Autenticação do Spring Cloud Azure

Este artigo explica os métodos de autenticação do Spring Cloud Azure e ajuda você a escolher o tipo de credencial certo para proteger o acesso aos recursos de Azure.

Autenticação e autorização com a ID do Microsoft Entra

Usando Microsoft Entra ID, você pode usar Azure controle de acesso baseado em função (Azure RBAC) para conceder permissões a uma entidade de segurança, que pode ser um usuário ou uma entidade de serviço de aplicativo. Quando uma entidade de segurança (um usuário ou um aplicativo) tenta acessar um recurso Azure, como um recurso dos Hubs de Eventos, a solicitação deve ser autorizada. Usando Microsoft Entra ID, o acesso a um recurso é um processo de duas etapas:

1. Primeiro, autentique a identidade da entidade de segurança e retorne um token OAuth 2.0.
2. Em seguida, passe o token como parte de uma solicitação para o serviço Azure para autorizar o acesso ao recurso especificado.

Tipos de credencial

O Spring Cloud Azure permite que você configure diferentes tipos de credencial para autenticação, incluindoDefaultAzureCredential, WorkloadIdentityCredential, , ManagedIdentityCredential, ClientSecretCredentiale AzureCliCredentialmuito mais.

DefaultAzureCredential

DefaultAzureCredential é apropriado para a maioria dos cenários em que o aplicativo se destina a ser executado na Nuvem do Azure, pois combina as seguintes credenciais:

• Credenciais comumente usadas para autenticar quando implantadas.
• Credenciais usadas para autenticar em um ambiente de desenvolvimento.

DefaultAzureCredential tenta autenticar por meio dos seguintes mecanismos na ordem:

• Ambiente – DefaultAzureCredential tenta ler as informações da conta especificadas por meio de variáveis de ambiente e usá-la para autenticar.
• Identidade Gerenciada – se o aplicativo for implantado em um host Azure com a Identidade Gerenciada habilitada, DefaultAzureCredential tente autenticar usando essa conta.
• Identidade da carga de trabalho – se o aplicativo for implantado em uma VM (máquina virtual), DefaultAzureCredential tente autenticar usando essa conta.
• Cache de Token Compartilhado – Se você se autenticou por meio de Visual Studio, DefaultAzureCredential tenta autenticar usando essa conta.
• IntelliJ – Se você se autenticou por meio do kit de ferramentas Azure para IntelliJ, DefaultAzureCredential tenta autenticar usando essa conta.
• CLI do Azure - Se você autenticou uma conta por meio do comando CLI do Azureaz login, DefaultAzureCredential tenta se autenticar usando essa conta.
• Azure PowerShell - Se você se autenticou por meio de Azure PowerShell, DefaultAzureCredential tenta autenticar usando essa conta.
• Azure CLI do Desenvolvedor – se você se autenticou por meio da CLI do Desenvolvedor do Azure, DefaultAzureCredential tenta autenticar usando essa conta.

Identidades gerenciadas

Um desafio comum é o gerenciamento de segredos e credenciais usados para proteger a comunicação entre diferentes componentes que compõem uma solução. As identidades gerenciadas eliminam a necessidade de gerenciar credenciais. As identidades gerenciadas fornecem uma identidade para os aplicativos usarem ao se conectar a recursos que dão suporte à autenticação do Microsoft Entra. Os aplicativos podem usar a identidade gerenciada para obter tokens Microsoft Entra. Por exemplo, um aplicativo pode usar uma identidade gerenciada para acessar recursos como Azure Key Vault em que você pode armazenar credenciais de maneira segura ou acessar contas de armazenamento.

Use a identidade gerenciada em vez de usar cadeia de conexão ou chave em seu aplicativo porque ela é mais segura e salva o problema de gerenciar segredos e credenciais. Nesse caso, DefaultAzureCredential melhor serve ao cenário de desenvolvimento local usando informações de conta armazenadas localmente e, em seguida, implantando o aplicativo no Azure Cloud e usando a identidade gerenciada.

Tipos de identidade gerenciada

Há dois tipos de identidades gerenciadas:

• atribuídas pelo sistema – alguns serviços do Azure permitem habilitar uma identidade gerenciada diretamente em uma instância de serviço. Ao habilitar uma identidade gerenciada atribuída pelo sistema, você cria uma identidade em Microsoft Entra associada ao ciclo de vida dessa instância de serviço. Portanto, quando você exclui o recurso, o Azure exclui automaticamente a identidade para você. Por design, somente o recurso do Azure pode usar essa identidade para solicitar tokens da ID do Microsoft Entra.
• Atribuído pelo usuário – você também pode criar uma identidade gerenciada como um recurso de Azure autônomo. Você pode criar uma identidade gerenciada atribuída pelo usuário e atribuí-la a uma ou mais instâncias de um serviço do Azure. Com identidades gerenciadas atribuídas pelo usuário, você gerencia a identidade separadamente dos recursos que a usam.

Para obter mais informações sobre identidade gerenciada, consulte O que são identidades gerenciadas para recursos do Azure?.

Outros tipos de credencial

Se você quiser mais controle do que o fornecido por DefaultAzureCredential, ou se as configurações padrão não oferecerem suporte ao seu cenário, use outros tipos de credencial.

Autenticar com a ID do Microsoft Entra

Para conectar aplicativos a recursos que dão suporte à autenticação Microsoft Entra, defina as configurações a seguir com o prefixo spring.cloud.azure.credential ou spring.cloud.azure.<azure-service>.credential.

A tabela a seguir lista as propriedades de autenticação:

O aplicativo procura em vários locais para encontrar uma credencial disponível. Cada fábrica do construtor de clientes SDK do Azure adotará um bean personalizado do tipo TokenCredential primeiro se você especificar a propriedade token-credential-bean-namee voltar a usar DefaultAzureCredential se não configurar propriedades de credencial.

Autenticar usando um bean TokenCredential personalizado

O exemplo a seguir mostra como definir um bean personalizado TokenCredential para fazer a autenticação:

@Bean
TokenCredential myTokenCredential() {
    // Your concrete TokenCredential instance
}

spring.cloud.azure:
  credential:
    token-credential-bean-name: myTokenCredential

Autenticar usando uma identidade gerenciada atribuída pelo sistema

O exemplo a seguir mostra como autenticar usando uma identidade gerenciada atribuída pelo sistema:

spring.cloud.azure:
  credential:
    managed-identity-enabled: true

Autenticar usando uma identidade gerenciada atribuída pelo usuário

O exemplo a seguir mostra como autenticar usando uma identidade gerenciada atribuída pelo usuário:

spring.cloud.azure:
  credential:
    managed-identity-enabled: true
    client-id: ${AZURE_CLIENT_ID}

Autenticar usando uma entidade de serviço com o segredo do cliente

O exemplo a seguir mostra como autenticar usando uma entidade de serviço com um segredo do cliente:

spring.cloud.azure:
  credential:
    client-id: ${AZURE_CLIENT_ID}
    client-secret: ${AZURE_CLIENT_SECRET}
  profile:
    tenant-id: <tenant>

Autenticar usando uma entidade de serviço com certificado do cliente

O exemplo a seguir mostra como autenticar usando uma entidade de serviço com um certificado PFX do cliente:

spring.cloud.azure:
  credential:
    client-id: ${AZURE_CLIENT_ID}
    client-certificate-path: ${AZURE_CLIENT_CERTIFICATE_PATH}
    client-certificate-password: ${AZURE_CLIENT_CERTIFICATE_PASSWORD}
  profile:
    tenant-id: <tenant>

O exemplo a seguir mostra como autenticar usando uma entidade de serviço com um certificado PEM do cliente:

spring.cloud.azure:
  credential:
    client-id: ${AZURE_CLIENT_ID}
    client-certificate-path: ${AZURE_CLIENT_CERTIFICATE_PATH}
  profile:
    tenant-id: <tenant>

Autenticar usando uma credencial de usuário

O exemplo a seguir mostra como autenticar usando uma credencial de usuário:

spring.cloud.azure:
  credential:
    client-id: ${AZURE_CLIENT_ID}
    username: ${AZURE_USER_USERNAME}
    password: ${AZURE_USER_PASSWORD}

Autenticar um serviço usando uma credencial diferente de outras pessoas

O exemplo a seguir mostra como autenticar com Key Vault usando uma entidade de serviço diferente. Este exemplo configura o aplicativo com duas credenciais: uma identidade gerenciada atribuída pelo sistema e uma entidade de serviço. O cliente segredo do Key Vault usa a entidade de serviço, mas qualquer outro componente usa a identidade gerenciada.

spring.cloud.azure:
  credential:
    managed-identity-enabled: true
  keyvault.secret:
    credential:
      client-id: ${AZURE_CLIENT_ID}
      client-secret: ${AZURE_CLIENT_SECRET}
    profile:
      tenant-id: <tenant>

Autorizar o acesso com a ID do Microsoft Entra

A etapa de autorização requer a atribuição de uma ou mais funções de Azure à entidade de segurança. As funções que você atribui a uma entidade de segurança determinam as permissões que a entidade de segurança tem.

A tabela a seguir lista as funções internas do Azure para autorizar o acesso aos serviços do Azure com suporte no Spring Cloud Azure:

Autenticar usando tokens SAS

Você também pode configurar serviços para autenticação usando SAS (Assinatura de Acesso Compartilhado). Use a spring.cloud.azure.<azure-service>.sas-token propriedade para configurar essa autenticação. Por exemplo, use spring.cloud.azure.storage.blob.sas-token para autenticar no serviço blob de armazenamento.

Autenticar usando cadeias de conexão

Alguns serviços Azure dão suporte a cadeias de conexão para fornecer informações de conexão e credenciais. Para se conectar a esses serviços Azure usando cadeias de conexão, configure spring.cloud.azure.<azure-service>.connection-string. Por exemplo, configure spring.cloud.azure.eventhubs.connection-string para se conectar ao serviço hubs de eventos.