Tutoriel : Accéder aux services Azure à partir d’une application web .NET

Découvrez comment accéder aux services Azure, tels que Azure Storage, à partir d'une application web en cours d'exécution sur Azure App Service en utilisant des identités managées, sans nécessiter un utilisateur connecté. Ce tutoriel montre comment se connecter à Azure Storage comme exemple.

Ce tutoriel permet d’accéder en toute sécurité à tout service prenant en charge une identité managée (B dans l’image suivante) :

• Azure Storage
• Azure SQL Database
• Azure Key Vault

Vous souhaitez ajouter un accès sécurisé aux services Azure, notamment Stockage Azure, Azure SQL Database et Azure Key Vault, à partir de votre application web. Vous pourriez utiliser une clé partagée, mais vous devriez alors vous occuper de la sécurité opérationnelle afin d’identifier qui pourrait créer, déployer et gérer le secret. Il est également possible que la clé puisse être vérifiée dans GitHub, que les pirates savent comment rechercher. Un moyen plus sûr d’accorder à votre application web l’accès aux données consiste à utiliser des identités managées.

Une identité managée à partir de Microsoft Entra ID permet à App Service d’accéder aux ressources via le contrôle d’accès en fonction du rôle (RBAC), sans nécessiter d’informations d’identification d’application. Après avoir affecté une identité managée à votre application web, Azure s’occupe de la création et de la distribution d’un certificat. Vous n’avez pas à vous soucier de la gestion des secrets ou des informations d’identification d’application.

Dans ce tutoriel, vous allez apprendre à :

Si vous n'avez pas de compte Azure, créez un compte free avant de commencer.

Prérequis

• Application web s’exécutant sur Azure App Service :

  • .NET démarrage rapide
  • Démarrage rapide JavaScript

Activer une identité managée sur une application

Si vous créez et publiez votre application web via Visual Studio, l’identité managée a été activée sur votre application pour vous.

1. Dans votre service d’application, dans le menu de gauche, sélectionnez Identité, puis sélectionnez Système affecté. Vérifiez qu’État a la valeur Activé.

   Si ce n’est pas le cas, sélectionnez Activé, puis Enregistrez. Pour activer l’identité managée affectée par le système, dans la boîte de dialogue de confirmation, sélectionnez Oui. Lorsque l’identité managée est activée, l’état prend la valeur Activé et l’ID d’objet est disponible.

   

2. Cette étape crée un ID d’objet différent de l’ID d’application créé dans le volet Authentification/Autorisation. Copiez l’ID d’objet de l’identité managée affectée par le système. Vous en aurez besoin ultérieurement.

Créer un compte de stockage et un conteneur Blob Storage

Vous êtes maintenant prêt à créer un compte de stockage et Blob Storage conteneur.

Chaque compte de stockage doit appartenir à un groupe de ressources Azure. Un groupe de ressources est un conteneur logique pour vos services Azure. Lorsque vous créez un compte de stockage, vous pouvez créer un groupe de ressources ou utiliser un groupe de ressources existant. Cet article montre comment créer un groupe de ressources.

Un compte de stockage v2 universel permet d’accéder à tous les services Azure Storage : objets blob, fichiers, files d’attente, tables et disques. Les étapes décrites ici créent un compte de stockage v2 universel, mais les étapes de création d’un autre type de compte de stockage sont similaires.

Les objets blob dans Azure Storage sont organisés en conteneurs. Avant de pouvoir télécharger un objet blob plus loin dans ce tutoriel, vous devez d’abord créer un conteneur.

Connect-AzAccount

$resourceGroup = "securewebappresourcegroup"
$location = "<location>"
$storageName="securewebappstorage"
$containerName = "securewebappblobcontainer"

$storageAccount = New-AzStorageAccount -ResourceGroupName $resourceGroup `
  -Name $storageName `
  -Location $location `
  -SkuName Standard_RAGRS `
  -Kind StorageV2

$ctx = $storageAccount.Context

New-AzStorageContainer -Name $containerName -Context $ctx -Permission blob

az login

az storage account create \
    --name securewebappstorage \
    --resource-group securewebappresourcegroup \
    --location <location> \
    --sku Standard_ZRS \
    --encryption-services blob

storageId=$(az storage account show -n securewebappstorage -g securewebappresourcegroup --query id --out tsv)

az ad signed-in-user show --query objectId -o tsv | az role assignment create \
    --role "Storage Blob Data Contributor" \
    --assignee @- \
    --scope $storageId

az storage container create \
    --account-name securewebappstorage \
    --name securewebappblobcontainer \
    --auth-mode login

Accorder l’accès au compte de stockage

Vous devez accorder à votre application web un accès au compte de stockage avant de pouvoir créer, lire ou supprimer des objets blob. Dans une section précédente, vous avez configuré l’application web s’exécutant sur App Service avec une identité managée. À l’aide de Azure RBAC, vous pouvez accorder à l’identité managée l’accès à une autre ressource, comme n’importe quel principal de sécurité.

Le rôle Contributeur aux données Blob du stockage accorde à l’application web (représentée par l’identité managée affectée par le système) un accès en lecture, écriture et suppression au conteneur d’objets blob et aux données.

$resourceGroup = "securewebappresourcegroup"
$webAppName="SecureWebApp20201102125811"
$storageName="securewebappstorage"

$spID = (Get-AzWebApp -ResourceGroupName $resourceGroup -Name $webAppName).identity.principalid
$storageId= (Get-AzStorageAccount -ResourceGroupName $resourceGroup -Name $storageName).Id
New-AzRoleAssignment -ObjectId $spID -RoleDefinitionName "Storage Blob Data Contributor" -Scope $storageId

spID=$(az resource list -n SecureWebApp20201102125811 --query [*].identity.principalId --out tsv)

storageId=$(az storage account show -n securewebappstorage -g securewebappresourcegroup --query id --out tsv)

az role assignment create --assignee $spID --role 'Storage Blob Data Contributor' --scope $storageId

Accéder au Stockage Blob

La classe DefaultAzureCredential est utilisée pour obtenir des informations d’identification de jeton pour votre code afin d’autoriser les requêtes à Azure Storage. Créez une instance de la classe DefaultAzureCredential, qui utilise l’identité managée pour extraire des jetons et les attacher au client de service. L’exemple de code suivant obtient le jeton d'authentification et l’utilise pour créer un client de service, qui charge un nouveau blob.

Pour voir ce code dans un exemple d’application, consultez l'sample sur GitHub.

Installer des packages de bibliothèque de client

Installez le package NuGet Blob Storage pour utiliser Blob Storage et le package NuGet de la bibliothèque de client Azure Identity pour .NET pour vous authentifier avec les identifiants Microsoft Entra. Installez les bibliothèques clientes à l’aide de l’interface de ligne de commande .NET Core ou de la console Package Manager dans Visual Studio.

ligne de commande .NET Core

1. Ouvrez une ligne de commande et basculez vers le répertoire qui contient votre fichier projet.

2. Exécutez les commandes d’installation.

   dotnet add package Azure.Storage.Blobs
   
   dotnet add package Azure.Identity
   

Console du gestionnaire de packages

1. Ouvrez le projet ou la solution dans Visual Studio, puis ouvrez la console à l’aide de la commande Tools>NuGet Package Manager>Package Manager Console.

2. Exécutez les commandes d’installation.

   Install-Package Azure.Storage.Blobs
   
   Install-Package Azure.Identity
   

exemple de .NET

using System;
using Azure.Storage.Blobs;
using Azure.Storage.Blobs.Models;
using System.Collections.Generic;
using System.Threading.Tasks;
using System.Text;
using System.IO;
using Azure.Identity;

// Some code omitted for brevity.

static public async Task UploadBlob(string accountName, string containerName, string blobName, string blobContents)
{
    // Construct the blob container endpoint from the arguments.
    string containerEndpoint = string.Format("https://{0}.blob.core.windows.net/{1}",
                                                accountName,
                                                containerName);

    // Get a credential and create a client object for the blob container.
    BlobContainerClient containerClient = new BlobContainerClient(new Uri(containerEndpoint),
                                                                    new DefaultAzureCredential());

    try
    {
        // Create the container if it doesn't exist.
        await containerClient.CreateIfNotExistsAsync();

        // Upload text to a new block blob.
        byte[] byteArray = Encoding.ASCII.GetBytes(blobContents);

        using (MemoryStream stream = new MemoryStream(byteArray))
        {
            await containerClient.UploadBlobAsync(blobName, stream);
        }
    }
    catch (Exception e)
    {
        throw e;
    }
}

Nettoyer les ressources

Si vous avez terminé ce didacticiel et que vous n’avez plus besoin de l’application web ou des ressources associées, nettoyez les ressources que vous avez créées.

Supprimer le groupe de ressources

1. Dans le portail Azure, sélectionnez Groupes de ressources dans le menu du portail Azure, puis sélectionnez le groupe de ressources qui contient votre plan App Service et App Service.

2. Sélectionnez Supprimer le groupe de ressources pour supprimer le groupe de ressources et toutes les ressources.

   

3. Entrez le nom du groupe de ressources à confirmer.

Ce processus peut prendre plusieurs minutes.

Étapes suivantes

Dans ce didacticiel, vous avez appris à :