Autentisera .NET-appar som är värdbaserade i Azure mot Azure-resurser med hjälp av en användartilldelad hanterad identitet.

1. I Azure-portalen anger du Hanterade identiteter i huvudsökfältet och väljer matchande resultat under avsnittet Services.

2. På sidan Hanterade Identiteter väljer du + Skapa.

   

3. På sidan Skapa användartilldelad hanterad identitet väljer du en prenumeration, resursgrupp och region för den användartilldelade hanterade identiteten och anger sedan ett namn.

4. Välj Granska + skapa för att granska och verifiera dina indata.

   

5. Välj Skapa för att skapa den användartilldelade hanterade identiteten.

6. När identiteten har skapats väljer du Gå till resurs.

7. På den nya identitetens översiktssida kopierar du värdet klient-ID som ska användas för senare när du konfigurerar programkoden.

Använd Azure CLI-kommandot az identity create för att skapa en hanterad identitet:

az identity create \
    --resource-group <resource-group-name> \
    --name <identity-name> \
    --query 'clientId' \
    --output json

Kommandots utdata skriver ut klient-ID:t för den användartilldelade hanterade identitet som skapats. Klient-ID:t används för att konfigurera programkod som förlitar sig på identiteten.

Du kan alltid visa de hanterade identitetsegenskaperna igen med hjälp av kommandot az identity show:

az identity show \
    --resource-group <your-resource-group> \
    --name <your-managed-identity-name> \
    --output json

1. I Azure-portalen navigerar du till resursen som är värd för din appkod, till exempel en Azure App Service- eller Azure Container App-instans.

2. På resursens översiktssida expanderar du Inställningar och väljer Identitet från navigeringen.

3. På sidan Identitet växlar du till fliken Användartilldelad.

4. Välj + Lägg till för att öppna panelen Lägg till användartilldelad hanterad identitet.

5. I panelen Lägg till användartilldelad hanterad identitet använder du listrutan Prenumeration för att filtrera sökresultaten för dina identiteter. Använd sökrutan Användartilldelade hanterade identiteter för att hitta den användartilldelade hanterade identiteten som du har aktiverat för Azure-resursen som är värd för din app.

6. Välj identiteten och välj Lägg till längst ned i panelen för att fortsätta.

   

Azure CLI tillhandahåller olika kommandon för att tilldela en användartilldelad hanterad identitet till olika typer av värdtjänster.

1. Om du vill tilldela en användartilldelad hanterad identitet till en resurs, till exempel en Azure App Service-webbapp med hjälp av Azure CLI, behöver du identitetens resurs-ID. Använd kommandot az identity show för att hämta resurs-ID:t:

   az identity show \
       --resource-group <your-resource-group> \
       --name <your-managed-identity-name> \
       --output json \
       --query id
   

2. När du har resurs-ID:t använder du kommandot Azure CLI az <resourceType> identity assign för att associera den användartilldelade hanterade identiteten med olika resurser, till exempel följande:

   För Azure App Service använder du Azure CLI-kommandot az webapp identity assign:

   az webapp identity assign \
       --resource-group <resource-group-name> \
       --name <webapp-name> \
       --identities <user-assigned-identity-resource-id>
   

   För Azure Container Apps använder du Azure CLI-kommandot az containerapp identity assign:

   az containerapp identity assign \
       --resource-group <resource-group-name> \
       --name <containerapp-name> \
       --identities <user-assigned-identity-resource-id>
   

   För virtuella Azure-datorer använder du Azure CLI-kommandot az vm identity assign:

   az vm identity assign \
       --resource-group <resource-group-name> \
       --name <vm-name> \
       --identities <user-assigned-identity-resource-id>
   

1. Gå till sidan Översikt i resursgruppen som innehåller appen med den användartilldelade hanterade identiteten.

2. Välj åtkomstkontroll (IAM) i det vänstra navigeringsfältet.

3. På sidan Åtkomstkontroll (IAM) väljer du + Lägg till på den översta menyn och väljer sedan Lägg till rolltilldelning för att gå till sidan Lägg till rolltilldelning.

   

4. Sidan Lägg till rolltilldelning visar ett flikarat arbetsflöde i flera steg för att tilldela roller till identiteter. På den första fliken Roll använder du sökrutan längst upp för att hitta den roll som du vill tilldela identiteten.

5. Välj rollen i resultatet och välj sedan Nästa för att flytta till fliken Medlemmar.

6. För alternativet Tilldela åtkomst till väljer du Hanterad identitet.

7. För alternativet Medlemmar väljer du + Välj medlemmar för att öppna panelen Välj hanterade identiteter.

8. I panelen Välj hanterade identiteter använder du listrutorna Prenumeration och Hanterad identitet för att filtrera sökresultaten efter dina identiteter. Använd sökrutan Välj för att hitta den användartilldelade hanterade identitet som du har aktiverat för Azure-resursen som är värd för din app.

   

9. Välj identiteten och välj Välj längst ned i panelen för att fortsätta.

10. Välj Granska + tilldela längst ned på sidan.

11. På den sista fliken Granska + tilldela väljer du Granska + tilldela för att slutföra arbetsflödet.

1. Om du vill tilldela en roll till en användartilldelad hanterad identitet med hjälp av Azure CLI behöver du identitetens huvud-ID. az identity show Använd kommandot för att hämta huvud-ID:t:

   az identity show \
       --resource-group <your-resource-group> \
       --name <your-managed-identity-name> \
       --output json \
       --query principalId
   

2. Använd kommandot az role definition list för att utforska vilka roller en hanterad identitet kan tilldelas:

   az role definition list \
       --query "sort_by([].{roleName:roleName, description:description}, &roleName)" \
       --output table
   

3. Tilldela en roll till en hanterad identitet genom att använda kommandot az role assignment create.

   az role assignment create \
       --assignee <your-principal-id> \
       --role <role-name> \
       --scope <scope>
   

   Om du till exempel vill tillåta den hanterade identiteten med ID:t för 99999999-9999-9999-9999-999999999999 läsa, skriva och ta bort åtkomstbehörighet till Azure Storage-blobcontainrar och data för alla lagringskonton i msdocs-dotnet-sdk-auth-example resursgrupp, tilldelar du programtjänstens tjänsthuvudnamn till Storage Blob Data Contributor roll genom att använda följande kommando:

   az role assignment create \
       --assignee 99999999-9999-9999-9999-999999999999 \
       --role "Storage Blob Data Contributor" \
       --scope "/subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/msdocs-dotnet-sdk-auth-example"
   

Information om hur du tilldelar behörigheter på resurs- eller prenumerationsnivå med hjälp av Azure CLI finns i artikeln Tilldela Azure-roller med hjälp av Azure CLI-.

I valfri terminal går du till programprojektkatalogen och kör följande kommandon:

dotnet add package Azure.Identity
dotnet add package Microsoft.Extensions.Azure

Högerklicka på projektet i fönstret Visual Studio Solution Explorer och välj Hantera NuGet-paket. Sök efter Azure.Identityoch installera matchande paket. Upprepa den här processen för paketet Microsoft.Extensions.Azure.

Klient-ID:t används för att identifiera en hanterad identitet när program eller tjänster som behöver autentiseras med den identiteten konfigureras.

1. Hämta det klient-ID som tilldelats en användartilldelad hanterad identitet med hjälp av följande kommando:

   az identity show \
       --resource-group <resource-group-name> \
       --name <identity-name> \
       --query 'clientId'
   

2. Konfigurera ManagedIdentityCredential med klient-ID:t:

   builder.Services.AddAzureClients(clientBuilder =>
   {
       clientBuilder.AddBlobServiceClient(
           new Uri("https://<account-name>.blob.core.windows.net"));
   
       TokenCredential credential = null;
   
       if (builder.Environment.IsProduction() || builder.Environment.IsStaging())
       {
           // Managed identity token credential discovered when running in Azure environments
           credential = new ManagedIdentityCredential(
               ManagedIdentityId.FromUserAssignedClientId("<client-id>"));
       } 
       else 
       {
           // Running locally on dev machine - DO NOT use in production or outside of local dev
           credential = new DefaultAzureCredential();
       }
   
       clientBuilder.UseCredential(credential);
   });
   

   Ett alternativ till metoden UseCredential är att tillhandahålla autentiseringsuppgifterna direkt till tjänstklienten:

   TokenCredential credential = null;
   
   if (builder.Environment.IsProduction() || builder.Environment.IsStaging())
   {
       // Managed identity token credential discovered when running in Azure environments
       credential = new ManagedIdentityCredential(
           ManagedIdentityId.FromUserAssignedClientId("<client-id>"));
   }
   else
   {
       // Running locally on dev machine - DO NOT use in production or outside of local dev
       credential = new DefaultAzureCredential();
   }
   
   builder.Services.AddSingleton<BlobServiceClient>(_ =>
       new BlobServiceClient(
           new Uri("https://<account-name>.blob.core.windows.net"), credential));
   

Resurs-ID:t identifierar unikt den hanterade identitetsresursen i din Azure-prenumeration med hjälp av följande struktur:

/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.ManagedIdentity/userAssignedIdentities/{identityName}

Resurs-ID:n kan skapas med konvention, vilket gör dem mer praktiska när du arbetar med ett stort antal användartilldelade hanterade identiteter i din miljö.

1. Hämta resurs-ID:t för en användartilldelad hanterad identitet med hjälp av följande kommando:

   az identity show \
       --resource-group <resource-group-name> \
       --name <identity-name> \
       --query 'id'
   

2. Konfigurera ManagedIdentityCredential med resurs-ID:t:

   builder.Services.AddAzureClients(clientBuilder =>
   {
       clientBuilder.AddBlobServiceClient(
           new Uri("https://<account-name>.blob.core.windows.net"));
   
       TokenCredential credential = null;
   
       if (builder.Environment.IsProduction() || builder.Environment.IsStaging())
       {
           // Managed identity token credential discovered when running in Azure environments
           credential = new ManagedIdentityCredential(
               ManagedIdentityId.FromUserAssignedResourceId(new ResourceIdentifier("<resource-id>")));
       }
       else
       {
           // Running locally on dev machine - DO NOT use in production or outside of local dev
           credential = new DefaultAzureCredential();
       }
   
       clientBuilder.UseCredential(credential);
   });
   

   Ett alternativ till metoden UseCredential är att tillhandahålla autentiseringsuppgifterna direkt till tjänstklienten:

   TokenCredential credential = null;
   
   if (builder.Environment.IsProduction() || builder.Environment.IsStaging())
   {
       // Managed identity token credential discovered when running in Azure environments
       credential = new ManagedIdentityCredential(
           ManagedIdentityId.FromUserAssignedResourceId(new ResourceIdentifier("<resource-id>")));
   }
   else
   {
       // Running locally on dev machine - DO NOT use in production or outside of local dev
       credential = new DefaultAzureCredential();
   }
   
   builder.Services.AddSingleton<BlobServiceClient>(_ =>
       new BlobServiceClient(
           new Uri("https://<account-name>.blob.core.windows.net"), credential));
   

Ett huvudnamns-ID är ett annat namn för ett objekt-ID.

1. Hämta objekt-ID:t för en användartilldelad hanterad identitet med hjälp av följande kommando:

   az identity show \
       --resource-group <resource-group-name> \
       --name <identity-name> \
       --query 'principalId'
   

2. Konfigurera ManagedIdentityCredential med objekt-ID:t:

   builder.Services.AddAzureClients(clientBuilder =>
   {
       clientBuilder.AddBlobServiceClient(
           new Uri("https://<account-name>.blob.core.windows.net"));
           
       TokenCredential credential = null;
   
       if (builder.Environment.IsProduction() || builder.Environment.IsStaging())
       {
           // Managed identity token credential discovered when running in Azure environments
           credential = new ManagedIdentityCredential(
               ManagedIdentityId.FromUserAssignedObjectId("<object-id>"));
       }
       else
       {
           // Running locally on dev machine - DO NOT use in production or outside of local dev
           credential = new DefaultAzureCredential();
       }
   
       clientBuilder.UseCredential(credential);
   });
   

   Ett alternativ till metoden UseCredential är att tillhandahålla autentiseringsuppgifterna direkt till tjänstklienten:

   TokenCredential credential = null;
   
   if (builder.Environment.IsProduction() || builder.Environment.IsStaging())
   {
       // Managed identity token credential discovered when running in Azure environments
       credential = new ManagedIdentityCredential(
           ManagedIdentityId.FromUserAssignedObjectId("<object-id>"));
   }
   else
   {
       // Running locally on dev machine - DO NOT use in production or outside of local dev
       credential = new DefaultAzureCredential();
   }
   
   builder.Services.AddSingleton<BlobServiceClient>(_ =>
       new BlobServiceClient(
           new Uri("https://<account-name>.blob.core.windows.net"), credential));