生成云應(yīng)用程序時需要應(yīng)對的常見挑戰(zhàn)是，如何管理代碼中用于云服務(wù)身份驗證的憑據(jù)。 保護(hù)這些憑據(jù)是一項重要任務(wù)。 理想情況下，這些憑據(jù)永遠(yuǎn)不會出現(xiàn)在開發(fā)者工作站上，也不會被簽入源代碼管理系統(tǒng)中。雖然 Azure Key Vault 可用于安全存儲憑據(jù)、機(jī)密以及其他密鑰，但代碼需要通過 Key Vault 的身份驗證才能檢索它們。

站在用戶的角度思考問題，與客戶深入溝通，找到劍閣網(wǎng)站設(shè)計與劍閣網(wǎng)站推廣的解決方案，憑借多年的經(jīng)驗，讓設(shè)計與互聯(lián)網(wǎng)技術(shù)結(jié)合，創(chuàng)造個性化、用戶體驗好的作品，建站類型包括：做網(wǎng)站、網(wǎng)站制作、企業(yè)官網(wǎng)、英文網(wǎng)站、手機(jī)端網(wǎng)站、網(wǎng)站推廣、域名與空間、網(wǎng)絡(luò)空間、企業(yè)郵箱。業(yè)務(wù)覆蓋劍閣地區(qū)。

Azure Active Directory (Azure AD) 中的 Azure 資源托管標(biāo)識功能可以解決此問題。 此功能為 Azure 服務(wù)提供了 Azure AD 中的自動托管標(biāo)識。 可以使用此標(biāo)識向支持 Azure AD 身份驗證的任何服務(wù)（包括 Key Vault）證明身份，無需在代碼中放入任何憑據(jù)。

Azure資源托管標(biāo)識的工作原理：

托管標(biāo)識分為兩種類型：

• 系統(tǒng)分配托管標(biāo)識直接在 Azure 服務(wù)實(shí)例上啟用。 啟用標(biāo)識后，Azure 將在實(shí)例的訂閱信任的 Azure AD 租戶中創(chuàng)建實(shí)例的標(biāo)識。創(chuàng)建標(biāo)識后，系統(tǒng)會將憑據(jù)預(yù)配到實(shí)例。 系統(tǒng)分配標(biāo)識的生命周期直接綁定到啟用它的 Azure 服務(wù)實(shí)例。 如果實(shí)例遭刪除，Azure 會自動清理 Azure AD 中的憑據(jù)和標(biāo)識。

• 用戶分配托管標(biāo)識是作為獨(dú)立的 Azure 資源創(chuàng)建的。 在創(chuàng)建過程中，Azure 會在由所用訂閱信任的 Azure AD 租戶中創(chuàng)建一個標(biāo)識。 在創(chuàng)建標(biāo)識后，可以將標(biāo)識分配到一個或多個 Azure 服務(wù)實(shí)例。 用戶分配標(biāo)識的生命周期與它所分配到的 Azure 服務(wù)實(shí)例的生命周期是分開管理的。

下圖演示了托管服務(wù)標(biāo)識如何與 Azure 虛擬機(jī) (VM) 協(xié)同工作：

系統(tǒng)分配托管標(biāo)識如何與 Azure VM 協(xié)同工作：

1. Azure 資源管理器收到請求，要求在 VM 上啟用系統(tǒng)分配托管標(biāo)識。

2. Azure 資源管理器在 Azure AD 中創(chuàng)建與 VM 標(biāo)識相對應(yīng)的服務(wù)主體。 服務(wù)主體在此訂閱信任的 Azure AD 租戶中創(chuàng)建。

3. Azure 資源管理器在 VM 上配置標(biāo)識：使用服務(wù)主體客戶端 ID 和證書更新 Azure 實(shí)例元數(shù)據(jù)服務(wù)標(biāo)識終結(jié)點(diǎn)。

4. VM 有了標(biāo)識以后，請根據(jù)服務(wù)主體信息向 VM 授予對 Azure 資源的訪問權(quán)限。 若要調(diào)用 Azure 資源管理器，請在 Azure AD 中使用基于角色的訪問控制 (RBAC) 向 VM 服務(wù)主體分配相應(yīng)的角色。 若要調(diào)用 Key Vault，請授予代碼對 Key Vault 中特定機(jī)密或密鑰的訪問權(quán)限。

5. 在 VM 上運(yùn)行的代碼可以從只能從 VM 中訪問的一個終結(jié)點(diǎn)請求令牌（另一個已經(jīng)棄用）：

• Azure 實(shí)例元數(shù)據(jù)服務(wù)標(biāo)識終結(jié)點(diǎn)（推薦）：http://169.254.169.254/metadata/identity/oauth3/token

•        resource 參數(shù)指定了要向其發(fā)送令牌的服務(wù)。 若要向 Azure 資源管理器進(jìn)行身份驗證，請使用 resource=https://management.azure.com/。

•        API 版本參數(shù)指定 IMDS 版本，請使用 api-version=2018-02-01 或更高版本。

6. 調(diào)用了 Azure AD，以便使用在步驟 3 中配置的客戶端 ID 和證書請求訪問令牌（在步驟 5 中指定）。 Azure AD 返回 JSON Web 令牌 (JWT) 訪問令牌。

7. 代碼在調(diào)用支持 Azure AD 身份驗證的服務(wù)時發(fā)送訪問令牌。

用戶分配托管標(biāo)識如何與 Azure VM 協(xié)同工作：

1. Azure 資源管理器收到請求，要求創(chuàng)建用戶分配托管標(biāo)識。

2. Azure 資源管理器在 Azure AD 中創(chuàng)建與用戶分配托管標(biāo)識相對應(yīng)的服務(wù)主體。服務(wù)主體在此訂閱信任的 Azure AD 租戶中創(chuàng)建。

3. Azure 資源管理器收到請求，要求在 VM 上配置用戶分配托管標(biāo)識：使用用戶分配托管標(biāo)識服務(wù)主體客戶端 ID 和證書更新 Azure 實(shí)例元數(shù)據(jù)服務(wù)標(biāo)識終結(jié)點(diǎn)。

4. 創(chuàng)建用戶分配托管標(biāo)識以后，請根據(jù)服務(wù)主體信息向標(biāo)識授予對 Azure 資源的訪問權(quán)限。 若要調(diào)用 Azure 資源管理器，請在 Azure AD 中使用 RBAC 向用戶分配標(biāo)識的服務(wù)主體分配相應(yīng)的角色。若要調(diào)用 Key Vault，請授予代碼對 Key Vault 中特定機(jī)密或密鑰的訪問權(quán)限。

5. 在 VM 上運(yùn)行的代碼可以從只能從 VM 中訪問的一個終結(jié)點(diǎn)請求令牌（另一個已經(jīng)棄用）：

• Azure 實(shí)例元數(shù)據(jù)服務(wù)標(biāo)識終結(jié)點(diǎn)（推薦）：http://169.254.169.254/metadata/identity/oauth3/token

• resource 參數(shù)指定了要向其發(fā)送令牌的服務(wù)。 若要向 Azure 資源管理器進(jìn)行身份驗證，請使用 resource=https://management.azure.com/。

• API 版本參數(shù)指定 IMDS 版本，請使用 api-version=2018-02-01 或更高版本。

6. 調(diào)用了 Azure AD，以便使用在步驟 3 中配置的客戶端 ID 和證書請求訪問令牌（在步驟 5 中指定）。 Azure AD 返回 JSON Web 令牌 (JWT) 訪問令牌。

7. 代碼在調(diào)用支持 Azure AD 身份驗證的服務(wù)時發(fā)送訪問令牌。

=============================================================================================

下面簡單介紹下如何使用啟用了系統(tǒng)分配的托管標(biāo)識的 Windows 虛擬機(jī)來訪問 Azure 資源管理器 API

在資源組下面點(diǎn)擊訪問控制，然后添加角色分配

選擇角色并將訪問權(quán)限分配到虛擬機(jī)

然后登錄該虛擬機(jī)，打開powershell，執(zhí)行如下命令。使用 Invoke-WebRequest cmdlet，向 Azure 資源終結(jié)點(diǎn)的本地托管標(biāo)識發(fā)出請求以獲取 Azure 資源管理器的訪問令牌。

$response = Invoke-WebRequest -Uri 'http://169.254.169.254/metadata/identity/oauth3/token?api-version=2018-02-01&resource=https://management.azure.com/' -Method GET -Headers @{Metadata="true"}

接下來，提取完整響應(yīng)，響應(yīng)以 JavaScript 對象表示法 (JSON) 格式字符串的形式存儲在 $response 對象中。

1. $content = $response.Content | ConvertFrom-Json

 

然后從響應(yīng)中提取訪問令牌。

1. $ArmToken = $content.access_token

 

最后，使用訪問令牌調(diào)用 Azure 資源管理器。 在此示例中，我們還使用 Invoke-WebRequest cmdlet 調(diào)用 Azure 資源管理器，并將訪問令牌包含在授權(quán)標(biāo)頭中。

(Invoke-WebRequest -Uri https://management.azure.com/subscriptions/<SUBSCRIPTION ID>/resourceGroups/<RESOURCE GROUP>?api-version=2016-06-01 -Method GET -ContentType "application/json" -Headers @{ Authorization ="Bearer $ArmToken"}).content

執(zhí)行命令后將顯示資源組的相關(guān)信息。

為了驗證權(quán)限，我們?nèi)フ埱髣e的資源組的信息，結(jié)果會提示你沒有權(quán)限去讀取。

名稱欄目：Azure資源托管標(biāo)識淺析和實(shí)踐
當(dāng)前網(wǎng)址：http://jinyejixie.com/article48/pgsihp.html

成都網(wǎng)站建設(shè)公司_創(chuàng)新互聯(lián)，為您提供、定制開發(fā)、外貿(mào)建站、搜索引擎優(yōu)化、做網(wǎng)站、域名注冊

廣告

聲明：本網(wǎng)站發(fā)布的內(nèi)容（圖片、視頻和文字）以用戶投稿、用戶轉(zhuǎn)載內(nèi)容為主，如果涉及侵權(quán)請盡快告知，我們將會在第一時間刪除。文章觀點(diǎn)不代表本網(wǎng)站立場，如需處理請聯(lián)系客服。電話：028-86922220；郵箱：631063699@qq.com。內(nèi)容未經(jīng)允許不得轉(zhuǎn)載，或轉(zhuǎn)載時需注明來源： 創(chuàng)新互聯(lián)