Authenticeer door Azure gehoste .NET-apps bij Azure-resources met behulp van een door de gebruiker toegewezen beheerde identiteit.

1. Voer in de Azure portal beheerde identiteiten in de hoofdzoekbalk in en selecteer het overeenkomende resultaat onder de sectie Services.

2. Selecteer op de pagina Beheerde identiteiten de optie + Maken.

   

3. Selecteer op de pagina Door gebruiker toegewezen beheerde identiteit maken een abonnement, een resourcegroep en een regio voor de door gebruiker toegewezen beheerde identiteit, en geef vervolgens een naam op.

4. Selecteer Beoordelen en maken om uw invoer te controleren en te valideren.

   

5. Selecteer Create om de door de gebruiker toegewezen beheerde identiteit te maken.

6. Nadat de identiteit is gemaakt, selecteer Ga naar de resource.

7. Op de pagina Overzicht van de nieuwe identiteit kopieert u de -client-id om later te gebruiken wanneer u de toepassingscode configureert.

Gebruik de Azure CLI-opdracht az identity create om een beheerde identiteit te maken:

az identity create \
    --resource-group <resource-group-name> \
    --name <identity-name> \
    --query 'clientId' \
    --output json

De uitvoer van de opdracht geeft de client-id weer van de nieuw gemaakte door de gebruiker toegewezen beheerde identiteit. De client-id wordt gebruikt om toepassingscode te configureren die afhankelijk is van de identiteit.

U kunt de eigenschappen van de beheerde identiteit altijd opnieuw weergeven met behulp van de opdracht az identity show:

az identity show \
    --resource-group <your-resource-group> \
    --name <your-managed-identity-name> \
    --output json

1. Navigeer in Azure Portal naar de resource die als host fungeert voor uw app-code, zoals een Azure App Service- of Azure Container App-exemplaar.

2. Vouw op de pagina Overzicht van de resource de Instellingen uit en selecteer Identiteit in de navigatie.

3. Ga op de pagina Identity naar het tabblad Gebruiker toegewezen.

4. Selecteer + Voeg toe om het deelvenster Toevoegen van door de gebruiker toegewezen beheerde identiteit te openen.

5. Gebruik in het paneel Gebruikerstoewijzing voor beheerde identiteit toevoegen de keuzelijst Abonnement om de zoekresultaten voor uw identiteiten te filteren. Gebruik het gebruikers toegewezen beheerde identiteiten zoekvak om de door de gebruiker toegewezen beheerde identiteit te vinden die u hebt ingeschakeld voor de Azure-resource die als host fungeert voor uw app.

6. Selecteer de identiteit en kies Add onder aan het deelvenster om door te gaan.

   

De Azure CLI biedt verschillende opdrachten voor het toewijzen van een door de gebruiker toegewezen beheerde identiteit aan verschillende typen hostingservices.

1. Als u een door de gebruiker toegewezen beheerde identiteit wilt toewijzen aan een resource zoals een Azure App Service-web-app met behulp van de Azure CLI, hebt u de resource-id van de identiteit nodig. Gebruik de opdracht az identity show om de resource-id op te halen:

   az identity show \
       --resource-group <your-resource-group> \
       --name <your-managed-identity-name> \
       --output json \
       --query id
   

2. Zodra u de resource-id hebt, gebruikt u de Azure CLI-opdracht az <resourceType> identity assign opdracht om de door de gebruiker toegewezen beheerde identiteit te koppelen aan verschillende resources, zoals de volgende:

   Gebruik voor Azure App Service de Azure CLI-opdracht az webapp identity assign:

   az webapp identity assign \
       --resource-group <resource-group-name> \
       --name <webapp-name> \
       --identities <user-assigned-identity-resource-id>
   

   Gebruik voor Azure Container Apps de Azure CLI-opdracht az containerapp identity assign:

   az containerapp identity assign \
       --resource-group <resource-group-name> \
       --name <containerapp-name> \
       --identities <user-assigned-identity-resource-id>
   

   Voor Azure Virtual Machines gebruikt u de Azure CLI-opdracht az vm identity assign:

   az vm identity assign \
       --resource-group <resource-group-name> \
       --name <vm-name> \
       --identities <user-assigned-identity-resource-id>
   

1. Navigeer naar de pagina Overzicht van de resourcegroep die de app bevat met de door de gebruiker toegewezen beheerde identiteit.

2. Selecteer Toegangsbeheer (IAM) in de linkernavigatie.

3. Selecteer op de pagina Toegangsbeheer (IAM) + toevoegen in het bovenste menu en kies vervolgens Roltoewijzing toevoegen om naar de pagina Roltoewijzing toevoegen te navigeren.

   

4. Op de pagina Roltoewijzing toevoegen pagina wordt een werkstroom met tabbladen met meerdere stappen weergegeven om rollen toe te wijzen aan identiteiten. Gebruik op het eerste tabblad Rol het zoekvak bovenaan om de rol te vinden die u aan de identiteit wilt toewijzen.

5. Selecteer de rol in de resultaten en kies vervolgens Volgende om naar het tabblad Leden te gaan.

6. Voor de optie Toegang toewijzen aan selecteer Beheerde identiteit.

7. Voor de optie Leden kiest u + Selecteer leden om het Selecteer beheerde identiteiten deelvenster te openen.

8. Gebruik in het deelvenster Beheerde identiteiten selecteren de keuzelijsten Abonnement en Beheerde identiteit om de zoekresultaten voor uw identiteiten te filteren. Gebruik het zoekvak Selecteer om de door de gebruiker toegewezen beheerde identiteit te zoeken die u hebt ingeschakeld voor de Azure-resource die als host fungeert voor uw app.

   

9. Selecteer de identiteit en kies Selecteer onderaan het deelvenster om door te gaan.

10. Selecteer Beoordelen + wijs onder aan de pagina toe.

11. Op het laatste Beoordelen en toewijzen tabblad, selecteer Beoordelen en toewijzen om de werkstroom te voltooien.

1. Als u een rol wilt toewijzen aan een door de gebruiker toegewezen beheerde identiteit met behulp van de Azure CLI, hebt u de principal-id van de identiteit nodig. Gebruik de opdracht az identity show om de principal-id op te halen:

   az identity show \
       --resource-group <your-resource-group> \
       --name <your-managed-identity-name> \
       --output json \
       --query principalId
   

2. Gebruik de opdracht az role definition list om te verkennen welke rollen aan een beheerde identiteit kunnen worden toegewezen:

   az role definition list \
       --query "sort_by([].{roleName:roleName, description:description}, &roleName)" \
       --output table
   

3. Wijs een rol toe aan een beheerde identiteit met behulp van de opdracht az role assignment create:

   az role assignment create \
       --assignee <your-principal-id> \
       --role <role-name> \
       --scope <scope>
   

   Als u bijvoorbeeld de beheerde identiteit wilt toestaan met de id van 99999999-9999-9999-9999-999999999999 lees-, schrijf- en verwijdertoegang tot Azure Storage-blobcontainers en -gegevens voor alle opslagaccounts in de msdocs-dotnet-sdk-auth-example resourcegroep, wijst u de service-principal van de toepassing toe aan de Rol van inzender voor opslagblobgegevens met behulp van de volgende opdracht:

   az role assignment create \
       --assignee 99999999-9999-9999-9999-999999999999 \
       --role "Storage Blob Data Contributor" \
       --scope "/subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/msdocs-dotnet-sdk-auth-example"
   

Zie het artikel Azure-rollen toewijzen met behulp van de Azure CLIvoor meer informatie over het toewijzen van machtigingen op resource- of abonnementsniveau.

Navigeer in een terminal van uw keuze naar de projectmap van de toepassing en voer de volgende opdrachten uit:

dotnet add package Azure.Identity
dotnet add package Microsoft.Extensions.Azure

Klik met de rechtermuisknop op uw project in het venster van Visual Studio Solution Explorer en selecteer NuGet-pakketten beheren. Zoek Azure.Identityen installeer het overeenkomende pakket. Herhaal dit proces voor het pakket Microsoft.Extensions.Azure.

De client-id wordt gebruikt om een beheerde identiteit te identificeren bij het configureren van toepassingen of services die moeten worden geverifieerd met die identiteit.

1. Haal de client-id op die is toegewezen aan een door de gebruiker toegewezen beheerde identiteit met behulp van de volgende opdracht:

   az identity show \
       --resource-group <resource-group-name> \
       --name <identity-name> \
       --query 'clientId'
   

2. Configureer ManagedIdentityCredential met de client-id:

   builder.Services.AddAzureClients(clientBuilder =>
   {
       clientBuilder.AddBlobServiceClient(
           new Uri("https://<account-name>.blob.core.windows.net"));
   
       TokenCredential credential = null;
   
       if (builder.Environment.IsProduction() || builder.Environment.IsStaging())
       {
           // Managed identity token credential discovered when running in Azure environments
           credential = new ManagedIdentityCredential(
               ManagedIdentityId.FromUserAssignedClientId("<client-id>"));
       } 
       else 
       {
           // Running locally on dev machine - DO NOT use in production or outside of local dev
           credential = new DefaultAzureCredential();
       }
   
       clientBuilder.UseCredential(credential);
   });
   

   Een alternatief voor de UseCredential methode is om de referentie rechtstreeks aan de serviceclient te verstrekken.

   TokenCredential credential = null;
   
   if (builder.Environment.IsProduction() || builder.Environment.IsStaging())
   {
       // Managed identity token credential discovered when running in Azure environments
       credential = new ManagedIdentityCredential(
           ManagedIdentityId.FromUserAssignedClientId("<client-id>"));
   }
   else
   {
       // Running locally on dev machine - DO NOT use in production or outside of local dev
       credential = new DefaultAzureCredential();
   }
   
   builder.Services.AddSingleton<BlobServiceClient>(_ =>
       new BlobServiceClient(
           new Uri("https://<account-name>.blob.core.windows.net"), credential));
   

De resource-id identificeert de beheerde identiteitsresource in uw Azure-abonnement op unieke wijze met behulp van de volgende structuur:

/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.ManagedIdentity/userAssignedIdentities/{identityName}

Resource-id's kunnen worden gebouwd op basis van conventies, waardoor ze handiger zijn bij het werken met een groot aantal door de gebruiker toegewezen beheerde identiteiten in uw omgeving.

1. Haal de resource-id op voor een door de gebruiker toegewezen beheerde identiteit met behulp van de volgende opdracht:

   az identity show \
       --resource-group <resource-group-name> \
       --name <identity-name> \
       --query 'id'
   

2. Configureer ManagedIdentityCredential met de resource-ID:

   builder.Services.AddAzureClients(clientBuilder =>
   {
       clientBuilder.AddBlobServiceClient(
           new Uri("https://<account-name>.blob.core.windows.net"));
   
       TokenCredential credential = null;
   
       if (builder.Environment.IsProduction() || builder.Environment.IsStaging())
       {
           // Managed identity token credential discovered when running in Azure environments
           credential = new ManagedIdentityCredential(
               ManagedIdentityId.FromUserAssignedResourceId(new ResourceIdentifier("<resource-id>")));
       }
       else
       {
           // Running locally on dev machine - DO NOT use in production or outside of local dev
           credential = new DefaultAzureCredential();
       }
   
       clientBuilder.UseCredential(credential);
   });
   

   Een alternatief voor de UseCredential methode is om de referentie rechtstreeks aan de serviceclient te verstrekken.

   TokenCredential credential = null;
   
   if (builder.Environment.IsProduction() || builder.Environment.IsStaging())
   {
       // Managed identity token credential discovered when running in Azure environments
       credential = new ManagedIdentityCredential(
           ManagedIdentityId.FromUserAssignedResourceId(new ResourceIdentifier("<resource-id>")));
   }
   else
   {
       // Running locally on dev machine - DO NOT use in production or outside of local dev
       credential = new DefaultAzureCredential();
   }
   
   builder.Services.AddSingleton<BlobServiceClient>(_ =>
       new BlobServiceClient(
           new Uri("https://<account-name>.blob.core.windows.net"), credential));
   

Een principal-id is een andere naam voor een object-id.

1. Haal de object-id op voor een door de gebruiker toegewezen beheerde identiteit met behulp van de volgende opdracht:

   az identity show \
       --resource-group <resource-group-name> \
       --name <identity-name> \
       --query 'principalId'
   

2. Configureer ManagedIdentityCredential met de object-ID:

   builder.Services.AddAzureClients(clientBuilder =>
   {
       clientBuilder.AddBlobServiceClient(
           new Uri("https://<account-name>.blob.core.windows.net"));
           
       TokenCredential credential = null;
   
       if (builder.Environment.IsProduction() || builder.Environment.IsStaging())
       {
           // Managed identity token credential discovered when running in Azure environments
           credential = new ManagedIdentityCredential(
               ManagedIdentityId.FromUserAssignedObjectId("<object-id>"));
       }
       else
       {
           // Running locally on dev machine - DO NOT use in production or outside of local dev
           credential = new DefaultAzureCredential();
       }
   
       clientBuilder.UseCredential(credential);
   });
   

   Een alternatief voor de UseCredential methode is om de referentie rechtstreeks aan de serviceclient te verstrekken.

   TokenCredential credential = null;
   
   if (builder.Environment.IsProduction() || builder.Environment.IsStaging())
   {
       // Managed identity token credential discovered when running in Azure environments
       credential = new ManagedIdentityCredential(
           ManagedIdentityId.FromUserAssignedObjectId("<object-id>"));
   }
   else
   {
       // Running locally on dev machine - DO NOT use in production or outside of local dev
       credential = new DefaultAzureCredential();
   }
   
   builder.Services.AddSingleton<BlobServiceClient>(_ =>
       new BlobServiceClient(
           new Uri("https://<account-name>.blob.core.windows.net"), credential));