Migrar o aplicativo Java para usar conexões sem senha com o Banco de Dados SQL do Azure

Este artigo explica como migrar de métodos de autenticação tradicionais para conexões mais seguras e sem senha com o Banco de Dados SQL do Azure.

As solicitações de aplicativo para Banco de Dados SQL do Azure devem ser autenticadas. O Banco de Dados SQL do Azure fornece várias maneiras diferentes para os aplicativos se conectarem com segurança. Uma das formas é usar senhas. No entanto, você deve priorizar conexões sem senha em seus aplicativos quando possível.

Comparar opções de autenticação

Quando o aplicativo se autentica com o Banco de Dados SQL do Azure, ele fornece um par de nome de usuário e senha para se conectar ao banco de dados. Dependendo de onde as identidades são armazenadas, há dois tipos de autenticação: autenticação do Microsoft Entra e autenticação do Banco de Dados SQL do Azure.

autenticação do Microsoft Entra

A autenticação do Microsoft Entra é um mecanismo para se conectar ao Banco de Dados SQL do Azure usando identidades definidas na ID do Microsoft Entra. Com a autenticação do Microsoft Entra, você pode gerenciar as identidades de usuários do banco de dados e outros serviços da Microsoft em uma só localização central, o que simplifica o gerenciamento de permissões.

O uso da ID do Microsoft Entra para autenticação oferece os seguintes benefícios:

• Autenticação de usuários nos Serviços do Azure de maneira uniforme.
• Gerenciamento de políticas de senha e rotação de senhas em um único lugar.
• Várias formas de autenticação suportadas pelo Microsoft Entra ID, que podem eliminar a necessidade de armazenar senhas.
• Os clientes podem gerenciar permissões de banco de dados usando grupos externos (Microsoft Entra ID).
• A autenticação do Microsoft Entra usa usuários do banco de dados SQL do Azure para autenticar identidades no nível do banco de dados.
• Suporte à autenticação baseada em token para aplicativos que se conectam ao Banco de Dados SQL do Azure.

Autenticação do Banco de Dados SQL do Azure

Você pode criar contas no Banco de Dados SQL do Azure. Se você optar por usar senhas como credenciais para as contas, essas credenciais serão armazenadas na tabela sys.database_principals. Como essas senhas são armazenadas no Banco de Dados SQL do Azure, você mesmo precisa gerenciar a rotação das senhas.

Embora seja possível se conectar ao Banco de Dados SQL do Azure com senhas, você deve usá-las com cuidado. Você deve ser diligente para nunca expor as senhas em um local não seguro. Qualquer pessoa que tenha acesso às senhas é capaz de autenticar. Por exemplo, há o risco de que um usuário mal-intencionado possa acessar o aplicativo se uma cadeia de conexão for acidentalmente verificada no controle do código-fonte, enviada por meio de um e-mail não seguro, colada no bate-papo errado ou visualizada por alguém que não deveria ter permissão. Em vez disso, considere atualizar seu aplicativo para usar conexões sem senha.

Introdução a conexões sem senha

Com uma conexão sem senha, você pode se conectar aos serviços do Azure sem armazenar credenciais no código do aplicativo, em seus arquivos de configuração ou em variáveis de ambiente.

Muitos serviços do Azure oferecem suporte a conexões sem senha, por exemplo, por meio da Identidade Gerenciada do Azure. Essas técnicas fornecem recursos de segurança robustos que você pode implementar usando DefaultAzureCredential das bibliotecas de cliente do Azure Identity. Neste tutorial, você aprenderá a atualizar um aplicativo existente para usar DefaultAzureCredential em vez de alternativas, como cadeias de conexão.

DefaultAzureCredential dá suporte a vários métodos de autenticação e determina automaticamente quais devem ser usados no runtime. Essa abordagem permite que seu aplicativo use diferentes métodos de autenticação em ambientes diferentes (desenvolvimento local versus produção) sem implementar código específico do ambiente.

A ordem e os locais em que DefaultAzureCredential as pesquisas por credenciais podem ser encontradas na visão geral da biblioteca de Identidades do Azure. Por exemplo, ao trabalhar localmente, DefaultAzureCredential geralmente autenticará usando a conta que o desenvolvedor usou para entrar no Visual Studio. Quando o aplicativo for implantado no Azure, DefaultAzureCredential mudará automaticamente para usar uma identidade gerenciada. Nenhuma alteração de código é necessária para essa transição.

Para garantir que as conexões não tenham senha, você deve levar em consideração o desenvolvimento local e o ambiente de produção. Se uma cadeia de conexão for necessária em qualquer lugar, o aplicativo não será sem senha.

Em seu ambiente de desenvolvimento local, você pode se autenticar com a CLI do Azure, o Azure PowerShell, o Visual Studio ou os plug-ins do Azure para Visual Studio Code ou IntelliJ. Nesse caso, você pode usar essa credencial em seu aplicativo em vez de configurar propriedades.

Ao implantar aplicativos em um ambiente de hospedagem do Azure, como uma máquina virtual, você pode atribuir identidade gerenciada nesse ambiente. Em seguida, você não precisará fornecer credenciais para se conectar aos serviços do Azure.

Observação

Uma identidade gerenciada fornece uma identidade de segurança para representar um aplicativo ou serviço. A identidade é gerenciada pela plataforma do Azure e não exige provisionamento ou giro de nenhum segredo. Você pode ler mais sobre identidades gerenciadas na documentação de visão geral.

Observação

Como o driver JDBC para o Banco de Dados SQL do Azure ainda não oferece suporte a conexões sem senha de ambientes locais, este artigo se concentrará apenas em aplicativos implantados em ambientes de hospedagem do Azure e em como migrá-los para usar conexões sem senha.

Migrar um aplicativo existente para usar conexões sem senha

As etapas a seguir explicam como migrar um aplicativo existente para usar conexões sem senha em vez de uma solução baseada em senha.

0) Preparar o ambiente de trabalho

Primeiro, use o seguinte comando para configurar algumas variáveis de ambiente.

export AZ_RESOURCE_GROUP=<YOUR_RESOURCE_GROUP>
export AZ_DATABASE_SERVER_NAME=<YOUR_DATABASE_SERVER_NAME>
export AZ_DATABASE_NAME=demo
export CURRENT_USERNAME=$(az ad signed-in-user show --query userPrincipalName --output tsv)
export CURRENT_USER_OBJECTID=$(az ad signed-in-user show --query id --output tsv)

Substitua os espaços reservados pelos seguintes valores, que são usados em todo este artigo:

• <YOUR_RESOURCE_GROUP>: O nome do grupo de recursos em que seus recursos estão.
• <YOUR_DATABASE_SERVER_NAME>: O nome do servidor do Banco de Dados SQL do Azure. O nome deve ser exclusivo em todo o Azure.

1) Configurar o Banco de Dados SQL do Azure

1.1) Habilitar a autenticação baseada em ID do Microsoft Entra

Para usar o acesso à ID do Microsoft Entra com o Banco de Dados SQL do Azure, você deve definir o usuário administrador do Microsoft Entra primeiro. Somente um usuário do Microsoft Entra Admin pode criar/habilitar usuários para autenticação baseada em ID do Microsoft Entra.

Se você estiver usando a CLI do Azure, execute o seguinte comando para garantir que ele tenha permissão suficiente:

az login --scope https://graph.microsoft.com/.default

Em seguida, execute o seguinte comando para definir o administrador do Microsoft Entra:

az sql server ad-admin create \
    --resource-group $AZ_RESOURCE_GROUP \
    --server $AZ_DATABASE_SERVER_NAME \
    --display-name $CURRENT_USERNAME \
    --object-id $CURRENT_USER_OBJECTID

Esse comando definirá o administrador do Microsoft Entra como o usuário conectado atual.

Observação

Você só pode criar um administrador do Microsoft Entra por servidor do Banco de Dados SQL do Azure. A seleção de outro substituirá o administrador existente do Microsoft Entra configurado para o servidor.

2) Migre o código do aplicativo para usar conexões sem senha

Em seguida, use as etapas a seguir para atualizar seu código para usar conexões sem senha. Embora conceitualmente semelhante, cada linguagem usa detalhes de implementação diferentes.

Java

1. Dentro do seu projeto, adicione a seguinte referência ao azure-identity pacote. Essa biblioteca contém todas as entidades necessárias para implementar conexões sem senha.

   <dependency>
        <groupId>com.azure</groupId>
        <artifactId>azure-identity</artifactId>
        <version>1.5.4</version>
   </dependency>
   

2. Habilitar a autenticação de identidade gerenciada do Microsoft Entra na URL JDBC.v Identifique os locais em seu código que atualmente criam um java.sql.Connection para se conectar ao Banco de Dados SQL do Azure. Atualize o código para que ele corresponda ao seguinte exemplo:

   String url = "jdbc:sqlserver://$AZ_DATABASE_SERVER_NAME.database.windows.net:1433;databaseName=$AZ_DATABASE_NAME;authentication=ActiveDirectoryMSI;"   
   Connection con = DriverManager.getConnection(url);
   

3. Substitua as duas $AZ_DATABASE_SERVER_NAME variáveis e uma $AZ_DATABASE_NAME variável pelos valores que você configurou no início deste artigo.

4. Remova o user e password da URL JDBC.

Spring

1. Dentro do spring-cloud-azure-starter seu projeto, adicione uma referência ao pacote. Essa biblioteca contém todas as entidades necessárias para implementar conexões sem senha.

   <dependency>
       <groupId>com.azure.spring</groupId>
       <artifactId>spring-cloud-azure-starter</artifactId>
   </dependency>
   

   Observação

   Para obter mais informações sobre como gerenciar versões da biblioteca do Spring Cloud Azure usando uma lista de materiais (BOM), consulte a seção Introdução do guia do desenvolvedor do Spring Cloud Azure.

2. Atualize o arquivo application.yaml ou application.properties, conforme mostrado no exemplo a seguir. Remover spring.datasource.username e spring.datasource.password propriedades.

   spring:
     datasource:
       url: jdbc:sqlserver://${AZ_DATABASE_SERVER_NAME}.database.windows.net:1433;databaseName=${AZ_DATABASE_NAME};authentication=ActiveDirectoryMSI;
   

3) Configurar o ambiente de hospedagem do Azure

Depois que seu aplicativo é configurado para usar conexões sem senha, o mesmo código pode se autenticar nos serviços do Azure depois de implantado no Azure. Por exemplo, um aplicativo implantado em uma instância do Serviço de Aplicativo do Azure que tenha uma identidade gerenciada atribuída pode se conectar ao Armazenamento do Azure.

Nesta seção, você executará duas etapas para permitir que seu aplicativo seja executado em um ambiente de hospedagem do Azure sem senha:

• Atribua a identidade gerenciada para seu ambiente de hospedagem do Azure.
• Atribua funções à identidade gerenciada.

Observação

O Azure também fornece o Service Connector, que pode ajudá-lo a conectar seu serviço de hospedagem com o SQL Server. Com o Service Connector para configurar seu ambiente de hospedagem, você pode omitir a etapa de atribuição de funções à sua identidade gerenciada, pois o Service Connector fará isso por você. A seção a seguir descreve como configurar seu ambiente de hospedagem do Azure de duas maneiras: uma por meio do Service Connector e a outra configurando cada ambiente de hospedagem diretamente.

Importante

Os comandos do Service Connector exigem a CLI 2.41.0 do Azure ou superior.

Atribuir a identidade gerenciada usando o portal do Azure

As etapas a seguir mostram como atribuir uma identidade gerenciada atribuída pelo sistema para vários serviços de hospedagem na Web. A identidade gerenciada pode se conectar com segurança a outros serviços do Azure usando as configurações de aplicativo configuradas anteriormente.

Serviço de Aplicativo

1. Na página de visão geral principal da instância do Serviço de Aplicativo do Azure, selecione Identidade no painel de navegação.

2. Na guia Sistema atribuído, certifique-se de definir o campo Status como ativado. Uma identidade atribuída pelo sistema é gerenciada internamente pelo Azure e lida com tarefas administrativas para você. Os detalhes e as IDs da identidade nunca são expostos em seu código.

   

Conector do Serviço

Quando você usa o Service Connector, ele pode ajudar a atribuir a identidade gerenciada atribuída pelo sistema para seu ambiente de hospedagem do Azure. No entanto, o portal do Azure não oferece suporte à configuração do Banco de Dados do Azure dessa maneira, portanto, você precisa usar a CLI do Azure para atribuir a identidade.

Aplicativos de Contêiner

1. Na página de visão geral principal da instância do Aplicativo de Contêiner do Azure, selecione Identidade no painel de navegação.

2. Na guia Sistema atribuído, certifique-se de definir o campo Status como ativado. Uma identidade atribuída pelo sistema é gerenciada internamente pelo Azure e lida com tarefas administrativas para você. Os detalhes e as IDs da identidade nunca são expostos em seu código.

   

Azure Spring Apps

1. Na página de visão geral principal da instância do Azure Spring Apps, selecione Identidade no painel de navegação.

2. Na guia Sistema atribuído, certifique-se de definir o campo Status como ativado. Uma identidade atribuída pelo sistema é gerenciada internamente pelo Azure e lida com tarefas administrativas para você. Os detalhes e as IDs da identidade nunca são expostos em seu código.

   

Máquinas virtuais

1. Na página de visão geral principal da máquina virtual, selecione Identidade no painel de navegação.

2. Na guia Sistema atribuído, certifique-se de definir o campo Status como ativado. Uma identidade atribuída pelo sistema é gerenciada internamente pelo Azure e lida com tarefas administrativas para você. Os detalhes e as IDs da identidade nunca são expostos em seu código.

   

AKS

Um cluster do AKS (Serviço de Kubernetes do Azure) precisa de uma identidade para acessar recursos do Azure como balanceadores de carga e discos gerenciados. Essa identidade pode ser uma identidade gerenciada ou uma entidade de serviço. Por padrão, quando você cria um cluster AKS, uma identidade gerenciada atribuída ao sistema é criada automaticamente.

Você também pode atribuir identidade gerenciada em um ambiente de hospedagem do Azure usando a CLI do Azure.

Serviço de Aplicativo

Você pode atribuir uma identidade gerenciada a uma instância do Serviço de Aplicativo do Azure com o comando az webapp identity assign , conforme mostrado no exemplo a seguir:

export AZ_MI_OBJECT_ID=$(az webapp identity assign \
    --resource-group $AZ_RESOURCE_GROUP \
    --name <service-instance-name> \
    --query principalId \
    --output tsv)

Conector do Serviço

Você pode usar o Service Connector para criar uma conexão entre um ambiente de hospedagem de computação do Azure e um serviço de destino usando a CLI do Azure. Atualmente, o Service Connector oferece suporte aos seguintes serviços de computação:

• Serviço de Aplicativo do Azure
• Azure Spring Apps
• Aplicativos de Contêiner do Azure

Primeiro, instale a extensão sem senha do Service Connector para a CLI do Azure:

az extension add --name serviceconnector-passwordless --upgrade

Se você estiver usando o Serviço de Aplicativo do Azure, use o az webapp connection comando, conforme mostrado no exemplo a seguir:

az webapp connection create sql \
    --resource-group $AZ_RESOURCE_GROUP \
    --name <app-service-name>
    --target-resource-group $AZ_RESOURCE_GROUP \
    --server $AZ_DATABASE_SERVER_NAME \
    --database $AZ_DATABASE_NAME \
    --system-identity

Se você estiver usando o Azure Spring Apps, use the az spring connection o comando, conforme mostrado no exemplo a seguir:

az spring connection create sql \
    --resource-group $AZ_RESOURCE_GROUP \
    --service <service-name> \
    --app <service-instance-name> \
    --target-resource-group $AZ_RESOURCE_GROUP \
    --server $AZ_DATABASE_SERVER_NAME \
    --database $AZ_DATABASE_NAME \
    --system-identity

Se você estiver usando os Aplicativos de Contêiner do Azure, use o az containerapp connection comando, conforme mostrado no exemplo a seguir:

az containerapp connection create sql \
    --resource-group $AZ_RESOURCE_GROUP \
    --name <app-service-name>
    --target-resource-group $AZ_RESOURCE_GROUP \
    --server $AZ_DATABASE_SERVER_NAME \
    --database $AZ_DATABASE_NAME \
    --system-identity

Aplicativos de Contêiner

Você pode atribuir uma identidade gerenciada a uma instância dos Aplicativos de Contêiner do Azure com o comando az containerapp identity assign , conforme mostrado no exemplo a seguir:

export AZ_MI_OBJECT_ID=$(az containerapp identity assign \
    --resource-group $AZ_RESOURCE_GROUP \
    --name <service-instance-name> \
    --query principalId \
    --output tsv)

Azure Spring Apps

Você pode atribuir uma identidade gerenciada a uma instância do Azure Spring Apps com o comando az spring app identity assign , conforme mostrado no exemplo a seguir:

export AZ_MI_OBJECT_ID=$(az spring app identity assign \
    --resource-group $AZ_RESOURCE_GROUP \
    --name <service-instance-name> \
    --service <service-name> \
    --query identity.principalId \
    --output tsv)

Máquinas virtuais

Você pode atribuir uma identidade gerenciada a uma máquina virtual com o comando az vm identity assign , conforme mostrado no exemplo a seguir:

export AZ_MI_OBJECT_ID=$(az vm identity assign \
    --resource-group $AZ_RESOURCE_GROUP \
    --name <service-instance-name> \
    --query principalId \
    --output tsv)

AKS

Você pode atribuir uma identidade gerenciada a uma instância do Serviço de Kubernetes do Azure (AKS) com o comando az aks update , conforme mostrado no exemplo a seguir:

export AZ_MI_OBJECT_ID=$(az aks update \
    --resource-group $AZ_RESOURCE_GROUP \
    --name <AKS-cluster-name> \
    --enable-managed-identity \
    --query identityProfile.kubeletidentity.objectId \
    --output tsv)

Atribuir funções à identidade gerenciada

Em seguida, conceda permissões à identidade gerenciada que você criou para acessar seu banco de dados SQL.

Conector do Serviço

Se você conectou seus serviços usando o Service Connector, os comandos da etapa anterior já atribuíram a função, portanto, você pode ignorar esta etapa.

CLI do Azure

Esta etapa criará um usuário de banco de dados para a identidade gerenciada e concederá permissões de leitura e gravação a ela.

O comando a seguir recuperará o nome de exibição da identidade gerenciada e construirá os comandos para criar um usuário para a identidade gerenciada e conceder permissões:

export AZ_DATABASE_AD_MI_USERNAME=$(az ad sp show \
    --id $AZ_MI_OBJECT_ID \
    --query displayName \
    --output tsv)
cat << EOF
CREATE USER "$AZ_DATABASE_AD_MI_USERNAME" FROM EXTERNAL PROVIDER;
ALTER ROLE db_datareader ADD MEMBER "$AZ_DATABASE_AD_MI_USERNAME";
ALTER ROLE db_datawriter ADD MEMBER "$AZ_DATABASE_AD_MI_USERNAME";
GO
EOF

Copie a saída desse comando, vá para o portal do Azure e localize o banco de dados SQL. Entre no editor de consultas como o usuário administrador do Microsoft Entra, conforme mostrado na captura de tela a seguir.

Passe a saída do último comando no editor de consultas e execute os comandos SQL, conforme mostrado na captura de tela a seguir.

Testar o aplicativo

Depois de fazer essas alterações de código, você pode criar e reimplantar o aplicativo. Em seguida, navegue até o aplicativo hospedado no navegador. Seu aplicativo deve ser capaz de se conectar ao banco de dados SQL do Azure com êxito. Lembre-se de que pode levar vários minutos para que as atribuições de função se propaguem pelo ambiente do Azure. Seu aplicativo agora está configurado para ser executado localmente e em um ambiente de produção sem que os desenvolvedores precisem gerenciar segredos no próprio aplicativo.

Próximas etapas

Neste tutorial, você aprendeu a migrar um aplicativo para conexões sem senha.

Você pode ler os seguintes recursos para explorar os conceitos discutidos neste artigo com mais detalhes:

• Autorizar o acesso a dados de blob com identidades gerenciadas para recursos do Azure.
• Autorize o acesso a blobs usando o ID do Microsoft Entra