Autenticación de aplicaciones hospedadas en recursos de Azure con el SDK de Azure para Python

  • Artículo

Al hospedar una aplicación en Azure mediante servicios como App de Azure Service, Azure Virtual Machines o Azure Container Instances, el enfoque recomendado para autenticar una aplicación en recursos de Azure es con identidad administrada.

Una identidad administrada proporciona una identidad para la aplicación para que pueda conectarse a otros recursos de Azure sin necesidad de usar una clave secreta u otro secreto de aplicación. Internamente, Azure conoce la identidad de la aplicación y a qué recursos se le permite conectarse. Azure usa esta información para obtener automáticamente tokens de Microsoft Entra para que la aplicación permita la conexión a otros recursos de Azure, todo ello sin tener que administrar ningún secreto de aplicación.

Tipos de identidad administrada

Hay dos tipos de identidades administradas:

  • Identidades administradas asignadas por el sistema: este tipo de identidad administrada se proporciona mediante un recurso de Azure y está vinculado a dicho recurso. Al habilitar la identidad administrada en un recurso de Azure, obtendrá una identidad administrada asignada por el sistema para ese recurso. Una identidad administrada asignada por el sistema está vinculada al ciclo de vida del recurso de Azure al que está asociada. Por tanto, cuando se elimina el recurso, Azure elimina automáticamente la identidad. Dado que todo lo que tiene que hacer es habilitar la identidad administrada para el recurso de Azure que hospeda el código, este enfoque es el tipo más fácil de identidad administrada que se va a usar.
  • Identidades administradas asignadas por el usuario: también puede crear una identidad administrada como un recurso de Azure independiente. Este enfoque se usa con más frecuencia cuando la solución tiene varias cargas de trabajo que se ejecutan en varios recursos de Azure que todos necesitan compartir la misma identidad y los mismos permisos. Por ejemplo, si la solución tenía componentes que se ejecutan en varias instancias de App Service y máquina virtual que todos necesitan acceso al mismo conjunto de recursos de Azure, tiene sentido una identidad administrada asignada por el usuario que se usa en esos recursos.

En este artículo se describen los pasos para habilitar y usar una identidad administrada asignada por el sistema para una aplicación. Si necesita usar una identidad administrada asignada por el usuario, consulte el artículo Administración de identidades administradas asignadas por el usuario para obtener información sobre cómo crear una identidad administrada asignada por el usuario.

1: Activación de la identidad administrada en el recurso de Azure que hospeda la aplicación

El primer paso es habilitar la identidad administrada en el recurso de Azure que hospeda la aplicación. Por ejemplo, si hospeda una aplicación de Django mediante App de Azure Service, debe habilitar la identidad administrada para la aplicación web de App Service que hospeda la aplicación. Si usa una máquina virtual para hospedar la aplicación, habilitaría la máquina virtual para usar la identidad administrada.

Puede habilitar la identidad administrada para que se use para un recurso de Azure mediante Azure Portal o la CLI de Azure.

Los comandos de la CLI de Azure se pueden ejecutar en Azure Cloud Shell o en una estación de trabajo con la CLI de Azure instalada.

Los comandos de la CLI de Azure que se usan para habilitar la identidad administrada para un recurso de Azure tienen el formato az <command-group> identity --resource-group <resource-group-name> --name <resource-name>. A continuación se muestran comandos específicos para los servicios populares de Azure.

az webapp identity assign --resource-group <resource-group-name> -name <web-app-name>

El resultado tendrá un aspecto similar al siguiente.

{
  "principalId": "99999999-9999-9999-9999-999999999999",
  "tenantId": "33333333-3333-3333-3333-333333333333",
  "type": "SystemAssigned",
  "userAssignedIdentities": null
}

El valor principalId es el identificador único de la identidad administrada. Mantenga una copia de este resultado, ya que necesitará estos valores en el paso siguiente.

2: Asignación de roles a la identidad administrada

A continuación, debe determinar qué roles (permisos) necesita la aplicación y asignar la identidad administrada a dichos roles en Azure. Se pueden asignar roles a una identidad administrada en un ámbito de recurso, grupo de recursos o suscripción. En este ejemplo se muestra cómo asignar roles en el ámbito del grupo de recursos, ya que la mayoría de las aplicaciones agrupan todos sus recursos de Azure en un único grupo de recursos.

En Azure, los roles se asignan a una identidad administrada mediante el comando az role assignment create. Para el receptor, use el principalId que copió en el paso 1.

az role assignment create --assignee {managedIdentityprincipalId} \
    --scope /subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName} \
    --role "{roleName}"

Para obtener los nombres de roles a los que se puede asignar una entidad de servicio, use el comando az role definition list.

az role definition list \
    --query "sort_by([].{roleName:roleName, description:description}, &roleName)" \
    --output table

Por ejemplo, para permitir la identidad administrada con el identificador de 99999999-9999-9999-9999-999999999999 lectura, escritura y eliminación de acceso a contenedores y datos de blobs de Azure Storage en todas las cuentas de almacenamiento del grupo de recursos msdocs-python-sdk-auth-example de la suscripción con el identificador 11111111-1111-1111-1111-111111111111, asignaría la entidad de servicio de aplicación al rol Colaborador de datos de Storage Blob mediante el siguiente comando.

az role assignment create --assignee 99999999-9999-9999-9999-999999999999 \
    --scope /subscriptions/11111111-1111-1111-1111-111111111111/resourceGroups/msdocs-python-sdk-auth-example \
    --role "Storage Blob Data Contributor"

Para obtener información sobre cómo asignar permisos en el nivel de recurso o suscripción mediante la CLI de Azure, consulte el artículo Asignación de roles de Azure mediante la CLI de Azure.

3: Implementación de DefaultAzureCredential en la aplicación

Cuando el código se ejecuta en Azure y la identidad administrada se ha habilitado en el recurso de Azure que hospeda la aplicación, DefaultAzureCredential determina las credenciales que se usarán en el orden siguiente:

  1. Compruebe el entorno de una entidad de servicio tal como se define en las variables AZURE_CLIENT_IDde entorno , AZURE_TENANT_ID, y AZURE_CLIENT_SECRET o y AZURE_CLIENT_CERTIFICATE_PATH (opcionalmente) AZURE_CLIENT_CERTIFICATE_PASSWORD.
  2. Compruebe los parámetros de palabra clave de una identidad administrada asignada por el usuario. Puede pasar una identidad administrada asignada por el usuario especificando su identificador de cliente en el managed_identity_client_id parámetro .
  3. Compruebe la AZURE_CLIENT_ID variable de entorno para el identificador de cliente de una identidad administrada asignada por el usuario.
  4. Use la identidad administrada asignada por el sistema para el recurso de Azure si está habilitada.

Puede excluir las identidades administradas de la credencial estableciendo el parámetro Truede exclude_managed_identity_credential palabra clave .

En este artículo, se usa la identidad administrada asignada por el sistema para una aplicación web de App de Azure Service, por lo que no es necesario configurar una identidad administrada en el entorno ni pasarla como parámetro. En los pasos siguientes se muestra cómo usar DefaultAzureCredential.

En primer lugar, agregue el azure.identity paquete a la aplicación.

pip install azure-identity

A continuación, para cualquier código de Python que cree un objeto de cliente del SDK de Azure en la aplicación, querrá:

  1. Importe la DefaultAzureCredential clase desde el azure.identity módulo.
  2. Crear un objeto DefaultAzureCredential.
  3. Pase el DefaultAzureCredential objeto al constructor de objetos de cliente del SDK de Azure.

En el siguiente segmento de código se muestra un ejemplo de estos pasos.

from azure.identity import DefaultAzureCredential
from azure.storage.blob import BlobServiceClient

# Acquire a credential object
token_credential = DefaultAzureCredential()

blob_service_client = BlobServiceClient(
        account_url="https://<my_account_name>.blob.core.windows.net",
        credential=token_credential)

Como se describe en el artículo Introducción a la autenticación de Azure SDK para Python, DefaultAzureCredential admite varios métodos de autenticación y determina el método de autenticación que se usa en tiempo de ejecución. La ventaja de este enfoque es que la aplicación puede usar diferentes métodos de autenticación en distintos entornos sin implementar código específico del entorno. Cuando el código anterior se ejecute en la estación de trabajo durante el desarrollo local, DefaultAzureCredential usará una entidad de servicio de aplicación, según lo determinado por la configuración del entorno o las credenciales de la herramienta de desarrollador para autenticarse con otros recursos de Azure. Por lo tanto, se puede usar el mismo código para autenticar la aplicación en los recursos de Azure durante el desarrollo local y cuando se implementa en Azure.