App Service 및 Azure Functions에 관리 ID 사용

1. Azure Portal에서 앱의 페이지로 이동합니다.

2. 왼쪽 메뉴에서 설정>ID를 선택합니다.

3. 시스템 할당 탭에서 상태를 켜기로 바꿉니다. 그런 다음 저장을 선택합니다.

az webapp identity assign 명령을 실행합니다.

az webapp identity assign --resource-group <group-name> --name <app-name> 

App Service의 경우

Set-AzWebApp -AssignIdentity 명령을 실행합니다.

Set-AzWebApp -AssignIdentity $true -ResourceGroupName <group-name>  -Name <app-name>

함수의 경우

Update-AzFunctionApp -IdentityType 명령을 실행합니다.

Update-AzFunctionApp -ResourceGroupName <group-name> -Name <function-app-name>  -IdentityType SystemAssigned

Azure Resource Manager 템플릿을 사용하여 Azure 리소스 배포를 자동화할 수 있습니다. 자세한 내용은 App Service에서 리소스 배포 자동화 및 Azure Functions의 리소스 배포 자동화를 참조하세요.

리소스 정의에 다음 속성을 포함하여 ID를 사용하여 형식 Microsoft.Web/sites 의 리소스를 만들 수 있습니다.

"identity": {
    "type": "SystemAssigned"
}

시스템 할당 형식을 추가하면 애플리케이션에 대한 ID를 만들어서 관리하라고 Azure에 알려주는 것입니다.

예를 들어 웹앱의 템플릿은 다음 JSON과 같을 수 있습니다.

{
    "apiVersion": "2022-03-01",
    "type": "Microsoft.Web/sites",
    "name": "[variables('appName')]",
    "___location": "[resourceGroup().___location]",
    "identity": {
        "type": "SystemAssigned"
    },
    "properties": {
        "name": "[variables('appName')]",
        "serverFarmId": "[resourceId('Microsoft.Web/serverfarms', variables('hostingPlanName'))]",
        "hostingEnvironment": "",
        "clientAffinityEnabled": false,
        "alwaysOn": true
    },
    "dependsOn": [
        "[resourceId('Microsoft.Web/serverfarms', variables('hostingPlanName'))]"
    ]
}

사이트가 만들어지면 다음 속성이 포함됩니다.

"identity": {
    "type": "SystemAssigned",
    "tenantId": "<tenant-id>",
    "principalId": "<principal-id>"
}

이 속성은 tenantId ID가 속한 Microsoft Entra 테넌트에 대해 식별합니다. 이 principalId 속성은 애플리케이션의 새 ID에 대한 고유 식별자입니다. Microsoft Entra ID에서 서비스 주체는 App Service 또는 Azure Functions 인스턴스에 지정한 이름과 동일합니다.

템플릿의 이후 단계에서 이러한 속성을 참조해야 하는 경우 이 예제와 같이 옵션과 함께 reference().

{
    "tenantId": "[reference(resourceId('Microsoft.Web/sites', variables('appName')), '2018-02-01', 'Full').identity.tenantId]",
    "objectId": "[reference(resourceId('Microsoft.Web/sites', variables('appName')), '2018-02-01', 'Full').identity.principalId]",
}

1. 이러한 지침에 따라 사용자 할당 관리 ID 리소스를 만듭니다.

2. 앱 페이지의 왼쪽 메뉴에서 설정>ID를 선택합니다.

3. 할당된 사용자를 선택한 다음, 추가를 선택합니다.

4. 이전에 만든 ID를 검색하고 선택한 다음 추가를 선택합니다.

이러한 단계를 완료하면 앱이 다시 시작됩니다.

1. 사용자 할당 ID를 만듭니다.

   az identity create --resource-group <group-name> --name <identity-name>
   

2. az webapp identity assign 명령을 실행하여 앱에 ID를 할당합니다.

   az webapp identity assign --resource-group <group-name> --name <app-name> --identities <identity-id>
   

App Service의 경우

Azure PowerShell을 사용하여 App Service에서 사용자 할당 ID를 추가하는 것은 현재 지원되지 않습니다.

함수의 경우

1. 사용자 할당 ID를 만듭니다.

   Install-Module -Name Az.ManagedServiceIdentity -AllowPrerelease
   $userAssignedIdentity = New-AzUserAssignedIdentity -Name <identity-name> -ResourceGroupName <group-name> -Location <region>
   

2. Update-AzFunctionApp -IdentityType UserAssigned -IdentityId 명령을 실행하여 함수에 ID를 할당합니다.

   Update-AzFunctionApp -Name <app-name> -ResourceGroupName <group-name> -IdentityType UserAssigned -IdentityId $userAssignedIdentity.Id
   

Azure Resource Manager 템플릿을 사용하여 Azure 리소스 배포를 자동화할 수 있습니다. 자세한 내용은 App Service에서 리소스 배포 자동화 및 Azure Functions의 리소스 배포 자동화를 참조하세요.

리소스 정의에 다음 블록을 포함하여 ID를 사용하여 형식 Microsoft.Web/sites 의 리소스를 만들 수 있습니다. <resource-id>를 원하는 아이덴티티의 리소스 ID로 교체합니다.

"identity": {
    "type": "UserAssigned",
    "userAssignedIdentities": {
        "<resource-id>": {}
    }
}

사용자 할당 형식을 추가하면 애플리케이션에 대해 지정한 사용자 할당 ID를 사용하도록 Azure에 지시합니다.

예를 들어 웹앱의 템플릿은 다음 JSON과 같을 수 있습니다.

{
    "apiVersion": "2022-03-01",
    "type": "Microsoft.Web/sites",
    "name": "[variables('appName')]",
    "___location": "[resourceGroup().___location]",
    "identity": {
        "type": "UserAssigned",
        "userAssignedIdentities": {
            "[resourceId('Microsoft.ManagedIdentity/userAssignedIdentities', variables('identityName'))]": {}
        }
    },
    "properties": {
        "name": "[variables('appName')]",
        "serverFarmId": "[resourceId('Microsoft.Web/serverfarms', variables('hostingPlanName'))]",
        "hostingEnvironment": "",
        "clientAffinityEnabled": false,
        "alwaysOn": true
    },
    "dependsOn": [
        "[resourceId('Microsoft.Web/serverfarms', variables('hostingPlanName'))]",
        "[resourceId('Microsoft.ManagedIdentity/userAssignedIdentities', variables('identityName'))]"
    ]
}

사이트가 만들어지면 다음 속성이 포함됩니다.

"identity": {
    "type": "UserAssigned",
    "userAssignedIdentities": {
        "<resource-id>": {
            "principalId": "<principal-id>",
            "clientId": "<client-id>"
        }
    }
}

principalId 속성은 Microsoft Entra 관리에 사용되는 ID의 고유 식별자입니다. 이 clientId 속성은 애플리케이션의 새 ID에 대한 고유 식별자입니다. 런타임 호출 중에 사용할 ID를 지정하는 데 사용합니다.

원시 HTTP GET 요청은 제공된 두 환경 변수를 사용하며 다음 예제와 같습니다.

GET /MSI/token?resource=https://vault.azure.net&api-version=2019-08-01 HTTP/1.1
Host: <ip-address-:-port-in-IDENTITY_ENDPOINT>
X-IDENTITY-HEADER: <value-of-IDENTITY_HEADER>

샘플 응답은 다음 예제와 같을 수 있습니다.

HTTP/1.1 200 OK
Content-Type: application/json

{
    "access_token": "eyJ0eXAi…",
    "expires_on": "1586984735",
    "resource": "https://vault.azure.net",
    "token_type": "Bearer",
    "client_id": "00001111-aaaa-2222-bbbb-3333cccc4444"
}

이 응답은 Microsoft Entra 서비스 간 액세스 토큰 요청에 대한 응답과 동일합니다. Key Vault에 액세스하려면 자격 증명 모음을 사용하여 클라이언트 연결에 access_token 값을 추가합니다.

.NET 앱 및 함수의 경우 .NET용 Azure ID 클라이언트 라이브러리를 통해 관리 ID를 사용하는 것이 가장 간단한 방법입니다. 자세한 내용은 자습서: 관리 ID를 사용하여 비밀 없이 App Service에서 Azure 데이터베이스에 연결합니다.

자세한 내용은 클라이언트 라이브러리의 해당 설명서 제목을 참조하세요.

• 프로젝트에 Azure ID 클라이언트 라이브러리 추가
• 시스템 할당 ID를 사용하여 Azure 서비스에 액세스
• 사용자 할당 ID를 사용하여 Azure 서비스에 액세스

연결된 예제에서는 DefaultAzureCredential을 사용합니다. 관리 ID가 있는 Azure와 관리 ID가 없는 로컬 머신에서도 동일한 패턴이 작동합니다.

Node.js 앱 및 JavaScript 함수의 경우 JavaScript용 Azure ID 클라이언트 라이브러리를 통해 관리 ID를 사용하는 것이 가장 간단한 방법입니다. 자세한 내용은 자습서: 관리 ID를 사용하여 비밀 없이 App Service에서 Azure 데이터베이스에 연결합니다.

자세한 내용은 클라이언트 라이브러리의 해당 설명서 제목을 참조하세요.

• 프로젝트에 Azure ID 클라이언트 라이브러리 추가
• 시스템 할당 ID를 사용하여 Azure 서비스에 액세스
• 사용자 할당 ID를 사용하여 Azure 서비스에 액세스

연결된 예제에서는 DefaultAzureCredential을 사용합니다. 관리 ID가 있는 Azure와 관리 ID가 없는 로컬 머신에서도 동일한 패턴이 작동합니다.

JavaScript용 Azure ID 클라이언트 라이브러리의 코드 예제에 대한 자세한 내용은 Azure ID 예제를 참조하세요.

Python 앱 및 함수의 경우 Python용 Azure ID 클라이언트 라이브러리를 통해 관리 ID를 사용하는 것이 가장 간단한 방법입니다. 자세한 내용은 자습서: 관리 ID를 사용하여 비밀 없이 App Service에서 Azure 데이터베이스에 연결합니다.

자세한 내용은 클라이언트 라이브러리의 해당 설명서 제목을 참조하세요.

• 프로젝트에 Azure ID 클라이언트 라이브러리 추가
• 시스템 할당 ID를 사용하여 Azure 서비스에 액세스
• 사용자 할당 ID를 사용하여 Azure 서비스에 액세스

연결된 예제에서는 DefaultAzureCredential을 사용합니다. 관리 ID가 있는 Azure와 관리 ID가 없는 로컬 머신에서도 동일한 패턴이 작동합니다.

Java 앱 및 함수의 경우 Java용 Azure ID 클라이언트 라이브러리를 통해 관리 ID를 사용하는 것이 가장 간단한 방법입니다. 자세한 내용은 자습서: 관리 ID를 사용하여 비밀 없이 App Service에서 Azure 데이터베이스에 연결합니다.

자세한 내용은 클라이언트 라이브러리의 해당 설명서 제목을 참조하세요.

• 프로젝트에 Azure ID 클라이언트 라이브러리 추가
• 시스템 할당 ID를 사용하여 Azure 서비스에 액세스
• 사용자 할당 ID를 사용하여 Azure 서비스에 액세스

연결된 예제에서는 DefaultAzureCredential을 사용합니다. 관리 ID가 있는 Azure와 관리 ID가 없는 로컬 머신에서도 동일한 패턴이 작동합니다.

Java용 Azure ID 클라이언트 라이브러리의 코드 예제는 Azure ID 예제를 참조하세요.

다음 스크립트를 사용하여 Azure 서비스의 리소스 URI를 지정하여 로컬 엔드포인트에서 토큰을 검색합니다.

$resourceURI = "https://<Entra-resource-URI-for-resource-to-obtain-token>"
$tokenAuthURI = $env:IDENTITY_ENDPOINT + "?resource=$resourceURI&api-version=2019-08-01"
$tokenResponse = Invoke-RestMethod -Method Get -Headers @{"X-IDENTITY-HEADER"="$env:IDENTITY_HEADER"} -Uri $tokenAuthURI
$accessToken = $tokenResponse.access_token

1. 앱 페이지의 왼쪽 메뉴에서 설정>ID를 선택합니다.

2. ID 유형에 따라 단계를 수행합니다.

   • 시스템 할당 ID의 경우: 시스템 할당 탭에서 상태를해제로 전환합니다. 그런 다음 저장을 선택합니다.
   • 사용자 할당 ID의 경우: 사용자 할당 탭을 선택하고 ID에 대한 확인란을 선택한 다음 제거를 선택합니다. 예를 선택하여 확인합니다.

시스템 할당 ID를 제거하려면 다음 명령을 사용합니다.

az webapp identity remove --resource-group <group-name> --name <app-name>

하나 이상의 사용자 할당 ID를 제거하려면 다음 명령을 사용합니다.

az webapp identity remove --resource-group <group-name> --name <app-name> --identities <identity-id1> <identity-id2> ...

[system]를 --identities에 지정하여 시스템에서 할당된 ID를 제거할 수도 있습니다.

App Service의 경우

App Service에 대한 시스템 할당 ID를 제거하려면 다음 명령을 실행합니다 Set-AzWebApp -AssignIdentity .

Set-AzWebApp -AssignIdentity $false -Name <app-name> -ResourceGroupName <group-name> 

함수의 경우

Azure PowerShell에서 모든 ID를 제거하려면(Azure Functions에만 해당) 다음 명령을 실행합니다.

# Update an existing function app to have IdentityType "None".
Update-AzFunctionApp -Name <function-app-name> -ResourceGroupName <group-name> -IdentityType None

ARM 템플릿에서 모든 ID를 제거하려면 다음 코드를 사용합니다.

"identity": {
    "type": "None"
}