Autenticar aplicativos Python nos serviços Azure durante o desenvolvimento local usando princípios de serviço

1. No portal Azure, use a barra de pesquisa para navegar até a página App registrations.

2. Na página App registrations, selecione + Novo registro.

3. Na página Registrar um aplicativo:

   • Para o campo Nome, insira um valor descritivo que inclui o nome do aplicativo e o ambiente de destino.
   • Para os Tipos de conta com suporte, selecione Contas somente neste diretório organizacional (somente cliente da Microsoft – Locatário único) ou qualquer opção que melhor atenda às suas necessidades.

4. Selecione Registrar para registrar seu aplicativo e criar a entidade de serviço.

   Uma captura de tela mostrando como criar um registro de aplicativo no portal do Azure.

5. Na página Registro do aplicativo , copie a ID do aplicativo (cliente) e a ID do diretório (locatário) e cole-as em um local temporário para uso posterior nas configurações do código do aplicativo.

6. Selecione Adicionar um certificado ou um secreto para configurar credenciais para seu aplicativo.

7. Na página Certificados e segredos, selecione + Novo segredo do cliente.

8. No painel de submenu Adicionar um segredo do cliente que se abre:

   • Para a Descrição, insira um valor para Atual.
   • Para o valor de expiração , deixe o valor padrão recomendado de 180 dias.
   • Selecione Adicionar para adicionar o segredo.

9. Na página Certificados e segredos, copie a propriedade Value do segredo do cliente para uso em uma etapa futura.

   Observação

   O valor do segredo do cliente só é exibido uma vez depois que o registro do aplicativo é criado. Você pode adicionar mais segredos do cliente sem invalidar esse segredo do cliente, mas não há como exibir esse valor novamente.

Azure CLI comandos podem ser executados no Azure Cloud Shell ou em uma estação de trabalho com o Azure CLI instalado.

1. Use o comando az ad sp create-for-rbac para criar um registro de aplicativos e a entidade de serviço do aplicativo.

   az ad sp create-for-rbac --name <service-principal-name>
   

   A saída desse comando é semelhante ao seguinte JSON:

   {
     "appId": "00000000-0000-0000-0000-000000000000",
     "displayName": "<service-principal-name>",
     "password": "abcdefghijklmnopqrstuvwxyz",
     "tenant": "11111111-1111-1111-1111-111111111111"
   }
   

2. Copie essa saída em um arquivo temporário em um editor de texto, pois você precisará desses valores em uma etapa futura.

   Observação

   O valor do segredo do cliente só é exibido uma vez depois que o registro do aplicativo é criado. Você pode adicionar mais segredos do cliente sem invalidar esse segredo do cliente, mas não há como exibir esse valor novamente.

1. Navegue até a página de visão geral Microsoft Entra ID no portal Azure.

2. Selecione Todos os grupos no menu à esquerda.

3. Na página Grupos , selecione Novo grupo.

4. Na página Novo grupo , preencha os seguintes campos de formulário:

   • Tipo de grupo: Selecione Segurança.
   • Nome do grupo: insira um nome para o grupo que inclui uma referência ao nome do aplicativo ou do ambiente.
   • Descrição do grupo: insira uma descrição que explique a finalidade do grupo.

   

5. Selecione o link Nenhum membro selecionado em Membros para adicionar membros ao grupo.

6. No painel de submenu que é aberto, procure a entidade de serviço que você criou anteriormente e selecione-a nos resultados filtrados. Escolha o botão Selecionar na parte inferior do painel para confirmar sua seleção.

7. Selecione Criar na parte inferior da página Novo grupo para criar o grupo e retornar à página Todos os grupos . Se você não vir o novo grupo listado, aguarde um momento e atualize a página.

1. Use o comando az ad group create para criar grupos no Microsoft Entra ID.

   az ad group create \
       --display-name <group-name> \
       --mail-nickname <group-mail-nickname> \
       --description <group-description>
   

   Os parâmetros --display-name e --mail-nickname são obrigatórios. O nome dado ao grupo deve ser baseado no nome e no ambiente do aplicativo para indicar a finalidade do grupo.

2. Para adicionar membros ao grupo, você precisará da ID do objeto da entidade de serviço do aplicativo, que é diferente da ID do aplicativo. Utilize o comando az ad sp list para listar as entidades de serviço disponíveis.

   az ad sp list \
       --filter "startswith(displayName, '<group-name>')" \
       --query "[].{objectId:id, displayName:displayName}"
   

   O parâmetro --filter aceita filtros no estilo OData e pode ser usado para filtrar a lista, conforme mostrado. O --query parâmetro limita a saída apenas às colunas de interesse.

3. Use o comando adicionar membros do grupo az ad para adicionar membros ao grupo:

   az ad group member add \
       --group <group-name> \
       --member-id <object-id>
   

1. No portal Azure, navegue até a página Overview do grupo de recursos que contém seu aplicativo.

2. Selecione Controle de acesso (IAM) na navegação à esquerda.

3. Na página controle de acesso (IAM), selecione + Adicionar e escolha Adicionar atribuição de função no menu suspenso. A página Adicionar atribuição de função fornece várias guias para configurar e atribuir funções.

4. Na guia Função , use a caixa de pesquisa para localizar a função que você deseja atribuir. Selecione a função e escolha Avançar.

5. Na guia Membros :

   • Para atribuir acesso ao valor, selecione Usuário, grupo ou entidade de serviço .
   • Para o valor Membros, escolha + Selecionar membros para abrir o painel de seleção Selecionar membros.
   • Pesquise o grupo de Microsoft Entra criado anteriormente e selecione-o nos resultados filtrados. Escolha Selecionar para escolher o grupo e fechar o painel de menu.
   • Selecione Examinar + atribuir na parte inferior da guia Membros .

   

6. Na guia Revisão + atribuição , selecione Examinar + atribuir na parte inferior da página.

1. Use o comando az role definition list para obter os nomes das funções às quais um grupo Microsoft Entra ou entidade de serviço pode ser atribuído a:

   az role definition list \
       --query "sort_by([].{roleName:roleName, description:description}, &roleName)" \
       --output table
   

2. Use o comando az role assignment create para atribuir uma função ao grupo de Microsoft Entra que você criou:

   az role assignment create \
       --assignee "<group-object-Id>" \
       --role "<role-name>" \
       --resource-group "<resource-group-name>"
   

   Para obter informações sobre como atribuir permissões no nível do recurso ou da assinatura usando o Azure CLI, consulte atribuir funções do Azure usando o Azure CLI.

Como a maioria dos desenvolvedores trabalha em vários aplicativos, é recomendável usar um pacote como python-dotenv para acessar variáveis de ambiente de um .env arquivo armazenado no diretório do aplicativo durante o desenvolvimento. Essa abordagem define o escopo das variáveis de ambiente para que somente este aplicativo possa usá-las.

O arquivo .env nunca é verificado no controle do código-fonte, pois contém a chave secreta do aplicativo para Azure. O arquivo .gitignore padrão para Python exclui automaticamente o arquivo .env do check-in.

Para usar o python-dotenv pacote, primeiro instale o pacote em seu aplicativo:

pip install python-dotenv

Em seguida, crie um arquivo .env no diretório raiz do aplicativo. Defina os valores da variável de ambiente com valores obtidos do processo de registro do aplicativo:

AZURE_CLIENT_ID=<your-client-id>
AZURE_TENANT_ID=<your-tenant-id>
AZURE_CLIENT_SECRET=<your-client-secret>

Por fim, no código de inicialização do aplicativo, use a python-dotenv biblioteca para ler as variáveis de ambiente do .env arquivo na inicialização:

from dotenv import load_dotenv

load_dotenv()

Em Visual Studio Code, as variáveis de ambiente podem ser definidas no arquivo launch.json do seu projeto. Esses valores são extraídos automaticamente quando o aplicativo é iniciado. No entanto, essas configurações não viajam com seu aplicativo durante a implantação, portanto, você precisa configurar variáveis de ambiente em seu ambiente de hospedagem de destino.

{
    "version": "0.2.0",
    "configurations": [
        {
            "name": "Python: Current File",
            "type": "debugpy",
            "request": "launch",
            "program": "${file}",
            "console": "integratedTerminal",
            "env": {
                "AZURE_CLIENT_ID": "<your-client-id>",
                "AZURE_TENANT_ID": "<your-tenant-id>",
                "AZURE_CLIENT_SECRET": "<your-client-secret>"
            }
        }
    ]
}

Você pode definir variáveis de ambiente para Windows da linha de comando. No entanto, os valores são acessíveis a todos os aplicativos em execução nesse sistema operacional e podem causar conflitos, portanto, tenha cuidado com essa abordagem. As variáveis de ambiente podem ser definidas no nível do usuário ou do sistema.

setx AZURE_CLIENT_ID "<your-client-id>"
setx AZURE_TENANT_ID "<your-tenant-id>"
setx AZURE_CLIENT_SECRET "<your-client-secret>"

O PowerShell também pode ser usado para definir variáveis de ambiente no nível do usuário ou do sistema:

[Environment]::SetEnvironmentVariable("AZURE_CLIENT_ID", "<your-client-id>", "User")
[Environment]::SetEnvironmentVariable("AZURE_TENANT_ID", "<your-tenant-id>", "User")
[Environment]::SetEnvironmentVariable("AZURE_CLIENT_SECRET", "<your-client-secret>", "User")

Depois de executar esses comandos, reinicie todos os terminais ou aplicativos abertos para selecionar as novas variáveis de ambiente.

export AZURE_CLIENT_ID="<your-client-id>"
export AZURE_TENANT_ID="<your-tenant-id>"
export AZURE_CLIENT_SECRET="<your-client-secret>"

Para tornar essas variáveis de ambiente persistentes entre sessões de terminal, adicione essas linhas ao arquivo de perfil do shell (como ~/.bashrc, ~/.zshrcou ~/.bash_profile).