Tutorial: Acessar serviços de Azure de um aplicativo Web .NET

Saiba como acessar serviços do Azure, como o Armazenamento do Azure, de um aplicativo Web, não de um usuário conectado, em execução no Serviço de Aplicativo do Azure usando identidades gerenciadas. Este tutorial demonstra a conexão com Azure Storage como exemplo.

Qualquer serviço que dê suporte à identidade gerenciada (B na imagem a seguir) pode ser acessado com segurança usando este tutorial:

• Azure Storage
• Banco de Dados SQL do Azure
• Azure Key Vault

Você deseja adicionar acesso seguro aos serviços do Azure, incluindo o Armazenamento do Azure, o Banco de Dados SQL do Azure e o Azure Key Vault, do seu aplicativo Web. Você pode usar uma chave compartilhada, mas precisa se preocupar com a segurança operacional de quem pode criar, implantar e gerenciar o segredo. Também é possível que a chave possa ser verificada em GitHub, que os hackers sabem como verificar. Um modo mais seguro de permitir o acesso do aplicativo Web aos dados é pelo uso de identidades gerenciadas.

Uma identidade gerenciada de Microsoft Entra ID permite que o Serviço de Aplicativo acesse recursos por meio do RBAC (controle de acesso baseado em função), sem a necessidade de credenciais do aplicativo. Depois de atribuir uma identidade gerenciada ao seu aplicativo Web, o Azure cuidará da criação e distribuição de um certificado. As pessoas não precisam se preocupar em gerenciar segredos nem credenciais de aplicativo.

Neste tutorial, você aprenderá como:

Se você não tiver uma conta Azure, crie uma conta free antes de começar.

Pré-requisitos

• Um aplicativo Web em execução no Serviço de Aplicativo do Azure:

  • Início Rápido do .NET
  • Início Rápido do JavaScript

Habilitar a identidade gerenciada em um aplicativo

Se você criar e publicar seu aplicativo Web por meio de Visual Studio, a identidade gerenciada foi habilitada em seu aplicativo para você.

1. No serviço de aplicativo, no menu à esquerda, selecione Identidade e selecione Sistema atribuído. Verifique se o Status está definido como Ativado.

   Caso contrário, selecione Ativar e, em seguida, salvar. Para habilitar a identidade gerenciada atribuída pelo sistema, na caixa de diálogo de confirmação, selecione Sim. Quando a identidade gerenciada é habilitada, o status é definido como Ativado e a ID do objeto fica disponível.

   

2. Essa etapa cria uma ID do objeto diferente da ID do aplicativo criada no painel Autenticação/Autorização. Copie a ID do objeto da identidade gerenciada atribuída ao sistema. Isso será necessário mais tarde.

Criar uma conta de armazenamento e Blob Storage contêiner

Agora você está pronto para criar uma conta de armazenamento e Blob Storage contêiner.

Cada conta de armazenamento deve pertencer a um grupo de recursos Azure. Um grupo de recursos é um contêiner lógico para seus serviços do Azure. Ao criar uma conta de armazenamento, você pode criar um novo grupo de recursos ou usar um grupo de recursos existente. Este artigo mostra como criar um grupo de recursos.

Uma conta de armazenamento v2 de uso geral fornece acesso a todos os serviços de Azure Storage: blobs, arquivos, filas, tabelas e discos. As etapas descritas aqui criam uma conta de armazenamento de uso geral v2, mas as etapas para a criação de qualquer tipo de conta de armazenamento são semelhantes.

Blobs em Azure Storage são organizados em contêineres. Para carregar um blob posteriormente neste tutorial, crie primeiro um contêiner.

Connect-AzAccount

$resourceGroup = "securewebappresourcegroup"
$location = "<location>"
$storageName="securewebappstorage"
$containerName = "securewebappblobcontainer"

$storageAccount = New-AzStorageAccount -ResourceGroupName $resourceGroup `
  -Name $storageName `
  -Location $location `
  -SkuName Standard_RAGRS `
  -Kind StorageV2

$ctx = $storageAccount.Context

New-AzStorageContainer -Name $containerName -Context $ctx -Permission blob

az login

az storage account create \
    --name securewebappstorage \
    --resource-group securewebappresourcegroup \
    --location <location> \
    --sku Standard_ZRS \
    --encryption-services blob

storageId=$(az storage account show -n securewebappstorage -g securewebappresourcegroup --query id --out tsv)

az ad signed-in-user show --query objectId -o tsv | az role assignment create \
    --role "Storage Blob Data Contributor" \
    --assignee @- \
    --scope $storageId

az storage container create \
    --account-name securewebappstorage \
    --name securewebappblobcontainer \
    --auth-mode login

Permitir acesso à conta de armazenamento

Você precisa permitir ao aplicativo Web acesso à conta de armazenamento antes de poder criar, ler ou excluir blobs. Em uma seção anterior, você configurou o aplicativo Web em execução no Serviço de Aplicativo com uma identidade gerenciada. Usando o RBAC do Azure, você pode fornecer à identidade gerenciada o acesso a outro recurso, assim como qualquer entidade de segurança.

A função Colaborador de Dados do Blob de Armazenamento concede ao aplicativo web, representado pela identidade gerenciada atribuída pelo sistema, acesso de leitura, gravação e exclusão ao contêiner de blobs e aos dados.

$resourceGroup = "securewebappresourcegroup"
$webAppName="SecureWebApp20201102125811"
$storageName="securewebappstorage"

$spID = (Get-AzWebApp -ResourceGroupName $resourceGroup -Name $webAppName).identity.principalid
$storageId= (Get-AzStorageAccount -ResourceGroupName $resourceGroup -Name $storageName).Id
New-AzRoleAssignment -ObjectId $spID -RoleDefinitionName "Storage Blob Data Contributor" -Scope $storageId

spID=$(az resource list -n SecureWebApp20201102125811 --query [*].identity.principalId --out tsv)

storageId=$(az storage account show -n securewebappstorage -g securewebappresourcegroup --query id --out tsv)

az role assignment create --assignee $spID --role 'Storage Blob Data Contributor' --scope $storageId

Acessar o Armazenamento de Blobs

A classe DefaultAzureCredential é usada para obter uma credencial de token para seu código autorizar solicitações a Azure Storage. Crie uma instância da classe DefaultAzureCredential, que usa a identidade gerenciada para buscar tokens e anexá-los ao cliente do serviço. O exemplo de código a seguir obtém a credencial de token autenticada e a usa para criar um objeto de cliente de serviço que, por sua vez, carrega um novo blob.

Para ver esse código como parte de um aplicativo de exemplo, consulte o sample em GitHub.

Instalar os pacotes da biblioteca de clientes

Instale o pacote NuGet Blob Storage para trabalhar com o Blob Storage e o pacote NuGet Azure Identity client library for .NET para autenticar com credenciais do Microsoft Entra. Instale as bibliotecas de cliente usando a interface de linha de comando do .NET Core ou o Console Package Manager no Visual Studio.

linha de comando do .NET Core

1. Abra uma linha de comando e alterne para o diretório que contém o arquivo de projeto.

2. Execute os comandos de instalação.

   dotnet add package Azure.Storage.Blobs
   
   dotnet add package Azure.Identity
   

Console do Package Manager

1. Abra o projeto ou a solução no Visual Studio e abra o console usando o comando Tools>NuGet Package Manager>Package Manager Console.

2. Execute os comandos de instalação.

   Install-Package Azure.Storage.Blobs
   
   Install-Package Azure.Identity
   

.NET Exemplo

using System;
using Azure.Storage.Blobs;
using Azure.Storage.Blobs.Models;
using System.Collections.Generic;
using System.Threading.Tasks;
using System.Text;
using System.IO;
using Azure.Identity;

// Some code omitted for brevity.

static public async Task UploadBlob(string accountName, string containerName, string blobName, string blobContents)
{
    // Construct the blob container endpoint from the arguments.
    string containerEndpoint = string.Format("https://{0}.blob.core.windows.net/{1}",
                                                accountName,
                                                containerName);

    // Get a credential and create a client object for the blob container.
    BlobContainerClient containerClient = new BlobContainerClient(new Uri(containerEndpoint),
                                                                    new DefaultAzureCredential());

    try
    {
        // Create the container if it doesn't exist.
        await containerClient.CreateIfNotExistsAsync();

        // Upload text to a new block blob.
        byte[] byteArray = Encoding.ASCII.GetBytes(blobContents);

        using (MemoryStream stream = new MemoryStream(byteArray))
        {
            await containerClient.UploadBlobAsync(blobName, stream);
        }
    }
    catch (Exception e)
    {
        throw e;
    }
}

Limpar os recursos

Se você concluir este tutorial e não precisar mais do aplicativo Web ou dos recursos associados, limpe os recursos criados.

Exclua o grupo de recursos

1. No portal do Azure, selecione Grupos de recursos no menu do portal do Azure e selecione o grupo de recursos que contém o serviço de aplicativo e o plano do serviço de aplicativo.

2. Selecione Excluir grupo de recursos para excluir o grupo de recursos e todos os recursos que ele contém.

   

3. Insira o nome do grupo de recursos para confirmar.

Esse processo pode levar vários minutos para ser executado.

Próximas etapas

Neste tutorial, você aprendeu a: