Khi xây dựng một ứng dụng web trên Azure App Service, làm thế nào để bạn cấu hình và sử dụng tính năng Managed Identity nhằm kết nối an toàn với Azure SQL Database mà không cần lưu trữ thông tin tên đăng nhập và mật khẩu trong tệp cấu hình appsettings.json?

Question

Accepted Answer

Tổng quan về Managed Identity Managed Identity là một tính năng bảo mật quan trọng trong Azure, cho phép các tài nguyên Azure (như Azure App Service) xác thực với các dịch vụ hỗ trợ Azure AD (như Azure SQL Database, Azure Key Vault) mà không cần nhà phát triển phải quản lý hay lưu trữ thông tin xác thực (credentials) trong mã nguồn hoặc tệp cấu hình. Phân loại Managed Identity System-assigned Managed Identity: Được gắn trực tiếp với vòng đời của tài nguyên Azure (Azure App Service). Khi App Service bị xóa, identity cũng sẽ tự động bị xóa theo. User-assigned Managed Identity: Được tạo như một tài nguyên Azure độc lập và có thể gán cho một hoặc nhiều dịch vụ Azure khác nhau. Các bước cấu hình và tích hợp thực tế Bước 1: Bật Managed Identity trên Azure App Service Bạn có thể bật System-assigned Managed Identity thông qua Azure Portal hoặc Azure CLI: az webapp identity assign --name --resource-group Sau khi bật, Azure sẽ tạo một Service Principal trong Azure Active Directory đại diện cho ứng dụng này. Bước 2: Cấu hình quyền truy cập trên Azure SQL Database Vì Azure SQL Database hỗ trợ xác thực bằng Azure Active Directory, bạn cần gán quyền cho Managed Identity của App Service bên trong cơ sở dữ liệu. Kết nối vào Azure SQL Database bằng tài khoản quản trị viên (Azure AD Admin) và chạy các lệnh SQL sau: -- Tạo người dùng đại diện cho Managed Identity của App Service CREATE USER [] FROM EXTERNAL PROVIDER; -- Gán quyền đọc/ghi dữ liệu cho người dùng này ALTER ROLE db_datareader ADD MEMBER []; ALTER ROLE db_datawriter ADD MEMBER []; Bước 3: Cấu hình chuỗi kết nối trong ứng dụng Trong mã nguồn ứng dụng (ví dụ: .NET Core Entity Framework Core), chuỗi kết nối (Connection String) không còn chứa thông tin User ID và Password nữa, mà thay vào đó sử dụng Access Token được cấp phát tự động hoặc cấu hình xác thực qua Azure AD. Ví dụ sử dụng thư viện Microsoft.Data.SqlClient với Azure.Identity: using Microsoft.Data.SqlClient; using Azure.Identity; var connectionString = "Server=tcp:your-server.database.windows.net,1433;Database=your-db;"; var conn = new SqlConnection(connectionString); // Sử dụng DefaultAzureCredential để tự động lấy token từ môi trường Azure App Service conn.AccessToken = new DefaultAzureCredential() .GetToken(new Azure.Core.TokenRequestContext(new[] { "https://database.windows.net//.default" })) .Token; conn.Open(); Lưu ý kinh nghiệm thực chiến dành cho Junior Bảo mật tuyệt đối: Tuyệt đối không lưu trữ thông tin nhạy cảm trong appsettings.json, biến môi trường dạng plaintext nếu có thể dùng Managed Identity. Local Development: Khi chạy ứng dụng trên máy cá nhân (Local), DefaultAzureCredential sẽ tự động chuyển sang sử dụng tài khoản đăng nhập của bạn trên Visual Studio hoặc Azure CLI, giúp việc phát triển và kiểm thử diễn ra mượt mà mà không cần thay đổi code. Troubleshooting: Nếu gặp lỗi kết nối (ví dụ: SqlException liên quan đến đăng nhập), hãy kiểm tra xem tên của App Service đã được tạo chính xác trong Azure SQL Database bằng lệnh SELECT * FROM sys.database_principals hay chưa.

Tổng quan về Managed Identity

Làm Chủ Phỏng Vấn & Nâng Cao Trình Độ Chuyên Nghiệp

Tải Tuyển Tập 100+ Câu Hỏi Phỏng Vấn Chuyên Sâu (PDF)

Cần Mentor Phỏng Vấn Thử 1-1 & Tối Ưu CV?

Kiểm Tra CV Chuẩn ATS Miễn Phí

Câu hỏi azure liên quan cùng chủ đề