Autentisera mot Azure-resurser från Java-applikationer som är värd-lokalt

Appar som finns utanför Azure, till exempel lokalt eller i ett datacenter från tredje part, bör använda ett huvudnamn för programtjänsten via Microsoft Entra ID för att autentisera till Azure tjänster. I följande avsnitt lär du dig:

Så här registrerar du ett program med Microsoft Entra för att skapa ett huvudnamn för tjänsten.
Så här tilldelar du roller till omfångsbehörigheter.
Autentisera din appkod med hjälp av en tjänstehuvudprincip.

Genom att använda dedikerade huvudnamn för programtjänsten kan du följa principen om lägsta behörighet när du får åtkomst till Azure resurser. Begränsa behörigheter till de specifika kraven för appen under utvecklingen för att förhindra oavsiktlig åtkomst till Azure resurser som är avsedda för andra appar eller tjänster. Den här metoden hjälper dig också att undvika problem när du flyttar appen till produktion genom att se till att appen inte är överprivilegierad i utvecklingsmiljön.

Skapa en annan appregistrering för varje miljö där du är värd för appen. Du kan konfigurera miljöspecifika resursbehörigheter för varje huvudnamn för tjänsten och se till att en app som distribueras till en miljö inte kommer åt Azure resurser i en annan miljö.

Registrera appen i Azure

Huvudobjekt för programtjänsten skapas via en appregistrering i Azure med antingen Azure-portalen eller Azure CLI.

Azure portal
Azure CLI

I Azure-portalen använder du sökfältet för att navigera till sidan App registrations.
På sidan App registrations väljer du + Ny registrering.
På sidan Registrera en applikation:
- För fältet Namn anger du ett beskrivande värde som innehåller appnamnet och målmiljön.
- För kontotyper som stödsväljer du endast Konton i den här organisationskatalogen (endast Microsoft Customer Led – Enskild klientorganisation)eller vilket alternativ som passar bäst för dina behov.
Välj Registrera för att registrera din app och skapa tjänstens huvudnamn.
På sidan Appregistrering för din app kopierar du Program-ID (klient) och Katalog-ID (hyresgäst), som du sedan klistrar in på en tillfällig plats för senare användning i appkodkonfigurationerna.
Välj Lägg till ett certifikat eller en hemlig för att konfigurera autentiseringsuppgifter för din app.
På sidan Certifikat och hemligheter väljer du + Ny klienthemlighet.
I Lägg till en klienthemlighet flyout-panelen som öppnas:
- För Beskrivning anger du värdet Current.
- För värdet Förfaller lämnar du det rekommenderade standardvärdet 180 days.
- Välj Lägg till för att lägga till hemligheten.
På sidan certifikat & hemligheter kopierar du egenskapen Value för klienthemligheten för användning i ett framtida steg.

Anmärkning

Värdet för klienthemlighet visas bara en gång efter att appregistreringen har skapats. Du kan lägga till fler klienthemligheter utan att ogiltigförklara den här klienthemligheten, men det går inte att visa det här värdet igen.

Azure CLI kommandon kan köras i Azure Cloud Shell eller på en arbetsstation med Azure CLI installerat.

Använd kommandot az ad sp create-for-rbac för att skapa en ny app-registrering och ett tjänsthuvudnamn för appen.

az ad sp create-for-rbac --name <service-principal-name>

Utdata från det här kommandot liknar följande JSON:

{
  "appId": "00000000-0000-0000-0000-000000000000",
  "displayName": "<service-principal-name>",
  "password": "abcdefghijklmnopqrstuvwxyz",
  "tenant": "11111111-1111-1111-1111-111111111111"
}

Kopiera utdata till en tillfällig fil i en textredigerare eftersom du behöver dessa värden i ett framtida steg.

Anmärkning

Värdet för klienthemlighet visas bara en gång efter att appregistreringen har skapats. Du kan lägga till fler klienthemligheter utan att ogiltigförklara den här klienthemligheten, men det går inte att visa det här värdet igen.

Tilldela roller till tjänstehuvudnamnet för applikationen

Bestäm sedan vilka roller (behörigheter) din app behöver på vilka resurser och tilldela dessa roller till tjänstens huvudnamn som du skapade. Roller kan tilldelas på resurs-, resursgrupps- eller prenumerationsnivån. Det här exemplet visar hur du tilldelar roller i resursgruppens omfång, eftersom de flesta appar grupperar alla sina Azure resurser i en enda resursgrupp.

Azure portal
Azure CLI

I Azure-portalen går du till sidan Overview i resursgruppen som innehåller din app.
Välj Åtkomstkontroll (IAM) i det vänstra navigeringsfältet.
På sidan Åtkomstkontroll (IAM) väljer du + Lägg till och väljer sedan Lägg till rolltilldelning i den nedrullningsbara menyn. Sidan Lägg till rolltilldelning innehåller flera flikar för att konfigurera och tilldela roller.
På fliken Roll använder du sökrutan för att hitta den roll som du vill tilldela. Välj rollen och välj sedan Nästa.
På fliken Medlemmar:
- För värdet Tilldela åtkomst till väljer du Användare, grupp eller tjänstens huvudnamn .
- För värdet Medlemmar väljer du + Välj medlemmar för att öppna den utfällbara panelen Välj medlemmar .
- Sök efter tjänstens huvudnamn som du skapade tidigare och välj det från de filtrerade resultaten. Välj Välj för att välja gruppen och stäng den utfällbara panelen.
- Välj Granska + tilldela längst ned på fliken Medlemmar .
På fliken Granska + tilldela väljer du Granska + tilldela längst ned på sidan.

Använd kommandot az role definition list för att hämta namnen på de roller som en tjänstprincipal kan tilldelas:

az role definition list \
    --query "sort_by([].{roleName:roleName, description:description}, &roleName)" \
    --output table

Använd kommandot az role assignment create för att tilldela en roll till en serviceprincipal:
```
az role assignment create \
    --assignee "<app-Id>" \
    --role "<role-name>" \
    --resource-group "<resource-group-name>"
```
Information om hur du tilldelar behörigheter på resurs- eller prenumerationsnivå med hjälp av Azure CLI finns i Tilldela Azure roller med hjälp av Azure CLI.

Ange appmiljövariablerna

Vid körning söker vissa autentiseringsuppgifter från Azure Identity Library, till exempel DefaultAzureCredential, EnvironmentCredential och ClientSecretCredential, efter information om tjänstens huvudnamn efter konvention i miljövariablerna. När du arbetar med Java kan du konfigurera miljövariabler på flera sätt, beroende på verktyg och miljö.

Oavsett vilken metod du väljer konfigurerar du följande miljövariabler för tjänstens huvudnamn:

AZURE_CLIENT_ID: Används för att identifiera den registrerade appen i Azure.
AZURE_TENANT_ID: ID för Microsoft Entra klientorganisationen.
AZURE_CLIENT_SECRET: Den hemliga autentiseringsuppgift som genererades för appen.

Ange följande miljövariabler. Ersätt platshållarvärdena med de faktiska värdena från appregistreringen:

export AZURE_CLIENT_ID="<your-client-id>"
export AZURE_TENANT_ID="<your-tenant-id>"
export AZURE_CLIENT_SECRET="<your-client-secret>"

För ett Java program som körs som en systembaserad tjänst på en produktionsserver definierar du miljövariablerna i en fil och refererar till den med direktivet EnvironmentFile i tjänstenhetsfilen:

[Unit]
Description=Java application service
After=network.target

[Service]
User=app-user
WorkingDirectory=/path/to/java-app
EnvironmentFile=/path/to/java-app/app-environment-variables
ExecStart=/usr/bin/java -jar app.jar

[Install]
WantedBy=multi-user.target

Miljöfilen ska innehålla en lista över miljövariabler med deras värden:

AZURE_CLIENT_ID=<your-client-id>
AZURE_TENANT_ID=<your-tenant-id>
AZURE_CLIENT_SECRET=<your-client-secret>

I Visual Studio Code anger du miljövariabler i filen .vscode/launch.json i projektet. Appen använder automatiskt dessa värden när den startar. De här konfigurationerna följer dock inte med din app under distributionen, så du måste konfigurera miljövariabler i målvärdmiljön.

{
    "version": "0.2.0",
    "configurations": [
        {
            "type": "java",
            "name": "Launch App",
            "request": "launch",
            "mainClass": "com.example.App",
            "env": {
                "AZURE_CLIENT_ID": "<your-client-id>",
                "AZURE_TENANT_ID": "<your-tenant-id>",
                "AZURE_CLIENT_SECRET": "<your-client-secret>"
            }
        }
    ]
}

Konfigurera miljövariabler i körningskonfigurationen:

Välj Kör > Redigera konfigurationer....
Välj programkonfigurationen.

I fältet Miljövariabler lägger du till dina variabler:

AZURE_CLIENT_ID=<your-client-id>;AZURE_TENANT_ID=<your-tenant-id>;AZURE_CLIENT_SECRET=<your-client-secret>

Välj Använd och sedan OK.

Du kan ange miljövariabler för Windows från kommandoraden. Alla appar som körs på operativsystemet kan dock komma åt värdena, vilket kan orsaka konflikter. Var försiktig med den här metoden. Du kan ange miljövariabler på användar- eller systemnivå.

# Set user environment variables
setx AZURE_CLIENT_ID "<your-client-id>"
setx AZURE_TENANT_ID "<your-tenant-id>"
setx AZURE_CLIENT_SECRET "<your-client-secret>"

# Set system environment variables - requires running as admin
setx AZURE_CLIENT_ID "<your-client-id>" /m
setx AZURE_TENANT_ID "<your-tenant-id>" /m
setx AZURE_CLIENT_SECRET "<your-client-secret>" /m

Du kan också använda PowerShell för att ange miljövariabler på användar- eller systemnivå:

# Set user environment variables
[Environment]::SetEnvironmentVariable("AZURE_CLIENT_ID", "<your-client-id>", "User")
[Environment]::SetEnvironmentVariable("AZURE_TENANT_ID", "<your-tenant-id>", "User")
[Environment]::SetEnvironmentVariable("AZURE_CLIENT_SECRET", "<your-client-secret>", "User")

# Set system environment variables - requires running as admin
[Environment]::SetEnvironmentVariable("AZURE_CLIENT_ID", "<your-client-id>", "Machine")
[Environment]::SetEnvironmentVariable("AZURE_TENANT_ID", "<your-tenant-id>", "Machine")
[Environment]::SetEnvironmentVariable("AZURE_CLIENT_SECRET", "<your-client-secret>", "Machine")

Autentisera mot Azure-tjänster från din app

I Azure Identity Library finns olika credentials – implementeringar av TokenCredential som stöder olika scenarier och Microsoft Entra autentiseringsflöden. Följande steg visar hur du använder ClientSecretCredential när du arbetar med serviceprincipaler lokalt och i produktion.

Implementera koden

Lägg till azure-identity-beroendet i din pom.xml-fil:

<dependency>
    <groupId>com.azure</groupId>
    <artifactId>azure-identity</artifactId>
</dependency>

Du får åtkomst till Azure tjänster med hjälp av specialiserade klientklasser från de olika Azure SDK klientbiblioteken. Följ dessa steg för alla Java kod som skapar ett Azure SDK klientobjekt i din app:

ClientSecretCredentialBuilder Importera klassen från com.azure.identity paketet.
Skapa ett ClientSecretCredential-objekt med hjälp av ClientSecretCredentialBuilder med tenantId, clientId och clientSecret.
Skicka instansen ClientSecretCredential till Azure SDK-klientobjektverktygets metod credential.

Ett exempel på den här metoden visas i följande kodsegment:

import com.azure.identity.ClientSecretCredential;
import com.azure.identity.ClientSecretCredentialBuilder;
import com.azure.storage.blob.BlobServiceClient;
import com.azure.storage.blob.BlobServiceClientBuilder;

String tenantId = System.getenv("AZURE_TENANT_ID");
String clientId = System.getenv("AZURE_CLIENT_ID");
String clientSecret = System.getenv("AZURE_CLIENT_SECRET");

ClientSecretCredential credential = new ClientSecretCredentialBuilder()
    .tenantId(tenantId)
    .clientId(clientId)
    .clientSecret(clientSecret)
    .build();

BlobServiceClient blobServiceClient = new BlobServiceClientBuilder()
    .endpoint("https://<account-name>.blob.core.windows.net")
    .credential(credential)
    .buildClient();

Feedback

Var den här sidan till hjälp?

Last updated on 2026-03-11