Autenticar aplicações Python em serviços Azure durante o desenvolvimento local usando princípios de serviço

1. No portal Azure, use a barra de pesquisa para navegar até à página App registrations.

2. Na página App registrations, selecione + Nova inscrição.

3. Na página de Registar uma candidatura

   • Para o campo Nome, insira um valor descritivo que inclua o nome do aplicativo e o ambiente de destino.
   • Para o Tipos de conta suportados, selecione Contas apenas neste diretório organizacional (Somente Liderado pelo Cliente Microsoft - Locatário único)ou a opção que melhor atenda às suas necessidades.

4. Selecione Registrar para registar a sua aplicação e criar o principal de serviço.

   

5. Na página de registro do aplicativo para seu aplicativo, copie o ID do aplicativo (cliente) e ID do diretório (locatário) e cole-os em um local temporário para uso posterior nas configurações de código do aplicativo.

6. Selecione Adicionar um certificado ou secreto para configurar credenciais para seu aplicativo.

7. Na página Certificados & segredos, selecione + Novo segredo de cliente.

8. No Adicionar um segredo de cliente no painel suspenso que se abre:

   • Para a Descrição, insira um valor de Current.
   • Para o valor expira, deixe o valor padrão recomendado de 180 dias.
   • Selecione Adicionar para adicionar o segredo.

9. Na página Certificados & segredos, copie a propriedade Value do segredo do cliente para uso em uma etapa futura.

   Nota

   O valor secreto do cliente só é exibido uma vez após a criação do registro do aplicativo. Você pode adicionar mais segredos de cliente sem invalidar esse segredo de cliente, mas não há como exibir esse valor novamente.

Azure CLI comandos podem ser executados no Azure Cloud Shell ou numa estação de trabalho com o Azure CLI instalado.

1. Utilize o comando az ad sp create-for-rbac para criar um registo de aplicação e uma nova entidade de serviço para a aplicação.

   az ad sp create-for-rbac --name <service-principal-name>
   

   A saída deste comando é semelhante ao seguinte JSON:

   {
     "appId": "00000000-0000-0000-0000-000000000000",
     "displayName": "<service-principal-name>",
     "password": "abcdefghijklmnopqrstuvwxyz",
     "tenant": "11111111-1111-1111-1111-111111111111"
   }
   

2. Copie essa saída para um arquivo temporário em um editor de texto, pois você precisará desses valores em uma etapa futura.

   Nota

   O valor secreto do cliente só é exibido uma vez após a criação do registro do aplicativo. Você pode adicionar mais segredos de cliente sem invalidar esse segredo de cliente, mas não há como exibir esse valor novamente.

1. Navegue até à página de visão geral Microsoft Entra ID no portal Azure.

2. Selecione Todos os grupos no menu à esquerda.

3. Na página Grupos , selecione Novo grupo.

4. Na página Novo de grupo, preencha os seguintes campos de formulário:

   • Tipo de grupo: Selecione Segurança.
   • Nome do grupo: insira um nome para o grupo que inclua uma referência ao nome do aplicativo ou ambiente.
   • Descrição do grupo: insira uma descrição que explique a finalidade do grupo.

   

5. Selecione o link Sem membros selecionados em Membros para adicionar membros ao grupo.

6. No painel suspenso que se abre, procure o principal de serviço que criou anteriormente e selecione-o nos resultados filtrados. Escolha o botão Selecionar na parte inferior do painel para confirmar sua seleção.

7. Selecione Criar na parte inferior da página Novo grupo para criar o grupo e retornar à página Todos os grupos . Se não vir o novo grupo listado, aguarde um momento e atualize a página.

1. Use o comando az ad group create para criar grupos em Microsoft Entra ID.

   az ad group create \
       --display-name <group-name> \
       --mail-nickname <group-mail-nickname> \
       --description <group-description>
   

   Os parâmetros --display-name e --mail-nickname são necessários. O nome dado ao grupo deve ser baseado no nome e no ambiente do aplicativo para indicar a finalidade do grupo.

2. Para adicionar membros ao grupo, você precisa da ID do objeto da entidade de serviço do aplicativo, que é diferente da ID do aplicativo. Utilize o comando az ad sp list para enumerar as entidades de serviço disponíveis.

   az ad sp list \
       --filter "startswith(displayName, '<group-name>')" \
       --query "[].{objectId:id, displayName:displayName}"
   

   O --filter parâmetro aceita filtros no estilo OData e pode ser usado para filtrar a lista conforme mostrado. O --query parâmetro limita a saída apenas às colunas de interesse.

3. Use o comando az ad group member add para adicionar membros ao grupo:

   az ad group member add \
       --group <group-name> \
       --member-id <object-id>
   

1. No portal Azure, navegue até à página Overview do grupo de recursos que contém a sua aplicação.

2. Selecione Controle de acesso (IAM) na navegação à esquerda.

3. Na página Controle de acesso (IAM), selecione + Adicionar e escolha Adicionar atribuição de função no menu suspenso. A página Adicionar atribuição de função fornece várias guias para configurar e atribuir funções.

4. Na guia Função , use a caixa de pesquisa para localizar a função que você deseja atribuir. Selecione a função e, em seguida, escolha Avançar.

5. Na aba Membros

   • Para o valor Atribuir acesso a , selecione Usuário, grupo ou entidade de serviço .
   • Para o valor Membros, escolha + Selecionar membros para abrir o painel flutuante Selecionar membros.
   • Procura o grupo Microsoft Entra que criaste anteriormente e seleciona-o nos resultados filtrados. Escolha e depois selecione para selecionar o grupo e fechar o painel de pop-up.
   • Selecione Revisar + atribuir no fundo do separador Membros.

   

6. No separador Rever + atribuir, selecione Rever + atribuir na parte de baixo da página.

1. Use o comando az role definition list para obter os nomes das funções a que um grupo de Microsoft Entra ou um principal de serviço pode ser atribuído:

   az role definition list \
       --query "sort_by([].{roleName:roleName, description:description}, &roleName)" \
       --output table
   

2. Use o comando az role assignment create para atribuir um role ao grupo de Microsoft Entra que criou:

   az role assignment create \
       --assignee "<group-object-Id>" \
       --role "<role-name>" \
       --resource-group "<resource-group-name>"
   

   Para informações sobre a atribuição de permissões ao nível do recurso ou subscrição usando o Azure CLI, veja Atribuir Azure funções usando o Azure CLI.

Como a maioria dos programadores trabalha em múltiplas aplicações, recomenda-se a utilização de um pacote como python-dotenv para aceder a variáveis de ambiente a partir de um .env ficheiro armazenado no diretório da aplicação durante o desenvolvimento. Esta abordagem abrange as variáveis do ambiente para que só esta aplicação as possa utilizar.

O ficheiro .env nunca é registado no sistema de controlo de versão, pois contém a chave secreta da aplicação do Azure. O ficheiro padrão .gitignore para Python exclui automaticamente o ficheiro .env do check-in.

Para usar o python-dotenv pacote, instale-o primeiro na sua aplicação:

pip install python-dotenv

Em seguida, crie um .env arquivo no diretório raiz do aplicativo. Defina os valores das variáveis de ambiente com os valores obtidos no processo de registo da aplicação:

AZURE_CLIENT_ID=<your-client-id>
AZURE_TENANT_ID=<your-tenant-id>
AZURE_CLIENT_SECRET=<your-client-secret>

Finalmente, no código de arranque da sua aplicação, use a python-dotenv biblioteca para ler as variáveis de ambiente do .env ficheiro no arranque:

from dotenv import load_dotenv

load_dotenv()

Em Visual Studio Code, variáveis de ambiente podem ser definidas no ficheiro launch.json do seu projeto. Esses valores são carregados automaticamente quando a aplicação arranca. No entanto, essas configurações não viajam com seu aplicativo durante a implantação, portanto, você precisa configurar variáveis de ambiente em seu ambiente de hospedagem de destino.

{
    "version": "0.2.0",
    "configurations": [
        {
            "name": "Python: Current File",
            "type": "debugpy",
            "request": "launch",
            "program": "${file}",
            "console": "integratedTerminal",
            "env": {
                "AZURE_CLIENT_ID": "<your-client-id>",
                "AZURE_TENANT_ID": "<your-tenant-id>",
                "AZURE_CLIENT_SECRET": "<your-client-secret>"
            }
        }
    ]
}

Podes definir variáveis de ambiente para o Windows a partir da linha de comandos. No entanto, os valores são acessíveis a todos os aplicativos em execução nesse sistema operacional e podem causar conflitos, portanto, tenha cuidado com essa abordagem. As variáveis de ambiente podem ser definidas no nível do usuário ou do sistema.

setx AZURE_CLIENT_ID "<your-client-id>"
setx AZURE_TENANT_ID "<your-tenant-id>"
setx AZURE_CLIENT_SECRET "<your-client-secret>"

O PowerShell também pode ser usado para definir variáveis de ambiente no nível do usuário ou do sistema:

[Environment]::SetEnvironmentVariable("AZURE_CLIENT_ID", "<your-client-id>", "User")
[Environment]::SetEnvironmentVariable("AZURE_TENANT_ID", "<your-tenant-id>", "User")
[Environment]::SetEnvironmentVariable("AZURE_CLIENT_SECRET", "<your-client-secret>", "User")

Após executar estes comandos, reinicie quaisquer terminais ou aplicações abertas para captar as novas variáveis de ambiente.

export AZURE_CLIENT_ID="<your-client-id>"
export AZURE_TENANT_ID="<your-tenant-id>"
export AZURE_CLIENT_SECRET="<your-client-secret>"

Para tornar estas variáveis de ambiente persistentes entre as sessões de terminais, adicione estas linhas ao seu ficheiro de perfil de shell (como ~/.bashrc, ~/.zshrc, ou ~/.bash_profile).