Självstudie: Säkra Azure SQL Database-anslutningar från App Service med en hanterad identitet

1. Visual Studio för Windows är integrerad med Azure AD-autentisering. Om du vill aktivera utveckling och felsökning i Visual Studio lägger du till Azure AD-användaren i Visual Studio genom att välja Filkonto Inställningar på menyn och klicka på Lägg till > ett konto.

2. Om du vill ange Azure AD-användaren för Azure-tjänstautentisering väljer du Verktygsalternativ på menyn > och väljer sedan Kontoval för Azure-tjänstautentisering. > Välj den Azure AD-användare som du lade till och klicka på OK.

1. Visual Studio för Mac är inte integrerad med Azure AD-autentisering. Men biblioteket Microsoft.Azure.Services.AppAuthentication som du kommer att använda senare kan använda token från Azure CLI. Om du vill aktivera utveckling och felsökning i Visual Studio installerar du Azure CLI på den lokala datorn.

2. Logga in på Azure CLI med följande kommando med din Azure AD-användare:

   az login --allow-no-subscriptions
   

1. I Visual Studio öppnar du Package Manager-konsolen och lägger till NuGet-paketet Microsoft.Azure.Services.AppAuthentication:

   Install-Package Microsoft.Azure.Services.AppAuthentication -Version 1.4.0
   

2. I Web.config, arbetar du överst i filen och gör följande ändringar:

   • I <configSections> lägger du till följande avsnittsdeklaration i den:

     <section name="SqlAuthenticationProviders" type="System.Data.SqlClient.SqlAuthenticationProviderConfigurationSection, System.Data, Version=4.0.0.0, Culture=neutral, PublicKeyToken=b77a5c561934e089" />
     

   • under den avslutande </configSections> taggen lägger du till följande XML-kod för <SqlAuthenticationProviders> .

     <SqlAuthenticationProviders>
       <providers>
         <add name="Active Directory Interactive" type="Microsoft.Azure.Services.AppAuthentication.SqlAppAuthenticationProvider, Microsoft.Azure.Services.AppAuthentication" />
       </providers>
     </SqlAuthenticationProviders>
     

   • Leta upp anslutningssträngen MyDbConnection med namnet och ersätt dess värde med connectionString "server=tcp:<server-name>.database.windows.net;database=<db-name>;UID=AnyString;Authentication=Active Directory Interactive" . Ersätt <server-name> och <db-name> med servernamnet och databasnamnet.

   Anteckning

   Den SqlAuthenticationProvider som du precis registrerade baseras på appauthentication-biblioteket som du installerade tidigare. Som standard använder den en system tilldelad identitet. Om du vill använda en användar tilldelad identitet måste du ange ytterligare en konfiguration. Se stöd för anslutningssträngar för AppAuthentication-biblioteket.

   Det är allt du behöver för att ansluta till SQL Database. När du felsöker i Visual Studio koden den Azure AD-användare som du konfigureradei Konfigurera Visual Studio . Du kommer att konfigurera SQL Database senare för att tillåta anslutning från den hanterade identiteten för din App Service app.

3. Skriv Ctrl+F5 för att köra appen igen. Samma CRUD-app i webbläsaren ansluter nu till Azure SQL Database direkt med hjälp av Azure AD-autentisering. Med den här konfigurationen kan du köra databasmigrering från Visual Studio.

1. I Visual Studio du Package Manager-konsolen och lägger till NuGet-paketet Azure.Identity:

   Install-Package Microsoft.Data.SqlClient -Version 2.1.2
   Install-Package Azure.Identity -Version 1.4.0
   

2. I självstudien ASP.NET Coreoch SQL Database används inte anslutningssträngen alls eftersom den lokala utvecklingsmiljön använder en Sqlite-databasfil och Azure-produktionsmiljön använder en anslutningssträng MyDbConnection från App Service. Med Active Directory-autentisering vill du att båda miljöerna ska använda samma anslutningssträng. I appsettings.json ersätter du värdet för MyDbConnection anslutningssträngen med:

   "Server=tcp:<server-name>.database.windows.net;Authentication=Active Directory Device Code Flow; Database=<database-name>;"
   

   Anteckning

   Vi använder Active Directory Device Code Flow autentiseringstypen eftersom det är det närmaste vi kan komma till ett anpassat alternativ. Vi rekommenderar att Custom Authentication en typ är tillgänglig. Utan en bättre term att använda just nu använder vi Device Code Flow .

3. Därefter måste du skapa en anpassad autentiseringsproviderklass för att hämta och ange Entity Framework-databaskontexten med åtkomsttoken för SQL Database. I datakatalogen \ lägger du till en ny CustomAzureSQLAuthProvider.cs klass med följande kod inuti:

   public class CustomAzureSQLAuthProvider : SqlAuthenticationProvider
   {
       private static readonly string[] _azureSqlScopes = new[]
       {
           "https://database.windows.net//.default"
       };
   
       private static readonly TokenCredential _credential = new DefaultAzureCredential();
   
       public override async Task<SqlAuthenticationToken> AcquireTokenAsync(SqlAuthenticationParameters parameters)
       {
           var tokenRequestContext = new TokenRequestContext(_azureSqlScopes);
           var tokenResult = await _credential.GetTokenAsync(tokenRequestContext, default);
           return new SqlAuthenticationToken(tokenResult.Token, tokenResult.ExpiresOn);
       }
   
       public override bool IsSupported(SqlAuthenticationMethod authenticationMethod) => authenticationMethod.Equals(SqlAuthenticationMethod.ActiveDirectoryDeviceCodeFlow);
   }
   

4. I Startup.cs uppdaterar du ConfigureServices() metoden med följande kod:

   services.AddControllersWithViews();
   services.AddDbContext<MyDatabaseContext>(options =>
   {
       SqlAuthenticationProvider.SetProvider(
           SqlAuthenticationMethod.ActiveDirectoryDeviceCodeFlow, 
           new CustomAzureSQLAuthProvider());
       var sqlConnection = new SqlConnection(Configuration.GetConnectionString("MyDbConnection"));
       options.UseSqlServer(sqlConnection);
   });
   

   Anteckning

   Den här demonstrationskoden är synkron för tydlighetens och enkelhetens skull.

   Föregående kod använder biblioteket så att det kan autentisera och hämta en Azure.Identity åtkomsttoken för databasen, oavsett var koden körs. Om du kör på den lokala datorn går du igenom ett antal alternativ DefaultAzureCredential() för att hitta ett giltigt konto som är inloggat. Du kan läsa mer om klassen DefaultAzureCredential.

   Det är allt du behöver för att ansluta till SQL Database. När du felsöker i Visual Studio koden den Azure AD-användare som du konfigureradei Konfigurera Visual Studio . Du kommer att konfigurera SQL Database senare för att tillåta anslutning från den hanterade identiteten för din App Service app. Klassen DefaultAzureCredential cachelagrar token i minnet och hämtar den från Azure AD precis före förfallodatumet. Du behöver inte någon anpassad kod för att uppdatera token.

5. Skriv Ctrl+F5 för att köra appen igen. Samma CRUD-app i webbläsaren ansluter nu till Azure SQL Database direkt med hjälp av Azure AD-autentisering. Med den här konfigurationen kan du köra databasmigrering från Visual Studio.

1. Om du kommer från Självstudie: Skapa en ASP.NET-app i Azure med SQL Database publicerar du ändringarna i Visual Studio. I Solution Explorer: Högerklicka på projektet DotNetAppSqlDb och välj Publicera.

   

2. Klicka på Publicera på publiceringssidan.

   Viktigt

   Kontrollera att apptjänstnamnet inte matchar befintliga appregistreringar. Detta leder till konflikter mellan huvudnamns-ID:n.

Om du kommer från Självstudie: Skapa en ASP.NET Core och SQL Database-app i Azure App Service publicerar du ändringarna med Hjälp av Git med följande kommandon:

git commit -am "configure managed identity"
git push azure main