Authenticeren bij Azure-resources van Python-apps die on-premises worden gehost.

Apps die buiten Azure worden gehost, zoals on-premises of in een datacenter van derden, moeten een service-principal voor toepassingen gebruiken via Microsoft Entra ID om te verifiëren bij Azure services. In de volgende secties leert u het volgende:

Een toepassing registreren bij Microsoft Entra om een service-principal te maken
Rollen toewijzen aan scoperechten
Authenticeren met behulp van een service-principal vanuit uw app-code

Met behulp van toegewezen toepassingsservice-principals kunt u voldoen aan het principe van minimale bevoegdheden bij het openen van Azure resources. Machtigingen zijn beperkt tot de specifieke vereisten van de app tijdens de ontwikkeling, waardoor onbedoelde toegang tot Azure resources die zijn bedoeld voor andere apps of services, wordt voorkomen. Deze aanpak helpt ook problemen te voorkomen wanneer de app naar productie wordt verplaatst door ervoor te zorgen dat deze niet te veel bevoegdheden heeft in de ontwikkelomgeving.

Er moet een andere app-registratie worden gemaakt voor elke omgeving waarin de app wordt gehost. Hierdoor kunnen omgevingsspecifieke resourcemachtigingen worden geconfigureerd voor elke service-principal en ervoor zorgen dat een app die in één omgeving is geïmplementeerd, niet praat met Azure resources die deel uitmaken van een andere omgeving.

De app registreren in Azure

Toepassingsservice-principalobjecten worden gemaakt via een app-registratie in Azure met behulp van de Azure-portal of Azure CLI.

Azure portal
Azure CLI

Gebruik in de Azure-portal de zoekbalk om naar de pagina App registrations te gaan.
Selecteer op de pagina App registrations+ Nieuwe registratie.
Op de pagina Een toepassing registreren:
- Voer voor het veld Naam een beschrijvende waarde in die de naam van de app en de doelomgeving bevat.
- Selecteer voor de Ondersteunde accounttypende optie Accounts in dit organisatieadresboek (alleen Microsoft Customer Led - Enkele tenant)of de optie die het beste bij uw vereisten past.
Selecteer Register om uw app te registreren en de service-principal te maken.
Kopieer op de pagina App-registratie voor uw app de toepassings-id (client) en Directory-id (tenant) en plak deze op een tijdelijke locatie voor later in de configuraties van uw applicatiecode.
Selecteer Een certificaat of geheim toevoegen om referenties voor uw app in te stellen.
Op de pagina Certificaten en geheimen, selecteer + Nieuw clientgeheim.
Voeg in het een clientgeheim toe flyoutvenster dat wordt geopend:
- Voer voor de Descriptioneen waarde in van Current.
- Voor de verloopt waarde, laat u de standaard aanbevolen waarde van 180 dagen staan.
- Selecteer Toevoegen om het geheim toe te voegen.
Kopieer op de pagina Certificaten & geheimen de eigenschap Waarde van het clientgeheim voor gebruik in een toekomstige stap.

Opmerking

De waarde van het clientgeheim wordt slechts eenmaal weergegeven nadat de app-registratie is gemaakt. U kunt meer clientgeheimen toevoegen zonder dit clientgeheim ongeldig te maken, maar u kunt deze waarde niet opnieuw weergeven.

Azure CLI opdrachten kunnen worden uitgevoerd in de Azure Cloud Shell of op een werkstation waarop de Azure CLI is geïnstalleerd.

Gebruik de opdracht az ad sp create-for-rbac om een nieuwe app-registratie en service-principal voor de app aan te maken.

az ad sp create-for-rbac --name <service-principal-name>

De uitvoer van deze opdracht lijkt op de volgende JSON:

{
  "appId": "00000000-0000-0000-0000-000000000000",
  "displayName": "<service-principal-name>",
  "password": "abcdefghijklmnopqrstuvwxyz",
  "tenant": "11111111-1111-1111-1111-111111111111"
}

Kopieer deze uitvoer naar een tijdelijk bestand in een teksteditor, omdat u deze waarden in een toekomstige stap nodig hebt.

Opmerking

De waarde van het clientgeheim wordt slechts eenmaal weergegeven nadat de app-registratie is gemaakt. U kunt meer clientgeheimen toevoegen zonder dit clientgeheim ongeldig te maken, maar u kunt deze waarde niet opnieuw weergeven.

Rollen toewijzen aan de service-principal van de toepassing

Bepaal vervolgens welke rollen (machtigingen) uw app nodig heeft voor welke resources en wijs deze rollen toe aan de service-principal die u hebt gemaakt. Rollen kunnen worden toegewezen op het niveau van de resource, resourcegroep of abonnement. In dit voorbeeld ziet u hoe u rollen toewijst binnen het bereik van de resourcegroep, omdat de meeste apps al hun Azure resources groeperen in één resourcegroep.

Azure portal
Azure CLI

Navigeer in de Azure-portal naar de pagina Overview van de resourcegroep die uw app bevat.
Selecteer Toegangsbeheer (IAM) in de linkernavigatie.
Selecteer + Toevoegen en kies vervolgens roltoewijzing toevoegen in de vervolgkeuzelijst op de pagina Toegangsbeheer (IAM). De pagina Roltoewijzing toevoegen bevat verschillende tabbladen voor het configureren en toewijzen van rollen.
Gebruik op het tabblad Rol het zoekvak om de rol te vinden die u wilt toewijzen. Selecteer de rol en kies Volgende.
Op het tabblad Leden :
- Voor de waarde 'toegang toewijzen aan' selecteert u gebruiker, gebruikersgroep of service-principal.
- Voor de waarde Leden kiest u + Leden selecteren om het flyoutdeelvenster Leden selecteren te openen.
- Zoek naar de service principal die u eerder hebt gemaakt en selecteer deze in de gefilterde resultaten. Kies Selecteren om de groep te selecteren en het uitklapdeelvenster te sluiten.
- Selecteer Beoordelen en toewijzen onderaan het tabblad Leden .
Selecteer op het tabblad Controleren en toewijzen de optie Controleren en toewijzen onderaan de pagina.

Gebruik de opdracht az role definition list om de namen op te halen van de rollen waaraan een service-principal kan worden toegewezen:
```
az role definition list \
    --query "sort_by([].{roleName:roleName, description:description}, &roleName)" \
    --output table
```
Gebruik de opdracht az role assignment create om een rol toe te wijzen aan een toepassingsservice-principal:
```
az role assignment create \
    --assignee "<app-Id>" \
    --role "<role-name>" \
    --resource-group "<resource-group-name>"
```
Zie Assign Azure roles using the Azure CLI voor informatie over het toewijzen van machtigingen op resource- of abonnementsniveau met behulp van de Azure CLI.

De omgevingsvariabelen van de app instellen

Tijdens de uitvoering zoeken bepaalde referenties uit de Azure Identiteitsbibliotheek, zoals DefaultAzureCredential, EnvironmentCredential en ClientSecretCredential, op conventionele wijze naar informatie over de service-principal in de omgevingsvariabelen. Er zijn meerdere manieren om omgevingsvariabelen te configureren wanneer u met Python werkt, afhankelijk van uw hulpprogramma's en omgeving.

Configureer, ongeacht de methode die u kiest, de volgende omgevingsvariabelen voor een service-principal:

AZURE_CLIENT_ID: wordt gebruikt om de geregistreerde app in Azure te identificeren.
AZURE_TENANT_ID: De ID van de Microsoft Entra-tenant.
AZURE_CLIENT_SECRET: de geheime referentie die is gegenereerd voor de app.

In Visual Studio Code kunnen omgevingsvariabelen worden ingesteld in het bestand launch.json in de map .vscode van uw project. Deze waarden worden automatisch opgehaald wanneer de app wordt gestart. Deze configuraties reizen echter niet met uw app tijdens de implementatie, dus u moet omgevingsvariabelen instellen in uw doelhostingomgeving.

{
    "configurations": [
        {
            "env": {
                "AZURE_CLIENT_ID": "<your-client-id>",
                "AZURE_TENANT_ID": "<your-tenant-id>",
                "AZURE_CLIENT_SECRET": "<your-client-secret>"
            }
        }
    ]
}

Vanaf de Windows opdrachtregel kunt u omgevingsvariabelen op gebruikersniveau instellen met behulp van de volgende opdrachten:

setx AZURE_CLIENT_ID "<your-client-id>"
setx AZURE_TENANT_ID "<your-tenant-id>"
setx AZURE_CLIENT_SECRET "<your-client-secret>"

Omgevingsvariabelen op systeemniveau kunnen ook worden ingesteld als u de opdrachtprompt als beheerder uitvoert en de /m vlag toevoegt:

setx AZURE_CLIENT_ID "<your-client-id>" /m
setx AZURE_TENANT_ID "<your-tenant-id>" /m
setx AZURE_CLIENT_SECRET "<your-client-secret>" /m

PowerShell kan ook worden gebruikt om omgevingsvariabelen in te stellen op gebruikers- of systeemniveau:

Gebruik de volgende opdrachten om de omgevingsvariabelen op gebruikersniveau in te stellen met behulp van PowerShell:

[Environment]::SetEnvironmentVariable("AZURE_CLIENT_ID", "<your-client-id>", "User")
[Environment]::SetEnvironmentVariable("AZURE_TENANT_ID", "<your-tenant-id>", "User")
[Environment]::SetEnvironmentVariable("AZURE_CLIENT_SECRET", "<your-client-secret>", "User")

Omgevingsvariabelen op systeemniveau kunnen ook worden ingesteld met behulp van PowerShell als u deze opent met de optie Uitvoeren als administrator:

[Environment]::SetEnvironmentVariable("AZURE_CLIENT_ID", "<your-client-id>", "Machine")
[Environment]::SetEnvironmentVariable("AZURE_TENANT_ID", "<your-tenant-id>", "Machine")
[Environment]::SetEnvironmentVariable("AZURE_CLIENT_SECRET", "<your-client-secret>", "Machine")

Wanneer u Gunicorn gebruikt om Python-web-apps uit te voeren in een UNIX-serveromgeving, kunnen omgevingsvariabelen voor een app worden opgegeven met behulp van de EnvironmentFile-instructie in het bestand gunicorn.service zoals hieronder wordt weergegeven:

[Unit]
Description=gunicorn daemon
After=network.target

[Service]
User=www-user
Group=www-data
WorkingDirectory=/path/to/python-app
EnvironmentFile=/path/to/python-app/py-env/app-environment-variables
ExecStart=/path/to/python-app/py-env/bin/gunicorn --config config.py wsgi:app

[Install]
WantedBy=multi-user.target

Het bestand dat in de EnvironmentFile richtlijn is opgegeven, moet een lijst met omgevingsvariabelen met hun waarden bevatten, zoals hieronder wordt weergegeven:

AZURE_CLIENT_ID=<your-client-id>
AZURE_TENANT_ID=<your-tenant-id>
AZURE_CLIENT_SECRET=<your-client-secret>

Verifiëren bij Azure services vanuit uw app

De bibliotheek azure-identity biedt verschillende credentials—implementaties van TokenCredential die zijn aangepast aan het ondersteunen van verschillende scenario's en Microsoft Entra authenticatiestromen. In de volgende stappen ziet u hoe u ClientSecretCredential gebruikt wanneer u lokaal en in productie met service-principals werkt.

De code implementeren

Begin met het toevoegen van het pakket aan uw toepassing.

pip install azure-identity

Voor elke Python code waarmee een Azure SDK clientobject in uw app wordt gemaakt, moet u het volgende doen:

Importeer de ClientSecretCredential klasse uit de azure.identity module.
Importeer de os module om omgevingsvariabelen te lezen.
Lees de omgevingsvariabelen om de client-id, tenant-id en clientgeheim op te halen.
Maak een ClientSecretCredential object dat de tenant-id, client-id en clientgeheim doorgeeft.
Geef het object ClientSecretCredential door aan de Azure SDK clientobjectconstructor.

Een voorbeeld van deze benadering wordt weergegeven in het volgende codesegment.

import os
from azure.identity import ClientSecretCredential
from azure.storage.blob import BlobServiceClient

tenant_id = os.environ.get("AZURE_TENANT_ID")
client_id = os.environ.get("AZURE_CLIENT_ID")
client_secret = os.environ.get("AZURE_CLIENT_SECRET")

credential = ClientSecretCredential(tenant_id, client_id, client_secret)

blob_service_client = BlobServiceClient(
    account_url="https://<my_account_name>.blob.core.windows.net",
    credential=credential)

Feedback

Is deze pagina nuttig?

Last updated on 2026-03-06