Hizmet sorumlularını kullanarak yerel geliştirme sırasında Azure hizmetlerinde JavaScript uygulamalarının kimliğini doğrulama

Makale
11/08/2023

Bulut uygulamaları oluşturduğunuzda geliştiricilerin yerel iş istasyonlarında uygulamaların hatalarını ayıklaması ve test etmeleri gerekir. Yerel geliştirme sırasında bir uygulama geliştiricinin iş istasyonunda çalıştırıldığında, yine de uygulama tarafından kullanılan tüm Azure hizmetlerinde kimlik doğrulaması yapması gerekir. Bu makalede, yerel geliştirme sırasında kullanılacak ayrılmış uygulama hizmet sorumlusu nesnelerinin nasıl ayarlanacağı ele alınıyor.

Yerel geliştirme sırasında JavaScript uygulamasının yerel olarak yüklenen geliştirme araçlarını alarak Azure'a bağlanmak için geliştiricinin kimlik bilgilerini nasıl kullandığını gösteren diyagram.

Yerel geliştirme için ayrılmış uygulama hizmet sorumluları, uygulama geliştirme sırasında en az ayrıcalık ilkesini izlemenize olanak sağlar. İzinlerin kapsamı, geliştirme sırasında uygulama için tam olarak gerekenlerle belirlenmiş olduğundan, uygulama kodunun farklı bir uygulama tarafından kullanılmak üzere tasarlanan bir Azure kaynağına yanlışlıkla erişmesi engellenir. Bu yöntem, uygulama geliştirme ortamında fazla ayrıcalıklı olduğundan uygulama üretime taşındığında hataların oluşmasını da engeller.

Uygulama Azure'a kaydedildiğinde uygulama için bir uygulama hizmet sorumlusu ayarlanır. Yerel geliştirme için uygulama kaydederken şunların kullanılması önerilir:

Uygulama üzerinde çalışan her geliştirici için ayrı uygulama kayıtları oluşturun. Bu yöntem, her geliştiricinin yerel geliştirme sırasında kullanması için ayrı uygulama hizmet sorumluları oluşturur ve geliştiricilerin tek bir uygulama hizmet sorumlusu için kimlik bilgilerini paylaşma gereğini önler.
Uygulama başına ayrı uygulama kayıtları oluşturun. Bu, uygulamanın izinlerini yalnızca uygulama için gerekli olan izinlere göre kapsamlar.

Yerel geliştirme sırasında ortam değişkenleri uygulama hizmeti sorumlusunun kimliğiyle ayarlanır. JavaScript için Azure SDK bu ortam değişkenlerini okur ve uygulamanın kimliğini ihtiyaç duyduğu Azure kaynaklarında doğrulamak için bu bilgileri kullanır.

1 - Uygulamayı Azure'a kaydetme

Uygulama hizmeti sorumlusu nesneleri Azure'da bir uygulama kaydıyla oluşturulur. Azure portalını veya Azure CLI'yi kullanarak hizmet sorumluları oluşturabilirsiniz.

Azure portalı
Azure CLI

Azure portalında oturum açın ve şu adımları izleyin.

Yönergeler	Ekran görüntüsü
Azure portalında: Azure portalının üst kısmındaki arama çubuğuna uygulama kayıtlarını girin. Arama çubuğunun altında görüntülenen menüdeki Hizmetler başlığının altında Uygulama kayıtları etiketli öğeyi seçin.
Uygulama kayıtları sayfasında + Yeni kayıt'ı seçin.
Uygulamayı kaydet sayfasında formu aşağıdaki gibi doldurun. Ad → Azure'da uygulama kaydı için bir ad girin. Bu adın uygulama adını, uygulama kaydının ait olduğu kullanıcıyı ve bu uygulama kaydının yerel geliştirmede kullanılmak üzere olduğunu belirtmek için 'dev' gibi bir tanımlayıcı içermesi önerilir. Desteklenen hesap türleri yalnızca bu kuruluş dizinindeki Hesaplar →. Uygulamanızı kaydetmek ve uygulama hizmet sorumlusunu oluşturmak için Kaydet'i seçin.
Uygulamanızın Uygulama kaydı sayfasında: Uygulama (istemci) kimliği → Bu, uygulamanın yerel geliştirme sırasında Azure'a erişmek için kullanacağı uygulama kimliğidir. Bu değeri bir metin düzenleyicisinde geçici bir konuma kopyalayın çünkü sonraki bir adımda ihtiyacınız olacak. Dizin (kiracı) kimliği → Bu değer, Azure'da kimlik doğrulaması yaparken uygulamanız tarafından da gerekli olacaktır. Bu değeri bir metin düzenleyicisinde geçici bir konuma kopyalayın, gelecekteki bir adımda da gerekli olacaktır. İstemci kimlik bilgileri → Uygulamanızın Azure'da kimlik doğrulaması yapıp Azure hizmetlerini kullanabilmesi için önce uygulamanın istemci kimlik bilgilerini ayarlamanız gerekir. Uygulamanızın kimlik bilgilerini eklemek için Sertifika veya gizli dizi ekle'yi seçin.
Sertifikalar ve gizli diziler sayfasında + Yeni istemci gizli dizisi'ni seçin.
İstemci gizli dizisi ekle iletişim kutusu sayfanın sağ tarafından açılır. Bu iletişim kutusunda: Açıklama → Geçerli değerini girin. Süresi doluyor → 24 aylık bir değer seçin. Gizli diziyi eklemek için Ekle'yi seçin.
Sertifikalar ve gizli diziler sayfasında, istemci gizli dizisinin değeri gösterilir. Bu değeri bir metin düzenleyicisinde geçici bir konuma kopyalayın çünkü sonraki bir adımda ihtiyacınız olacak. ÖNEMLİ: Bu değeri yalnızca bu kez görürsünüz. Bu sayfadan ayrıldıktan veya sayfayı yeniledikten sonra bu değeri bir daha göremezsiniz. Bu istemci gizli dizisini geçersiz kılınmadan daha fazla istemci gizli dizisi ekleyebilirsiniz, ancak bu değeri bir daha görmezsiniz.

Azure CLI komutları Azure Cloud Shell'de veya Azure CLI yüklü bir iş istasyonunda çalıştırılabilir.

İlk olarak az ad sp create-for-rbac komutunu kullanarak uygulama için yeni bir hizmet sorumlusu oluşturun. Bu, uygulama için uygulama kaydını aynı anda oluşturur.

az ad sp create-for-rbac --name {service-principal-name}

Bu komutun çıktısı aşağıdaki JSON nesnesine benzer. Bu çıktıyı metin düzenleyicisindeki geçici bir dosyaya kopyalamanız önerilir çünkü bu değerlere sonraki bir adımda ihtiyacınız olacaktır çünkü bu, hizmet sorumlusu için istemci gizli dizisini (parola) gördüğünüz tek yerdir. Ancak, gerekirse hizmet sorumlusunu veya mevcut parolaları geçersiz kılınmadan daha sonra yeni bir parola ekleyebilirsiniz.

{
  "appId": "00000000-0000-0000-0000-000000000000",
  "displayName": "{service-principal-name}",
  "password": "abcdefghijklmnopqrstuvwxyz",
  "tenant": "11111111-1111-1111-1111-111111111111"
}

2 - Yerel geliştirme için bir Microsoft Entra güvenlik grubu oluşturma

Genellikle bir uygulama üzerinde çalışan birden çok geliştirici olduğundan, rolleri tek tek hizmet sorumlusu nesnelerine atamak yerine yerel geliştirmede uygulamanın ihtiyaç duyduğu rolleri (izinleri) kapsüllemek için bir Microsoft Entra grubu oluşturmanız önerilir. Bu, aşağıdaki avantajları sunar.

Roller grup düzeyinde atandığından her geliştiricinin aynı rollere atandığından emin olur.
Uygulama için yeni bir rol gerekiyorsa, yalnızca uygulama için Microsoft Entra grubuna eklenmesi gerekir.
Ekibe yeni bir geliştirici katılırsa, geliştirici için yeni bir uygulama hizmet sorumlusu oluşturulur ve gruba eklenir ve geliştiricinin uygulama üzerinde çalışmak için doğru izinlere sahip olması sağlanır.

Azure portalı
Azure CLI

Yönergeler	Ekran görüntüsü
Sayfanın üst kısmındaki arama kutusuna Microsoft Entra Id yazarak ve ardından hizmetler altındaki Microsoft Entra ID'yi seçerek Azure portalında Microsoft Entra Id sayfasına gidin.
Microsoft Entra Id sayfasında sol taraftaki menüden Gruplar'ı seçin.
Tüm gruplar sayfasında Yeni grup'a tıklayın.
Yeni Grup sayfasında: Grup türü → Güvenlik Grup adı → Genellikle uygulama adından oluşturulan güvenlik grubu için bir addır. Grubun amacını belirtmek için grubun adına local-dev gibi bir dize eklemek de yararlıdır. Grup açıklaması → Grubun amacının açıklaması. Gruba üye eklemek için Üyeler'in altında Üye seçilmedi bağlantısını seçin.
Üye ekle iletişim kutusunda: Listedeki asıl adlar listesine filtre uygulamak için arama kutusunu kullanın. Bu uygulama için yerel geliştirme için uygulama hizmet sorumlularını seçin. Nesneler seçildikçe gri görünür ve iletişim kutusunun en altındaki Seçili öğeler listesine taşınır. İşiniz bittiğinde Seç düğmesini seçin.
Yeni grup sayfasına dönüp Oluştur'u seçerek grubu oluşturun. Grup oluşturulur ve Tüm gruplar sayfasına geri dönersiniz. Grubun görünmesi 30 saniye kadar sürebilir ve Azure portalında önbelleğe alma nedeniyle sayfayı yenilemeniz gerekebilir.

az ad group create komutu, Microsoft Entra ID'de grup oluşturmak için kullanılır. --display-name ve --main-nickname parametreleri zorunludur. Gruba verilen ad, uygulamanın adına dayalı olmalıdır. Grubun amacını belirtmek için grubun adına 'local-dev' gibi bir tümcecik eklemek de yararlıdır.

az ad group create \
    --display-name MyDisplay \
    --mail-nickname MyDisplay  \
    --description \<group-description>

Gruba üye eklemek için, uygulama hizmet sorumlusunun nesne kimliğine (uygulama kimliğinden farklı) ihtiyacınız vardır. Kullanılabilir hizmet sorumlularını listelemek için az ad sp listesini kullanın. --filter parametre komutu OData stil filtrelerini kabul eder ve listeyi gösterildiği gibi filtrelemek için kullanılabilir. --query Parametre, sütunları yalnızca ilgilendiğiniz sütunlarla sınırlar.

az ad sp list \
    --filter "startswith(displayName, 'msdocs')" \
    --query "[].{objectId:objectId, displayName:displayName}" \
    --output table

Ardından az ad group member add komutu, gruplara üye eklemek için kullanılabilir.

az ad group member add \
    --group \<group-name> \
    --member-id \<object-id>  \

3 - Uygulamaya rol atama

Ardından, uygulamanızın hangi kaynaklar üzerinde hangi rollere (izinlere) ihtiyacı olduğunu belirlemeniz ve bu rolleri uygulamanıza atamanız gerekir. Bu örnekte roller, 2. adımda oluşturulan Microsoft Entra grubuna atanır. Rollere kaynak, kaynak grubu veya abonelik kapsamında bir rol atanabilir. Bu örnekte, çoğu uygulama tüm Azure kaynaklarını tek bir kaynak grubunda gruplandırdığından kaynak grubu kapsamında rollerin nasıl atandığı gösterilmektedir.

Azure portalı
Azure CLI

Yönergeler	Ekran görüntüsü
Azure portalının üst kısmındaki arama kutusunu kullanarak kaynak grubu adını arayarak uygulamanızın kaynak grubunu bulun. İletişim kutusundaki Kaynak Grupları başlığının altındaki kaynak grubu adını seçerek kaynak grubunuza gidin.
Kaynak grubunun sayfasında sol taraftaki menüden Erişim denetimi (IAM) öğesini seçin.
Erişim denetimi (IAM) sayfasında: Rol atamaları sekmesini seçin. Üst menüden + Ekle'yi seçin ve ardından açılan menüden Rol ataması ekle'yi seçin.
Rol ataması ekle sayfasında, kaynak grubu için atanabilecek tüm roller listelenir. Listeyi daha yönetilebilir bir boyuta filtrelemek için arama kutusunu kullanın. Bu örnekte, Depolama Blob rolleri için filtreleme gösterilmektedir. Atamak istediğiniz rolü seçin. Sonraki ekrana gitmek için İleri'yi seçin.
Sonraki Rol ataması ekle sayfası, rolü hangi kullanıcıya atayabileceğinizi belirtmenize olanak tanır. Erişim ata altında Kullanıcı, grup veya hizmet sorumlusu'natıklayın. Üyeler'in altında + Üyeleri seç'i seçin Azure portalının sağ tarafında bir iletişim kutusu açılır.
Üye seç iletişim kutusunda: Seç metin kutusu, aboneliğinizdeki kullanıcı ve grupların listesini filtrelemek için kullanılabilir. Gerekirse, uygulama için oluşturduğunuz yerel geliştirme Microsoft Entra grubunun ilk birkaç karakterini yazın. Uygulamanızla ilişkili yerel geliştirme Microsoft Entra grubunu seçin. Devam etmek için iletişim kutusunun alt kısmındaki Seç'i seçin.
Microsoft Entra grubu Rol ataması ekle ekranında seçili olarak gösterilir. Son sayfaya gitmek için Gözden geçir + ata'yı seçin ve ardından işlemi tamamlamak için Gözden geçir + yeniden ata'yı* seçin*.

Azure'da az role assignment create komutu kullanılarak bir uygulama hizmet sorumlusuna bir rol atanır.

az role assignment create --assignee "{appId}" \
    --scope /subscriptions/"{subscriptionName}" \
    --role "{roleName}" \
    --resource-group "{resourceGroupName}"

Hizmet sorumlusunun atanabileceği rol adlarını almak için az role definition list komutunu kullanın.

az role definition list \
    --query "sort_by([].{roleName:roleName, description:description}, &roleName)" \
    --output table

Örneğin, azure Depolama blob kapsayıcılarına ve msdocs-sdk-auth-example kaynak grubundaki tüm depolama hesaplarına okuma, yazma ve silme appId 00000000-0000-0000-0000-000000000000 değeriyle uygulama hizmet sorumlusuna izin vermek için aşağıdaki komutu kullanarak uygulama hizmeti sorumlusunu Depolama Blob Veri Katkıda Bulunanı rolüne atayabilirsiniz.

az role assignment create --assignee "00000000-0000-0000-0000-000000000000" \
    --scope /subscriptions/"Storage Blob Data Subscriber" \
    --role "Storage Blob Data Contributor" \
    --resource-group "msdocs-sdk-auth-example"

Azure CLI kullanarak kaynak veya abonelik düzeyinde izin atama hakkında bilgi için Azure CLI kullanarak Azure rolleri atama makalesine bakın.

4 - Yerel geliştirme ortamı değişkenlerini ayarlama

nesnesi, DefaultAzureCredential çalışma zamanında bir dizi ortam değişkeninde hizmet sorumlusu bilgilerini arar. Geliştiricilerin çoğu birden çok uygulama üzerinde çalıştığından, geliştirme sırasında uygulamanın dizininde depolanan bir dosyadan ortama erişmek için dotenv gibi bir .env paket kullanmanız önerilir. Bu, azure'da uygulamanın kimliğini doğrulamak için kullanılan ortam değişkenlerini yalnızca bu uygulama tarafından kullanılabilecek şekilde kapsar.

Dosya .env , Azure için uygulama gizli anahtarı içerdiğinden hiçbir zaman kaynak denetimine iade edilemez. JavaScript için standart .gitignore dosyası, dosyayı otomatik olarak iade işleminin .env dışında tutar.

Paketi kullanmak dotenv için önce paketi uygulamanıza yükleyin.

npm install dotenv

Ardından, uygulama kök dizininizde bir .env dosya oluşturun. Ortam değişkeni değerlerini, uygulama kayıt işleminden alınan değerlerle aşağıdaki gibi ayarlayın:

AZURE_CLIENT_ID Uygulama kimliği değerini →.
AZURE_TENANT_ID kiracı kimliği değerini →.
AZURE_CLIENT_SECRET → Uygulama için oluşturulan parola/kimlik bilgisi.

AZURE_CLIENT_ID=00000000-0000-0000-0000-000000000000
AZURE_TENANT_ID=11111111-1111-1111-1111-111111111111
AZURE_CLIENT_SECRET=abcdefghijklmnopqrstuvwxyz

Son olarak, uygulamanızın başlangıç kodunda dotenv , başlangıçtaki dosyadan .env ortam değişkenlerini okumak için kitaplığını kullanın.

import 'dotenv/config'

5 - Uygulamanızda DefaultAzureCredential uygulama

Azure SDK istemci nesnelerinin kimliğini Azure'da doğrulamak için uygulamanız paketteki DefaultAzureCredential@azure/identity sınıfını kullanmalıdır. Bu senaryoda, DefaultAzureCredential ile Azure'a bağlanacak uygulama hizmeti sorumlusu bilgilerini almak için , AZURE_TENANT_IDve AZURE_CLIENT_SECRET ortam AZURE_CLIENT_IDdeğişkenlerini algılar ve bu değişkenleri ayarlar ve okur.

uygulamanıza @azure/kimlik paketini ekleyerek başlayın.

npm install @azure/identity

Ardından, uygulamanızda bir Azure SDK istemci nesnesi oluşturan tüm JavaScript kodları için şunları yapmak istersiniz:

sınıfını DefaultAzureCredential modülden içeri aktarın @azure/identity .
Bir DefaultAzureCredential nesne oluşturun.
DefaultAzureCredential Nesnesini Azure SDK istemci nesnesi oluşturucusna geçirin.

Bunun bir örneği aşağıdaki kod kesiminde gösterilmiştir.

// Azure authentication dependency
import { DefaultAzureCredential } from '@azure/identity';

// Azure resource management dependency
import { SubscriptionClient } from "@azure/arm-subscriptions";

// Acquire credential
const tokenCredential = new DefaultAzureCredential();

async function listSubscriptions() {
  try {

    // use credential to authenticate with Azure SDKs
    const client = new SubscriptionClient(tokenCredential);

    // get details of each subscription
    for await (const item of client.subscriptions.list()) {
      const subscriptionDetails = await client.subscriptions.get(
        item.subscriptionId
      );
      /* 
        Each item looks like:
      
        {
          id: '/subscriptions/123456',
          subscriptionId: '123456',
          displayName: 'YOUR-SUBSCRIPTION-NAME',
          state: 'Enabled',
          subscriptionPolicies: {
            locationPlacementId: 'Internal_2014-09-01',
            quotaId: 'Internal_2014-09-01',
            spendingLimit: 'Off'
          },
          authorizationSource: 'RoleBased'
        },
    */
      console.log(subscriptionDetails);
    }
  } catch (err) {
    console.error(JSON.stringify(err));
  }
}

listSubscriptions()
  .then(() => {
    console.log("done");
  })
  .catch((ex) => {
    console.log(ex);
  });

DefaultAzureCredential uygulama için yapılandırılan kimlik doğrulama mekanizmasını otomatik olarak algılar ve uygulamanın Kimliğini Azure'da doğrulamak için gerekli belirteçleri alır. Bir uygulama birden fazla SDK istemcisi kullanıyorsa, her SDK istemci nesnesiyle aynı kimlik bilgisi nesnesi kullanılabilir.