Authentifizieren von Azure gehosteten Java Apps für Azure Ressourcen mithilfe einer vom System zugewiesenen verwalteten Identität

Der empfohlene Ansatz zum Authentifizieren einer Azure gehosteten App für andere Azure Ressourcen ist die Verwendung einer managed Identity. Die meisten Azure-Dienste unterstützen diesen Ansatz, einschließlich apps, die auf Azure App Service, Azure Container Apps und Azure Virtual Machines gehostet werden. Weitere Informationen finden Sie unter Azure Services und Ressourcentypen, die verwaltete Identitäten unterstützen. Weitere Informationen zu verschiedenen Authentifizierungstechniken und -ansätzen finden Sie unter Authenticate Java apps to Azure services by using the Azure Identity library.

In den folgenden Abschnitten lernen Sie:

• Grundlegende Konzepte für verwaltete Identitäten.
• So erstellen Sie eine vom System zugewiesene verwaltete Identität für Ihre App.
• So weisen Sie der vom System zugewiesenen verwalteten Identität Rollen zu.
• So authentifizieren Sie sich mithilfe der vom System zugewiesenen verwalteten Identität aus Ihrem App-Code.

Grundlegende Konzepte für verwaltete Identitäten

Mit einer verwalteten Identität kann Ihre App sicher eine Verbindung mit anderen Azure Ressourcen herstellen, ohne geheime Schlüssel oder andere geheime Anwendungsschlüssel zu verwenden. Intern verfolgt Azure die Identität und zu welchen Ressourcen es eine Verbindung herstellen darf. Azure verwendet diese Informationen, um automatisch Microsoft Entra Token für die App abzurufen, damit sie eine Verbindung mit anderen Azure-Ressourcen herstellen kann.

Es gibt zwei Arten von verwalteten Identitäten, die Sie beim Konfigurieren Ihrer gehosteten App berücksichtigen sollten:

• System-assigned verwaltete Identitäten werden direkt auf einer Azure-Ressource aktiviert und sind an deren Lebenszyklus gebunden. Wenn die Ressource gelöscht wird, löscht Azure automatisch die Identität für Sie. Vom System zugewiesene Identitäten bieten einen minimalistischen Ansatz für die Verwendung verwalteter Identitäten.
• User-assigned verwaltete Identitäten werden als eigenständige Azure Ressourcen erstellt und bieten größere Flexibilität und erweiterte Funktionalitäten. Sie eignen sich ideal für Lösungen mit mehreren Azure Ressourcen, die dieselbe Identität und Berechtigungen gemeinsam nutzen müssen. Wenn beispielsweise mehrere virtuelle Computer auf denselben Satz von Azure Ressourcen zugreifen müssen, bietet eine vom Benutzer zugewiesene verwaltete Identität wiederverwendbarkeit und optimierte Verwaltung.

In den folgenden Abschnitten werden die Schritte zum Aktivieren und Verwenden einer vom System zugewiesenen verwalteten Identität für eine Azure gehostete App beschrieben. Wenn Sie eine vom Benutzer zugewiesene verwaltete Identität verwenden müssen, lesen Sie Authentifizieren Sie Azure-gehostete Java-Apps auf Azure-Ressourcen mithilfe einer vom Benutzer zugewiesenen verwalteten Identität.

Aktivieren einer vom System zugewiesenen verwalteten Identität auf der Azure Hostingressource

Um mit der Verwendung einer vom System zugewiesenen verwalteten Identität mit Ihrer App zu beginnen, aktivieren Sie die Identität auf der Azure Ressource, die Ihre App hosten soll, z. B. eine Azure App Service, Azure Container Apps oder Azure Virtual Machines Instanz.

Sie können eine vom System zugewiesene verwaltete Identität für eine Azure Ressource entweder über das Azure Portal oder die Azure CLI aktivieren.

az webapp identity assign \
    --resource-group <resource-group-name> \
    --name <web-app-name>

az containerapp identity assign \
    --resource-group <resource-group-name> \
    --name <container-app-name> \
    --system-assigned

az vm identity assign \
    --resource-group <resource-group-name> \
    --name <virtual-machine-name>

{
  "principalId": "aaaaaaaa-bbbb-cccc-1111-222222222222",
  "tenantId": "aaaabbbb-0000-cccc-1111-dddd2222eeee",
  "type": "SystemAssigned",
  "userAssignedIdentities": null
}

Rollen der verwalteten Identität zuweisen

Ermitteln Sie als Nächstes, welche Rollen Ihre App benötigt, und weisen Sie diese Rollen der verwalteten Identität zu. Sie können einer verwalteten Identität rollen in den folgenden Bereichen zuweisen:

• Ressource: Die zugewiesenen Rollen gelten nur für diese bestimmte Ressource.
• Ressourcengruppe: Die zugewiesenen Rollen gelten für alle Ressourcen, die in der Ressourcengruppe enthalten sind.
• Abonnement-: Die zugewiesenen Rollen gelten für alle Im Abonnement enthaltenen Ressourcen.

Das folgende Beispiel zeigt, wie Rollen im Ressourcengruppenbereich zugewiesen werden, da viele Apps alle zugehörigen Azure Ressourcen mithilfe einer einzelnen Ressourcengruppe verwalten.

az role assignment create \
    --assignee "{managedIdentityId}" \
    --role "{roleName}" \
    --scope "{scope}"

az role definition list \
    --query "sort_by([].{roleName:roleName, description:description}, &roleName)" \
    --output table

az role assignment create \
    --assignee aaaaaaaa-bbbb-cccc-1111-222222222222 \
    --role "Storage Blob Data Contributor" \
    --scope "/subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/msdocs-sdk-auth-example"

Authentifizieren bei Azure Diensten aus Ihrer App

Die Azure Identitätsbibliothek stellt verschiedene Credentials bereit– Implementierungen von TokenCredential, die an die Unterstützung verschiedener Szenarien und Microsoft Entra Authentifizierungsflüsse angepasst sind. Da verwaltete Identität bei der lokalen Ausführung nicht verfügbar ist, zeigen die folgenden Schritte, welche Anmeldeinformationen in welchem Szenario verwendet werden sollen:

• Lokale Entwicklungsumgebung: Verwenden Sie während der lokalen Entwicklung nur eine Klasse namens DefaultAzureCredential für eine meinungsvermerkte, vorkonfigurierte Kette von Anmeldeinformationen. DefaultAzureCredential ermittelt Benutzeranmeldeinformationen aus Ihren lokalen Tools oder IDE, z. B. dem Azure CLI oder Visual Studio Code. Außerdem bietet es Flexibilität und Komfort für Wiederholungen, Wartezeiten für Antworten und Unterstützung für mehrere Authentifizierungsoptionen. Besuchen Sie den Artikel Authentifizierung bei Azure-Diensten während der lokalen Entwicklung, um mehr zu erfahren.
• Azure gehostete Apps: Wenn Ihre App in Azure ausgeführt wird, verwenden Sie ManagedIdentityCredential, um die für Ihre App konfigurierte verwaltete Identität sicher zu ermitteln. Wenn Sie diesen genauen Anmeldedatentyp angeben, wird verhindert, dass andere verfügbare Anmeldedaten versehentlich verwendet werden.

Implementieren des Codes

Fügen Sie die azure-identity Abhängigkeit zu Ihrer pom.xml Datei hinzu.

<dependency>
    <groupId>com.azure</groupId>
    <artifactId>azure-identity</artifactId>
</dependency>

Auf Azure-Dienste wird mithilfe spezieller Clientklassen aus den verschiedenen Azure SDK-Clientbibliotheken zugegriffen. Im folgenden Codebeispiel wird veranschaulicht, wie man eine Anmeldeinformationsinstanz erstellt und sie mit einem Azure SDK-Dienstclient verwendet. Führen Sie im Anwendungscode die folgenden Schritte aus, um sich mithilfe einer verwalteten Identität zu authentifizieren:

1. Importieren Sie die Klassen DefaultAzureCredentialBuilder, ManagedIdentityCredentialBuilder und TokenCredential.
2. Übergeben Sie eine entsprechende TokenCredential Instanz an den Client:
   • Verwenden Sie DefaultAzureCredential, wenn es lokal ausgeführt wird.
   • Verwenden Sie ManagedIdentityCredential, wenn Ihre App in Azure ausgeführt wird

Das folgende Beispiel veranschaulicht die Authentifizierung einer SecretClient vom System zugewiesenen verwalteten Identität:

import com.azure.core.credential.TokenCredential;
import com.azure.identity.DefaultAzureCredentialBuilder;
import com.azure.identity.ManagedIdentityCredentialBuilder;
import com.azure.security.keyvault.secrets.SecretClient;
import com.azure.security.keyvault.secrets.SecretClientBuilder;

TokenCredential credential = null;

// Set up credential based on environment (Azure or local development)
String environment = System.getenv("ENV");

if (environment != null && environment.equals("production")) {
    credential = new ManagedIdentityCredentialBuilder()
        .build();
} else {
    credential = new DefaultAzureCredentialBuilder()
        .build();
}

// Azure SDK client builders accept the credential as a parameter
SecretClient client = new SecretClientBuilder()
    .vaultUrl("https://<your-key-vault-name>.vault.azure.net")
    .credential(credential)
    .buildClient();

Nächste Schritte

In diesem Artikel wurde die Authentifizierung mit einer vom System zugewiesenen verwalteten Identität behandelt. Diese Form der Authentifizierung ist eine von mehreren Möglichkeiten, wie Sie sich im Azure SDK für Java authentifizieren können. In den folgenden Artikeln werden weitere Möglichkeiten beschrieben:

• Authentifizieren Sie in Azure gehostete Java-Apps für Azure-Ressourcen mithilfe einer benutzerdefinierten verwalteten Identität
• Authentifizieren Sie Java-Apps für Azure-Dienste während der lokalen Entwicklung mit Entwicklerkonten
• Authentifizierung von Java-Apps für Azure-Dienste während der lokalen Entwicklung mithilfe von Dienst-Principals

Wenn Probleme im Zusammenhang mit der Azure-gehosteten Anwendungsauthentifizierung auftreten, lesen Sie Probleme mit der Azure-gehosteten Anwendungsauthentifizierung beheben.