Autenticação do Spring Cloud Azure

Este artigo explica os métodos de autenticação do Spring Cloud Azure e ajuda-o a escolher o tipo de credencial certo para garantir o acesso aos recursos do Azure.

Autenticação e autorização com Microsoft Entra ID

Ao usar o Microsoft Entra ID, pode usar o controlo de acesso baseado em papéis do Azure (Azure RBAC) para conceder permissões a um principal de segurança, que pode ser um principal de utilizador ou de serviço de aplicação. Quando um principal de segurança (um utilizador ou uma aplicação) tenta aceder a um recurso Azure, como um recurso de Event Hubs, o pedido deve ser autorizado. Ao utilizar o Microsoft Entra ID, o acesso a um recurso é um processo em duas etapas:

1. Primeiro, autenticar a identidade do principal de segurança e devolver um token OAuth 2.0.
2. De seguida, passe o token como parte de um pedido ao serviço Azure para autorizar o acesso ao recurso especificado.

Tipos de credenciais

O Spring Cloud Azure permite-lhe configurar diferentes tipos de credenciais para autenticação, incluindo DefaultAzureCredential, WorkloadIdentityCredential, ManagedIdentityCredential, ClientSecretCredential, AzureCliCredential, e mais.

DefaultAzureCredential

DefaultAzureCredential é apropriado para a maioria dos cenários em que o aplicativo se destina a ser executado na Nuvem do Azure, porque combina as seguintes credenciais:

• Credenciais comumente usadas para autenticar quando implantadas.
• Credenciais usadas para autenticar em um ambiente de desenvolvimento.

DefaultAzureCredential tenta autenticar através dos seguintes mecanismos, pela ordem:

• Ambiente - DefaultAzureCredential tenta ler a informação da conta especificada através de variáveis de ambiente e usá-la para autenticar.
• Identidade Gerida - Se a aplicação for implementada num host Azure com Identidade Gerida ativada, DefaultAzureCredential tenta autenticar-se usando essa conta.
• Identidade da Carga de Trabalho - Se a aplicação for implementada numa máquina virtual (VM), DefaultAzureCredential tenta autenticar-se usando essa conta.
• Cache de Tokens Partilhados - Se autenticaste através do Visual Studio, DefaultAzureCredential tenta autenticar usando essa conta.
• IntelliJ - Se autenticaste através do Azure Toolkit para IntelliJ, DefaultAzureCredential tenta autenticar usando essa conta.
• CLI do Azure - Se autenticaste uma conta através do comando CLI do Azureaz login, DefaultAzureCredential tenta autenticar usando essa conta.
• Azure PowerShell - Se autenticaste através do Azure PowerShell, DefaultAzureCredential tenta autenticar usando essa conta.
• Azure Developer CLI - Se autenticaste através da CLI do Azure Developer, DefaultAzureCredential tenta autenticar usando essa conta.

Identidades gerenciadas

Um desafio comum é o gerenciamento de segredos e credenciais usadas para proteger a comunicação entre os diferentes componentes que compõem uma solução. As identidades gerenciadas eliminam a necessidade de gerenciar credenciais. As identidades gerenciadas fornecem uma identidade para os aplicativos usarem ao se conectarem a recursos que oferecem suporte à autenticação do Microsoft Entra. As aplicações podem usar a identidade gerida para obter tokens Microsoft Entra. Por exemplo, uma aplicação pode usar uma identidade gerida para aceder a recursos como o Azure Key Vault, onde pode armazenar credenciais de forma segura, ou para aceder a contas de armazenamento.

Usa identidade gerida em vez de usar cadeia de ligação ou key na tua aplicação porque é mais seguro e poupa o trabalho de gerir segredos e credenciais. Neste caso, DefaultAzureCredential serve melhor o cenário de desenvolver localmente usando a informação da conta armazenada localmente, depois implantando a aplicação no Azure Cloud e usando a identidade gerida.

Tipos de identidade gerenciados

Existem dois tipos de identidades gerenciadas:

• atribuído pelo sistema - Alguns serviços do Azure permitem habilitar uma identidade gerenciada diretamente em uma instância de serviço. Quando ativas uma identidade gerida atribuída ao sistema, crias uma identidade no Microsoft Entra que está ligada ao ciclo de vida dessa instância de serviço. Assim, quando apagas o recurso, o Azure apaga automaticamente a identidade por ti. Por design, apenas esse recurso do Azure pode usar essa identidade para solicitar tokens do Microsoft Entra ID.
• Atribuído pelo utilizador - Também pode criar uma identidade gerida como um recurso Azure autónomo. Você pode criar uma identidade gerenciada atribuída pelo usuário e atribuí-la a uma ou mais instâncias de um serviço do Azure. Com as identidades geridas atribuídas pelo utilizador, geres a identidade separadamente dos recursos que a utilizam.

Para obter mais informações sobre identidade gerenciada, consulte O que são identidades gerenciadas para recursos do Azure?.

Outros tipos de credenciais

Se quiseres mais controlo do que o fornecido por DefaultAzureCredential, ou se as definições padrão não suportam o teu cenário, usa outros tipos de credenciais.

Autenticar com o Microsoft Entra ID

Para ligar aplicações a recursos que suportem autenticação Microsoft Entra, defina as seguintes configurações com o prefixo spring.cloud.azure.credential ou spring.cloud.azure.<azure-service>.credential.

A tabela a seguir lista as propriedades de autenticação:

O aplicativo procura em vários lugares para encontrar uma credencial disponível. Cada fábrica de construtores de clientes do SDK do Azure adota primeiro um bean personalizado do tipo TokenCredential se especificares a propriedade token-credential-bean-name, e volta a usar DefaultAzureCredential se não configurares propriedades de credenciais.

Autenticar usando um bean TokenCredential personalizado

O exemplo seguinte mostra como definir um grão personalizado TokenCredential para fazer a autenticação:

@Bean
TokenCredential myTokenCredential() {
    // Your concrete TokenCredential instance
}

spring.cloud.azure:
  credential:
    token-credential-bean-name: myTokenCredential

Autenticar usando uma identidade gerenciada atribuída ao sistema

O exemplo seguinte mostra como autenticar usando uma identidade gerida atribuída pelo sistema:

spring.cloud.azure:
  credential:
    managed-identity-enabled: true

Autenticar usando uma identidade gerenciada atribuída pelo usuário

O exemplo seguinte mostra como autenticar usando uma identidade gerida atribuída pelo utilizador:

spring.cloud.azure:
  credential:
    managed-identity-enabled: true
    client-id: ${AZURE_CLIENT_ID}

Autenticar usando uma entidade de serviço com segredo do cliente

O exemplo seguinte mostra como autenticar usando um principal de serviço com um cliente secreto:

spring.cloud.azure:
  credential:
    client-id: ${AZURE_CLIENT_ID}
    client-secret: ${AZURE_CLIENT_SECRET}
  profile:
    tenant-id: <tenant>

Autenticar usando uma entidade de serviço com certificado de cliente

O exemplo seguinte mostra como autenticar usando um principal de serviço com um certificado PFX do cliente:

spring.cloud.azure:
  credential:
    client-id: ${AZURE_CLIENT_ID}
    client-certificate-path: ${AZURE_CLIENT_CERTIFICATE_PATH}
    client-certificate-password: ${AZURE_CLIENT_CERTIFICATE_PASSWORD}
  profile:
    tenant-id: <tenant>

O exemplo seguinte mostra como autenticar usando um principal de serviço com um certificado PEM de cliente:

spring.cloud.azure:
  credential:
    client-id: ${AZURE_CLIENT_ID}
    client-certificate-path: ${AZURE_CLIENT_CERTIFICATE_PATH}
  profile:
    tenant-id: <tenant>

Autentique usando uma credencial de utilizador

O exemplo seguinte mostra como autenticar usando uma credencial de utilizador:

spring.cloud.azure:
  credential:
    client-id: ${AZURE_CLIENT_ID}
    username: ${AZURE_USER_USERNAME}
    password: ${AZURE_USER_PASSWORD}

Autentique um serviço usando uma credencial diferente da dos outros

O exemplo seguinte mostra como autenticar com o Key Vault usando um princípio de serviço diferente. Este exemplo configura o aplicativo com duas credenciais: uma identidade gerenciada atribuída ao sistema e uma entidade de serviço. O cliente Key Vault Secret usa a entidade de serviço, mas quaisquer outros componentes usam identidade gerenciada.

spring.cloud.azure:
  credential:
    managed-identity-enabled: true
  keyvault.secret:
    credential:
      client-id: ${AZURE_CLIENT_ID}
      client-secret: ${AZURE_CLIENT_SECRET}
    profile:
      tenant-id: <tenant>

Autorizar acesso com o Microsoft Entra ID

A etapa de autorização requer atribuir um ou mais papéis Azure ao principal de segurança. Os papéis que atribui a um responsável de segurança determinam as permissões que o principal possui.

A tabela a seguir lista as funções internas do Azure para autorizar o acesso aos serviços do Azure com suporte no Spring Cloud Azure:

Autentique usando tokens SAS

Também pode configurar serviços para autenticação usando a Assinatura de Acesso Partilhada (SAS). Use a spring.cloud.azure.<azure-service>.sas-token propriedade para configurar esta autenticação. Por exemplo, use spring.cloud.azure.storage.blob.sas-token para autenticar no serviço Storage Blob.

Autenticar usando cadeias de ligação

Alguns serviços do Azure suportam strings de ligação para fornecer informação e credenciais de ligação. Para se ligar a esses serviços do Azure usando strings de ligação, configure spring.cloud.azure.<azure-service>.connection-string. Por exemplo, configure spring.cloud.azure.eventhubs.connection-string para se conectar ao serviço Hubs de Eventos.