze regels toe aan uw shell-profielbestand (zoals ~/.bashrc, ~/.zshrcof ~/.bash_profile).