Zelfstudie: Toegang tot Azure services vanuit een .NET-web-app

Meer informatie over het benaderen van Azure-services, zoals Azure Storage, vanuit een web-app die wordt uitgevoerd in Azure App Service, zonder aangemeld te zijn als gebruiker, door gebruik te maken van beheerde identiteiten. In deze zelfstudie ziet u hoe u verbinding maakt met Azure Storage als voorbeeld.

Elke service die beheerde identiteit (B in de volgende afbeelding) ondersteunt, kan veilig worden geopend met behulp van deze zelfstudie:

• Azure Storage
• Azure SQL Database
• Azure Key Vault

U wilt beveiligde toegang toevoegen aan Azure-services, waaronder Azure Storage, Azure SQL Database en Azure Key Vault, vanuit uw web-app. U zou een gedeelde sleutel kunnen gebruiken, maar dan zit u met het probleem van operationele beveiliging en wie het geheim kan maken, implementeren en beheren. Het is ook mogelijk dat de sleutel op GitHub kan worden ingecheckt, en hackers weten hoe ze daar naar moeten zoeken. Een veiligere manier om uw web-app toegang tot gegevens te geven, is beheerde identiteiten te gebruiken.

Met een beheerde identiteit van Microsoft Entra ID kan App Service toegang krijgen tot resources via op rollen gebaseerd toegangsbeheer (RBAC), zonder dat hiervoor app-referenties nodig zijn. Nadat u een beheerde identiteit aan uw web-app hebt toegewezen, zorgt Azure voor het maken en distribueren van een certificaat. Mensen hoeven zich geen zorgen te maken over het beheren van geheimen of app-referenties.

In deze zelfstudie leert u het volgende:

Als u geen Azure account hebt, maakt u een free-account voordat u begint.

Vereisten

• Een webtoepassing die wordt uitgevoerd in Azure App Service:

  • .NET-snelstart
  • Snelstart voor JavaScript

Een beheerde identiteit inschakelen voor een app

Als u uw web-app maakt en publiceert via Visual Studio, is de beheerde identiteit ingeschakeld voor uw app.

1. Selecteer Identiteit in uw app-service in het linkermenu en selecteer vervolgens Systeem toegewezen. Verifieer dat Status is ingesteld op Aan.

   Als dat niet het is, selecteert u Aan en slaat u het bestand op. Als u de door het systeem toegewezen beheerde identiteit wilt inschakelen, selecteert u Ja in het bevestigingsvenster. Wanneer de beheerde identiteit is ingeschakeld, is de status ingesteld op Aan en is de object-id beschikbaar.

   

2. Met deze stap wordt een nieuwe object-id gemaakt, die anders is dan de app-id die in het deelvenster Verificatie/autorisatie wordt gemaakt. Kopieer de object-id van de door het systeem toegewezen beheerde identiteit. U hebt het later nodig.

Een opslagaccount en Blob Storage-container maken

U bent nu klaar om een opslagaccount en Blob Storage container te maken.

Elk opslagaccount moet deel uitmaken van een Azure resourcegroep. Een resourcegroep is een logische container voor uw Azure-services. Wanneer u een opslagaccount maakt, kunt u een nieuwe resourcegroep maken of een bestaande resourcegroep gebruiken. In dit artikel wordt beschreven hoe u een nieuwe resourcegroep maakt.

Een v2-opslagaccount voor algemeen gebruik biedt toegang tot alle Azure Storage services: blobs, bestanden, wachtrijen, tabellen en schijven. Met de stappen die hier worden uiteengezet, maakt u een v2-opslagaccount voor algemeen gebruik, maar de stappen voor het maken van een ander soort opslagaccount zijn vergelijkbaar.

Blobs in Azure Storage zijn ingedeeld in containers. Voordat u later in deze zelfstudie een blob kunt uploaden, moet u een container maken.

Connect-AzAccount

$resourceGroup = "securewebappresourcegroup"
$location = "<location>"
$storageName="securewebappstorage"
$containerName = "securewebappblobcontainer"

$storageAccount = New-AzStorageAccount -ResourceGroupName $resourceGroup `
  -Name $storageName `
  -Location $location `
  -SkuName Standard_RAGRS `
  -Kind StorageV2

$ctx = $storageAccount.Context

New-AzStorageContainer -Name $containerName -Context $ctx -Permission blob

az login

az storage account create \
    --name securewebappstorage \
    --resource-group securewebappresourcegroup \
    --location <location> \
    --sku Standard_ZRS \
    --encryption-services blob

storageId=$(az storage account show -n securewebappstorage -g securewebappresourcegroup --query id --out tsv)

az ad signed-in-user show --query objectId -o tsv | az role assignment create \
    --role "Storage Blob Data Contributor" \
    --assignee @- \
    --scope $storageId

az storage container create \
    --account-name securewebappstorage \
    --name securewebappblobcontainer \
    --auth-mode login

Toegang tot het opslagaccount verlenen

U moet uw web-app toegang tot het opslagaccount verlenen voordat u blobs kunt maken, lezen of verwijderen. In een vorige sectie hebt u de web-app geconfigureerd die wordt uitgevoerd in App Service met een beheerde identiteit. Met Azure RBAC kunt u de beheerde identiteit toegang geven tot een andere resource, net zoals elke beveiligingsprincipaal.

De rol Inzender voor opslagblobgegevens biedt de web-app, vertegenwoordigd door de door het systeem toegewezen beheerde identiteit, lees-, schrijf- en verwijdertoegang tot de blobcontainer en -gegevens.

$resourceGroup = "securewebappresourcegroup"
$webAppName="SecureWebApp20201102125811"
$storageName="securewebappstorage"

$spID = (Get-AzWebApp -ResourceGroupName $resourceGroup -Name $webAppName).identity.principalid
$storageId= (Get-AzStorageAccount -ResourceGroupName $resourceGroup -Name $storageName).Id
New-AzRoleAssignment -ObjectId $spID -RoleDefinitionName "Storage Blob Data Contributor" -Scope $storageId

spID=$(az resource list -n SecureWebApp20201102125811 --query [*].identity.principalId --out tsv)

storageId=$(az storage account show -n securewebappstorage -g securewebappresourcegroup --query id --out tsv)

az role assignment create --assignee $spID --role 'Storage Blob Data Contributor' --scope $storageId

Toegang tot Blob Storage

De klasse DefaultAzureCredential wordt gebruikt om een tokenreferentie voor uw code op te halen om aanvragen voor Azure Storage te autoriseren. Maak een exemplaar van de klasse DefaultAzureCredential, die gebruikmaakt van de beheerde identiteit om tokens op te halen en aan de serviceclient te koppelen. Met het volgende codevoorbeeld wordt de geverifieerde tokenreferentie opgehaald en gebruikt om een serviceclientobject te maken, waarmee een nieuwe blob wordt geüpload.

Zie de sample op GitHub om deze code te zien als onderdeel van een voorbeeldtoepassing.

Clientbibliotheekpakketten installeren

Installeer het Blob Storage NuGet-pakket om te werken met Blob Storage en de Azure Identity-clientbibliotheek voor .NET NuGet-pakket om te verifiëren met Microsoft Entra referenties. Installeer de clientbibliotheken met behulp van de .NET Core-opdrachtregelinterface of de Package Manager Console in Visual Studio.

.NET Core-opdrachtregel

1. Open een opdrachtregel en ga naar de map die uw projectbestand bevat.

2. Voer de installatieopdrachten uit.

   dotnet add package Azure.Storage.Blobs
   
   dotnet add package Azure.Identity
   

Pakketbeheerconsole

1. Open het project of de oplossing in Visual Studio en open de console met behulp van de opdracht Tools>NuGet Package Manager>Package Manager Console.

2. Voer de installatieopdrachten uit.

   Install-Package Azure.Storage.Blobs
   
   Install-Package Azure.Identity
   

.NET voorbeeld

using System;
using Azure.Storage.Blobs;
using Azure.Storage.Blobs.Models;
using System.Collections.Generic;
using System.Threading.Tasks;
using System.Text;
using System.IO;
using Azure.Identity;

// Some code omitted for brevity.

static public async Task UploadBlob(string accountName, string containerName, string blobName, string blobContents)
{
    // Construct the blob container endpoint from the arguments.
    string containerEndpoint = string.Format("https://{0}.blob.core.windows.net/{1}",
                                                accountName,
                                                containerName);

    // Get a credential and create a client object for the blob container.
    BlobContainerClient containerClient = new BlobContainerClient(new Uri(containerEndpoint),
                                                                    new DefaultAzureCredential());

    try
    {
        // Create the container if it doesn't exist.
        await containerClient.CreateIfNotExistsAsync();

        // Upload text to a new block blob.
        byte[] byteArray = Encoding.ASCII.GetBytes(blobContents);

        using (MemoryStream stream = new MemoryStream(byteArray))
        {
            await containerClient.UploadBlobAsync(blobName, stream);
        }
    }
    catch (Exception e)
    {
        throw e;
    }
}

Hulpmiddelen opschonen

Als u deze zelfstudie hebt voltooid en de web-app of de bijbehorende resources niet meer nodig hebt, moet u de resources opschonen die u hebt gemaakt.

De resourcegroep verwijderen

1. Selecteer Azure portal in het menu van de Resource groups en selecteer de resourcegroep die uw App Service en App Service-plan bevat.

2. Selecteer Resourcegroep verwijderen om de resourcegroep en alle resources te verwijderen.

   

3. Voer de naam in van de resourcegroep die u wilt bevestigen.

Dit proces kan enkele minuten duren.

Volgende stappen

In deze zelfstudie heeft u het volgende geleerd: