Använda hanterade identiteter med Azure Service Bus

Hanterade identiteter för Azure-resurser ger Azure-tjänster en automatiskt hanterad identitet i Microsoft Entra ID. Du kan använda den här identiteten för att autentisera till Azure Service Bus utan att lagra autentiseringsuppgifter i koden.

Den här artikeln beskriver hur du aktiverar en hanterad identitet, tilldelar lämplig Service Bus-roll och ansluter till Service Bus från programkoden.

Förutsättningar

Om du vill använda hanterade identiteter med Azure Service Bus behöver du:

• Ett Azure-abonnemang. Om du inte har ett konto kan du skapa ett kostnadsfritt konto innan du börjar.
• Ett Azure Service Bus-namnområde. Information om hur du skapar en finns i Skapa ett Service Bus-namnområde.
• En hanterad identitet aktiverad på din Azure-beräkningsresurs. Se:
  • Konfigurera hanterade identiteter för App Service och Azure Functions
  • Konfigurera hanterade identiteter för Azure-resurser på en virtuell dator (VM)

Tilldela en Service Bus-roll till den hanterade identiteten

Microsoft Entra auktoriserar åtkomst till skyddade resurser via rollbaserad åtkomstkontroll i Azure (RBAC). Azure Service Bus tillhandahåller inbyggda Azure-roller som omfattar vanliga uppsättningar med behörigheter som används för att komma åt Service Bus-entiteter. Du kan också definiera anpassade roller.

I följande tabell visas de inbyggda Azure-rollerna för att auktorisera åtkomst till ett Service Bus-namnområde:

Tilldela en roll i Azure-portalen

Så här tilldelar du en roll till en hanterad identitet i Azure-portalen:

1. Gå till ditt Service Bus-namnområde, din kö eller ditt ämne.
2. Välj Åtkomstkontroll (IAM) från den vänstra menyn.
3. Välj Lägg till>Lägg till rolltilldelning.
4. På fliken Roll väljer du lämplig Service Bus-dataroll.
5. På fliken Medlemmar väljer du Hanterad identitet och sedan Välj medlemmar.
6. Välj den hanterade identiteten för din Azure-resurs.
7. Välj Granska + tilldela.

Mer information finns i Tilldela Azure-roller med hjälp av Azure-portalen.

Välj resursomfång

Innan du tilldelar en Azure-roll ska du fastställa den åtkomstomfattning som den hanterade identiteten behöver. Bevilja endast det minsta möjliga omfånget.

I följande lista beskrivs de nivåer där du kan begränsa åtkomsten till Service Bus-resurser, med början med det smalaste omfånget:

• Kö, ämne eller prenumeration: Rolltilldelning gäller för den specifika Service Bus-entiteten.

• Service Bus-namnområde: Rolltilldelningen sträcker sig över hela topologin för Service Bus under namnområdet.

• Resursgrupp: Rolltilldelning gäller för alla Service Bus-resurser under resursgruppen.

• Prenumeration: Rolltilldelning gäller för alla Service Bus-resurser i alla resursgrupper i prenumerationen.

  Kommentar

  Det kan ta upp till fem minuter att sprida Azure-rolltilldelningar.

Tilldela en roll genom Azure CLI

Azure-portalen stöder inte tilldelning av hanterade identiteter till Service Bus-roller på ämnesprenumerationsnivå. Använd kommandot Azure CLI az role assignment create för att tilldela en roll i valfritt omfång:

az role assignment create \
    --role $service_bus_role \
    --assignee $assignee_id \
    --scope /subscriptions/$subscription_id/resourceGroups/$resource_group/providers/Microsoft.ServiceBus/namespaces/$service_bus_namespace/topics/$service_bus_topic/subscriptions/$service_bus_subscription

Mer information om hur inbyggda roller definieras finns i Förstå rolldefinitioner. Information om hur du skapar anpassade Azure-roller finns i Anpassade Azure-roller.

Ansluta till Service Bus med hanterad identitet i Azure SDK:er

Azure SDK:er för .NET, Java, JavaScript och Python stöder hanterad identitetsautentisering med Service Bus. I följande exempel visas hur du ansluter med .NET SDK.

I .NET initieras ServiceBusClient-objektet med hjälp av en konstruktor som tar ett fullständigt kvalificerat namnområde och en TokenCredential. DefaultAzureCredential Härleds från TokenCredential, som automatiskt använder den hanterade identitet som konfigurerats för appen. Flödet av den hanterade identitetskontexten till Service Bus och handskakningen för auktorisering hanteras automatiskt av tokenautentiseringsuppgifterna. Det är en enklare modell än att använda SAS.

var client = new ServiceBusClient("contoso.servicebus.windows.net", new DefaultAzureCredential());

Du skickar och tar emot meddelanden som vanligt med hjälp av ServiceBusSender och ServiceBusReceiver eller ServiceBusProcessor.

Stegvisa instruktioner för att skicka och ta emot meddelanden med hjälp av en hanterad identitet finns i följande snabbstarter. Dessa snabbstarter har koden för att använda tjänstens huvudnamn för att skicka och ta emot meddelanden, men koden är densamma för att använda en hanterad identitet.

• .NET
• Java
• JavaScript
• Python

Nästa steg

• Exempel: .NET-webbprogram med hanterad identitet med Service Bus
• Vad är hanterade identiteter för Azure-resurser?
• Inaktivera lokal autentisering för Service Bus