Migrar um aplicativo Java para usar conexões sem senha com o Banco de Dados SQL do Azure

Este artigo explica como migrar de métodos de autenticação tradicionais para conexões mais seguras e sem senha com o Banco de Dados SQL do Azure.

As solicitações de aplicativo para o Banco de Dados SQL do Azure devem ser autenticadas. O Banco de Dados SQL do Azure fornece várias maneiras diferentes para os aplicativos se conectarem com segurança. Uma das maneiras é usar senhas. No entanto, você deve priorizar conexões sem senha em seus aplicativos quando possível.

Comparar opções de autenticação

Quando o aplicativo é autenticado com o Banco de Dados SQL do Azure, ele fornece um par de nome de usuário e senha para se conectar ao banco de dados. Dependendo de onde as identidades são armazenadas, há dois tipos de autenticação: autenticação do Microsoft Entra e autenticação do Banco de Dados SQL do Azure.

Autenticação do Microsoft Entra

A autenticação do Microsoft Entra é um mecanismo para se conectar ao Banco de Dados SQL do Azure usando identidades definidas na ID do Microsoft Entra. Ao utilizar a autenticação Microsoft Entra, pode gerir as identidades dos utilizadores da base de dados e outros serviços serviços Microsoft numa localização central, o que simplifica a gestão de permissões.

Usar o Microsoft Entra ID para autenticação oferece os seguintes benefícios:

• Autenticação de usuários nos Serviços do Azure de maneira uniforme.
• Gerenciamento de políticas de senhas e rotação de senhas em um único lugar.
• Várias formas de autenticação suportadas pelo Microsoft Entra ID, que podem eliminar a necessidade de armazenar senhas.
• Os clientes podem gerir permissões de base de dados utilizando grupos externos (Microsoft Entra ID).
• A autenticação do Microsoft Entra usa usuários do banco de dados SQL do Azure para autenticar identidades no nível do banco de dados.
• Suporte de autenticação baseada em token para aplicativos que se conectam ao Banco de Dados SQL do Azure.

Autenticação do Banco de Dados SQL do Azure

Você pode criar contas no Banco de Dados SQL do Azure. Se optar por usar palavras-passe como credenciais para as contas, a sys.database_principals tabela armazena essas credenciais. Como o Base de Dados SQL do Azure armazena estas palavras-passe, é necessário gerir a rotação das palavras-passe por si mesmo.

Embora possa ligar-se ao Base de Dados SQL do Azure usando palavras-passe, utilize-as com cautela. Seja diligente e nunca expõe as palavras-passe num local inseguro. Qualquer pessoa que tenha acesso às palavras-passe pode autenticar-se. Por exemplo, se incluir acidentalmente uma cadeia de ligação no controlo de código-fonte, a enviar numa mensagem de correio eletrónico não segura, a colar na conversa errada ou permitir que seja vista por alguém que não deveria ter autorização, um utilizador malicioso pode aceder à aplicação. Em vez disso, considere atualizar seu aplicativo para usar conexões sem senha.

Introdução a ligações sem palavra-passe

Com uma conexão sem senha, você pode se conectar aos serviços do Azure sem armazenar credenciais no código do aplicativo, em seus arquivos de configuração ou em variáveis de ambiente.

Muitos serviços do Azure suportam ligações sem palavra-passe, por exemplo, através da Identidade Gerida do Azure. Essas técnicas fornecem recursos de segurança robustos que você pode implementar usando DefaultAzureCredential das bibliotecas de cliente do Azure Identity. Neste tutorial, você aprenderá como atualizar um aplicativo existente para usar DefaultAzureCredential em vez de alternativas, como cadeias de conexão.

DefaultAzureCredential suporta vários métodos de autenticação e determina automaticamente quais devem ser usados em tempo de execução. Essa abordagem permite que seu aplicativo use métodos de autenticação diferentes em ambientes diferentes (desenvolvimento local versus produção) sem implementar código específico do ambiente.

A ordem e os locais em que DefaultAzureCredential procura por credenciais podem ser encontrados na visão geral da Biblioteca de Identidades do Azure. Por exemplo, ao trabalhar localmente, DefaultAzureCredential geralmente autenticará usando a conta que o desenvolvedor usou para entrar no Visual Studio. Quando o aplicativo for implantado no Azure, DefaultAzureCredential alternará automaticamente para usar uma identidade gerenciada. Não são necessárias alterações de código para esta transição.

Para garantir que as conexões não tenham senha, você deve levar em consideração o desenvolvimento local e o ambiente de produção. Se uma cadeia de conexão for necessária em qualquer lugar, o aplicativo não será sem senha.

Em seu ambiente de desenvolvimento local, você pode autenticar com a CLI do Azure, Azure PowerShell, Visual Studio ou plug-ins do Azure para Visual Studio Code ou IntelliJ. Nesse caso, você pode usar essa credencial em seu aplicativo em vez de configurar propriedades.

Ao implantar aplicativos em um ambiente de hospedagem do Azure, como uma máquina virtual, você pode atribuir identidade gerenciada nesse ambiente. Em seguida, você não precisará fornecer credenciais para se conectar aos serviços do Azure.

Migrar um aplicativo existente para usar conexões sem senha

As etapas a seguir explicam como migrar um aplicativo existente para usar conexões sem senha em vez de uma solução baseada em senha.

0) Preparar o ambiente de trabalho

Primeiro, use o seguinte comando para configurar algumas variáveis de ambiente.

export AZ_RESOURCE_GROUP=<YOUR_RESOURCE_GROUP>
export AZ_DATABASE_SERVER_NAME=<YOUR_DATABASE_SERVER_NAME>
export AZ_DATABASE_NAME=demo
export CURRENT_USERNAME=$(az ad signed-in-user show --query userPrincipalName --output tsv)
export CURRENT_USER_OBJECTID=$(az ad signed-in-user show --query id --output tsv)

Substitua os placeholders pelos seguintes valores, que são usados ao longo deste artigo.

• <YOUR_RESOURCE_GROUP>: O nome do grupo de recursos para os teus recursos.
• <YOUR_DATABASE_SERVER_NAME>: O nome do seu servidor do Banco de Dados SQL do Azure. Deve ser único em todo o Azure.

1) Configurar o Banco de Dados SQL do Azure

1.1) Ativar a autenticação baseada em ID do Microsoft Entra

Para usar o acesso ao Microsoft Entra ID com o Base de Dados SQL do Azure, defina primeiro o utilizador administrador do Microsoft Entra. Só um utilizador administrador da Microsoft Entra pode criar ou habilitar utilizadores para autenticação baseada no Microsoft Entra ID.

Se estiver a usar CLI do Azure, execute o seguinte comando para garantir que tem permissão suficiente:

az login --scope https://graph.microsoft.com/.default

Depois, execute o seguinte comando para definir o administrador do Microsoft Entra:

az sql server ad-admin create \
    --resource-group $AZ_RESOURCE_GROUP \
    --server $AZ_DATABASE_SERVER_NAME \
    --display-name $CURRENT_USERNAME \
    --object-id $CURRENT_USER_OBJECTID

Este comando define o administrador da Microsoft Entra para o utilizador com sessão iniciada.

2) Migre o código do aplicativo para usar conexões sem senha

Em seguida, use as etapas a seguir para atualizar seu código para usar conexões sem senha. Embora conceitualmente semelhante, cada linguagem usa detalhes de implementação diferentes.

3) Configurar o ambiente de hospedagem do Azure

Depois de configurares a tua aplicação para usar ligações sem palavra-passe, o mesmo código pode autenticar-se nos serviços do Azure depois de o implementares no Azure. Por exemplo, um aplicativo implantado em uma instância do Serviço de Aplicativo do Azure que tenha uma identidade gerenciada atribuída pode se conectar ao Armazenamento do Azure.

Nesta secção, executa dois passos para permitir que a sua aplicação corra num ambiente de alojamento Azure de forma sem palavra-passe:

• Atribua a identidade gerenciada para seu ambiente de hospedagem do Azure.
• Atribua funções à identidade gerenciada.

Atribuir a identidade gerenciada usando o portal do Azure

As etapas a seguir mostram como atribuir uma identidade gerenciada atribuída ao sistema para vários serviços de hospedagem na Web. A identidade gerida pode ligar-se de forma segura a outros serviços do Azure usando as configurações da aplicação que configurou anteriormente.

Você também pode atribuir identidade gerenciada em um ambiente de hospedagem do Azure usando a CLI do Azure.

export AZ_MI_OBJECT_ID=$(az webapp identity assign \
    --resource-group $AZ_RESOURCE_GROUP \
    --name <service-instance-name> \
    --query principalId \
    --output tsv)

az extension add --name serviceconnector-passwordless --upgrade

az webapp connection create sql \
    --resource-group $AZ_RESOURCE_GROUP \
    --name <app-service-name>
    --target-resource-group $AZ_RESOURCE_GROUP \
    --server $AZ_DATABASE_SERVER_NAME \
    --database $AZ_DATABASE_NAME \
    --system-identity

az spring connection create sql \
    --resource-group $AZ_RESOURCE_GROUP \
    --service <service-name> \
    --app <service-instance-name> \
    --target-resource-group $AZ_RESOURCE_GROUP \
    --server $AZ_DATABASE_SERVER_NAME \
    --database $AZ_DATABASE_NAME \
    --system-identity

az containerapp connection create sql \
    --resource-group $AZ_RESOURCE_GROUP \
    --name <app-service-name>
    --target-resource-group $AZ_RESOURCE_GROUP \
    --server $AZ_DATABASE_SERVER_NAME \
    --database $AZ_DATABASE_NAME \
    --system-identity

export AZ_MI_OBJECT_ID=$(az containerapp identity assign \
    --resource-group $AZ_RESOURCE_GROUP \
    --name <service-instance-name> \
    --query principalId \
    --output tsv)

export AZ_MI_OBJECT_ID=$(az spring app identity assign \
    --resource-group $AZ_RESOURCE_GROUP \
    --name <service-instance-name> \
    --service <service-name> \
    --query identity.principalId \
    --output tsv)

export AZ_MI_OBJECT_ID=$(az vm identity assign \
    --resource-group $AZ_RESOURCE_GROUP \
    --name <service-instance-name> \
    --query principalId \
    --output tsv)

export AZ_MI_OBJECT_ID=$(az aks update \
    --resource-group $AZ_RESOURCE_GROUP \
    --name <AKS-cluster-name> \
    --enable-managed-identity \
    --query identityProfile.kubeletidentity.objectId \
    --output tsv)

Atribuir funções à identidade gerenciada

Em seguida, conceda permissões à identidade gerenciada que você criou para acessar seu banco de dados SQL.

export AZ_DATABASE_AD_MI_USERNAME=$(az ad sp show \
    --id $AZ_MI_OBJECT_ID \
    --query displayName \
    --output tsv)
cat << EOF
CREATE USER "$AZ_DATABASE_AD_MI_USERNAME" FROM EXTERNAL PROVIDER;
ALTER ROLE db_datareader ADD MEMBER "$AZ_DATABASE_AD_MI_USERNAME";
ALTER ROLE db_datawriter ADD MEMBER "$AZ_DATABASE_AD_MI_USERNAME";
GO
EOF

Testar a aplicação

Depois de fazer essas alterações de código, você pode criar e reimplantar o aplicativo. Em seguida, navegue até o aplicativo hospedado no navegador. Seu aplicativo deve ser capaz de se conectar ao banco de dados SQL do Azure com êxito. Pode demorar vários minutos até que as atribuições de funções se propaguem pelo teu ambiente Azure. Seu aplicativo agora está configurado para ser executado localmente e em um ambiente de produção sem que os desenvolvedores tenham que gerenciar segredos no próprio aplicativo.

Próximos passos

Neste tutorial, você aprendeu como migrar um aplicativo para conexões sem senha.

Para explorar os conceitos discutidos neste artigo com mais profundidade, consulte os seguintes recursos:

• Autorize o acesso a dados de blob com identidades gerenciadas para recursos do Azure.
• Autorizar o acesso a blobs usando o Microsoft Entra ID