Azure Service Principal

Azure üzerinde çalışma gerçekleştiren hemen hemen herkesin karşılaştığı veya karşılaşacağı, bu sebeple de iyi bilinmesi gerektiğine inandığım kavramlardan birisi olan Service Principal’ı bu makale ile sizlere anlatıyor olacağım.

Azure Service Principal Nedir ?

Azure, hizmet hesabı olan bir “Service Principal” kavramına sahiptir. Windows ve Linux işletim sistemlerinde bu kavram bir service account’ a denk düşmektedir. Bu hesaplar genellikle zamanlanmış belirli bir görevi, web application havuzunu veya SQL Server servisini çalıştırmak için kullanılırlar.

Azure Service Principal, kullanıcılar tarafından oluşturulmuş uygulamalar, servisler ve otomasyon araçları tarafında belirli bir Azure kaynağına erişmek için oluşturulmuş bir güvenlik kimliğidir. Bu kapsamda Azure kaynağı içinde gerçekleştirelecek işlemler için yeterli izin ve kapsamı sağlamanıza izin vermektedir. Görevleri çalıştırmak için minimum yetkilendirme ilkesine sahip olduğu için, gerçekleştirelecek görevlerde kendi hesabınızı kullanmamanız önemlidir. Service Principal bu sayede güvenlik düzeyinide arttırmanızı sağlamış olmaktadır.

Örneğin; Azure portalı hiç kullanmadan bir sanal makinanın veya bir servisin pricing tier’ ını bir uygulama ve minimum yetkilendirme ile değiştirebilirsiniz. Bu gibi durumlarda da service principal’ a ihtiyacınız olacaktır.

Azure Service Principal gereksinim duyulan sayıda uygulama ve servis için oluşturulabilir.

Azure Service Principal’ ı Nasıl Oluşturabilirim ?

Azure Service Principal oluşturmak için Azure portal, AzureAD ve Azure modulleri ile powershell’ den yararlanabilirsiniz. Bu makalede service principal’ ın Azure portal üzerinden nasıl oluşturulduğunu göreceğiz.

Azure AD tenant’ ınız üzerinde uygulamanızın service principal’ ını oluştururak kaydetmek için Azure hesabınız ile Azure portala giriş yapınız.

Azure Active Directory üzerinden App registirations >> New registration seçeneğini seçerek ilerleyiniz.

Açılan register sayfasında application adını giriniz ve desteklenen hesap türünü seçiniz. Redirect URI altında application türünü Web olarak seçiniz. (Uygulamanız için tanımlı bir redirect URI girmeniz gerekiyorsa bu kısımı doldurabilirsiniz.)

Application kaydı tamamladıktan sonra uygulama detaylarını Overview pencerisinden görebilirsiniz. Application kodunuzda kullanmak üzere Application ID (Client ID) bilgisini ayrı bir yere kopyalayınız.

Client secret oluşturmak için Certificates & Secrets sayfasında New client secret seçeneğini seçerek ilerleyiniz.

Client secret’ı tanımlama ve sona erme süresi bilgilerini doldurarak ekleyiniz.

Oluşacak client secret değerini kopyalarak başka bir alana kaydediniz. Bu değeri oluştuktan sonra kopyalamadığınız takdirde bir daha geri getiremeyeceksiniz. Oluşturulan secret application id ile birlikte service principal’ ın uygulamada oturum açma işlemini sağlar.

Uygulamanın Azure aboneliğiniz altındaki kaynaklara, service principal’ ı kullanarak erişmesini sağlamak istiyorsanız belirli bir kaynak veya abonelik üzerinde service principal’a izin tanımlamanız gerekmektedir.

Belirli bir kaynak üzerinde service principal yetkilendirmesini gerçekleştirmek için Resources Groups içerisinden ilgili kaynak grubunu seçiniz.

Seçtiğiniz kaynak grubu altından Access Control (IAM) >> Role Assigment seçenekleri üzerinden ekle diyerek oluşturduğunuz service principal’ ı seçip izin tanımlamasını gerçekleştiriniz.

About Emre MACUN

Sr. Cloud Consultant Bulut ve Yazılım Çözümleri
● Data Market Bilgi Hizmetleri A.Ş.

View all posts by Emre MACUN

What is Cognitive Services?

App Service Container App

In this article, I will try to explain Azure Service Principal which is one of the concepts I believe should be known well.

What is Azure Service Principal?

Azure has “Service Principal” concept with a service account. This concept equals to a service account in Windows and Linux operating systems. These accounts generally use to run a particular task, web application pool or SQL Server service.

Azure Service Principal is a security identity created to access a specific Azure resource by user-created applications, services and automation tools. In this context, it allows you to provide sufficient permission and scope for the transactions to be performed within Azure source. Because It has the minimum principle of authorization to run tasks, that is important you should not use your own account to performed the tasks. In this way, Service Principal allows you to increase level of security.

For example; You can change pricing tier of a virtual machine or a service using an application with minimum authorization without using Azure portal. You will need service principal in such cases.

You can create Service Principal for as many application and services as needed.

How can create Azure Service Principal ?

You can use Azure portal, powershell with AzureAD and Azure modules to create Azure Service Principal. In this article, we will see how create service principal on Azure portal.

You should sign in to Azure portal using your Azure account to create service principal of your application on your Azure AD tenant.

Select App registirations >> New registration on Azure Active Directory.

Create the name of application and select the supported account type. Then choose the type of application as a web under Redirect URI. ( If your application needs defined redirect URI, you can fill out this section.)

You can see application details after registiration of application on Overview page. Copy the Application ID (Client ID) information somewhere to use later.

Select New client secret in Certificates & Secrets page to create client secret.

Select Add after fill out defination and date of expiration information of client secret.

Copy the created secret value somewhere to use later. If you do not copy this value, you will never retrieve it. It provides to service principal’s login the application with created secret application id.

If you want to allow the application access resources under Azure subscription using service principal, you must define permission to service principal under particular resource or subscription.

Select related resource group in Resources Groups to define authorization of service principal on particular resource.

Select Access Control (IAM) >> Role Assigment under chosen resource group. Then select Add and choose your service principal to assign a role