生成云應(yīng)用程序時(shí)需要應(yīng)對(duì)的常見(jiàn)挑戰(zhàn)是，如何管理代碼中用于云服務(wù)身份驗(yàn)證的憑據(jù)。 保護(hù)這些憑據(jù)是一項(xiàng)重要任務(wù)。 理想情況下，這些憑據(jù)永遠(yuǎn)不會(huì)出現(xiàn)在開(kāi)發(fā)者工作站上，也不會(huì)被簽入源代碼管理系統(tǒng)中。雖然 Azure Key Vault 可用于安全存儲(chǔ)憑據(jù)、機(jī)密以及其他密鑰，但代碼需要通過(guò) Key Vault 的身份驗(yàn)證才能檢索它們。

站在用戶(hù)的角度思考問(wèn)題，與客戶(hù)深入溝通，找到劍閣網(wǎng)站設(shè)計(jì)與劍閣網(wǎng)站推廣的解決方案，憑借多年的經(jīng)驗(yàn)，讓設(shè)計(jì)與互聯(lián)網(wǎng)技術(shù)結(jié)合，創(chuàng)造個(gè)性化、用戶(hù)體驗(yàn)好的作品，建站類(lèi)型包括：做網(wǎng)站、網(wǎng)站制作、企業(yè)官網(wǎng)、英文網(wǎng)站、手機(jī)端網(wǎng)站、網(wǎng)站推廣、域名與空間、網(wǎng)絡(luò)空間、企業(yè)郵箱。業(yè)務(wù)覆蓋劍閣地區(qū)。

Azure Active Directory (Azure AD) 中的 Azure 資源托管標(biāo)識(shí)功能可以解決此問(wèn)題。 此功能為 Azure 服務(wù)提供了 Azure AD 中的自動(dòng)托管標(biāo)識(shí)。 可以使用此標(biāo)識(shí)向支持 Azure AD 身份驗(yàn)證的任何服務(wù)（包括 Key Vault）證明身份，無(wú)需在代碼中放入任何憑據(jù)。

Azure資源托管標(biāo)識(shí)的工作原理：

托管標(biāo)識(shí)分為兩種類(lèi)型：

• 系統(tǒng)分配托管標(biāo)識(shí)直接在 Azure 服務(wù)實(shí)例上啟用。 啟用標(biāo)識(shí)后，Azure 將在實(shí)例的訂閱信任的 Azure AD 租戶(hù)中創(chuàng)建實(shí)例的標(biāo)識(shí)。創(chuàng)建標(biāo)識(shí)后，系統(tǒng)會(huì)將憑據(jù)預(yù)配到實(shí)例。 系統(tǒng)分配標(biāo)識(shí)的生命周期直接綁定到啟用它的 Azure 服務(wù)實(shí)例。 如果實(shí)例遭刪除，Azure 會(huì)自動(dòng)清理 Azure AD 中的憑據(jù)和標(biāo)識(shí)。

• 用戶(hù)分配托管標(biāo)識(shí)是作為獨(dú)立的 Azure 資源創(chuàng)建的。 在創(chuàng)建過(guò)程中，Azure 會(huì)在由所用訂閱信任的 Azure AD 租戶(hù)中創(chuàng)建一個(gè)標(biāo)識(shí)。 在創(chuàng)建標(biāo)識(shí)后，可以將標(biāo)識(shí)分配到一個(gè)或多個(gè) Azure 服務(wù)實(shí)例。 用戶(hù)分配標(biāo)識(shí)的生命周期與它所分配到的 Azure 服務(wù)實(shí)例的生命周期是分開(kāi)管理的。

下圖演示了托管服務(wù)標(biāo)識(shí)如何與 Azure 虛擬機(jī) (VM) 協(xié)同工作：

系統(tǒng)分配托管標(biāo)識(shí)如何與 Azure VM 協(xié)同工作：

1. Azure 資源管理器收到請(qǐng)求，要求在 VM 上啟用系統(tǒng)分配托管標(biāo)識(shí)。

2. Azure 資源管理器在 Azure AD 中創(chuàng)建與 VM 標(biāo)識(shí)相對(duì)應(yīng)的服務(wù)主體。 服務(wù)主體在此訂閱信任的 Azure AD 租戶(hù)中創(chuàng)建。

3. Azure 資源管理器在 VM 上配置標(biāo)識(shí)：使用服務(wù)主體客戶(hù)端 ID 和證書(shū)更新 Azure 實(shí)例元數(shù)據(jù)服務(wù)標(biāo)識(shí)終結(jié)點(diǎn)。

4. VM 有了標(biāo)識(shí)以后，請(qǐng)根據(jù)服務(wù)主體信息向 VM 授予對(duì) Azure 資源的訪(fǎng)問(wèn)權(quán)限。 若要調(diào)用 Azure 資源管理器，請(qǐng)?jiān)?Azure AD 中使用基于角色的訪(fǎng)問(wèn)控制 (RBAC) 向 VM 服務(wù)主體分配相應(yīng)的角色。 若要調(diào)用 Key Vault，請(qǐng)授予代碼對(duì) Key Vault 中特定機(jī)密或密鑰的訪(fǎng)問(wèn)權(quán)限。

5. 在 VM 上運(yùn)行的代碼可以從只能從 VM 中訪(fǎng)問(wèn)的一個(gè)終結(jié)點(diǎn)請(qǐng)求令牌（另一個(gè)已經(jīng)棄用）：

• Azure 實(shí)例元數(shù)據(jù)服務(wù)標(biāo)識(shí)終結(jié)點(diǎn)（推薦）：http://169.254.169.254/metadata/identity/oauth3/token

•        resource 參數(shù)指定了要向其發(fā)送令牌的服務(wù)。 若要向 Azure 資源管理器進(jìn)行身份驗(yàn)證，請(qǐng)使用 resource=https://management.azure.com/。

•        API 版本參數(shù)指定 IMDS 版本，請(qǐng)使用 api-version=2018-02-01 或更高版本。

6. 調(diào)用了 Azure AD，以便使用在步驟 3 中配置的客戶(hù)端 ID 和證書(shū)請(qǐng)求訪(fǎng)問(wèn)令牌（在步驟 5 中指定）。 Azure AD 返回 JSON Web 令牌 (JWT) 訪(fǎng)問(wèn)令牌。

7. 代碼在調(diào)用支持 Azure AD 身份驗(yàn)證的服務(wù)時(shí)發(fā)送訪(fǎng)問(wèn)令牌。

用戶(hù)分配托管標(biāo)識(shí)如何與 Azure VM 協(xié)同工作：

1. Azure 資源管理器收到請(qǐng)求，要求創(chuàng)建用戶(hù)分配托管標(biāo)識(shí)。

2. Azure 資源管理器在 Azure AD 中創(chuàng)建與用戶(hù)分配托管標(biāo)識(shí)相對(duì)應(yīng)的服務(wù)主體。服務(wù)主體在此訂閱信任的 Azure AD 租戶(hù)中創(chuàng)建。

3. Azure 資源管理器收到請(qǐng)求，要求在 VM 上配置用戶(hù)分配托管標(biāo)識(shí)：使用用戶(hù)分配托管標(biāo)識(shí)服務(wù)主體客戶(hù)端 ID 和證書(shū)更新 Azure 實(shí)例元數(shù)據(jù)服務(wù)標(biāo)識(shí)終結(jié)點(diǎn)。

4. 創(chuàng)建用戶(hù)分配托管標(biāo)識(shí)以后，請(qǐng)根據(jù)服務(wù)主體信息向標(biāo)識(shí)授予對(duì) Azure 資源的訪(fǎng)問(wèn)權(quán)限。 若要調(diào)用 Azure 資源管理器，請(qǐng)?jiān)?Azure AD 中使用 RBAC 向用戶(hù)分配標(biāo)識(shí)的服務(wù)主體分配相應(yīng)的角色。若要調(diào)用 Key Vault，請(qǐng)授予代碼對(duì) Key Vault 中特定機(jī)密或密鑰的訪(fǎng)問(wèn)權(quán)限。

5. 在 VM 上運(yùn)行的代碼可以從只能從 VM 中訪(fǎng)問(wèn)的一個(gè)終結(jié)點(diǎn)請(qǐng)求令牌（另一個(gè)已經(jīng)棄用）：

• Azure 實(shí)例元數(shù)據(jù)服務(wù)標(biāo)識(shí)終結(jié)點(diǎn)（推薦）：http://169.254.169.254/metadata/identity/oauth3/token

• resource 參數(shù)指定了要向其發(fā)送令牌的服務(wù)。 若要向 Azure 資源管理器進(jìn)行身份驗(yàn)證，請(qǐng)使用 resource=https://management.azure.com/。

• API 版本參數(shù)指定 IMDS 版本，請(qǐng)使用 api-version=2018-02-01 或更高版本。

6. 調(diào)用了 Azure AD，以便使用在步驟 3 中配置的客戶(hù)端 ID 和證書(shū)請(qǐng)求訪(fǎng)問(wèn)令牌（在步驟 5 中指定）。 Azure AD 返回 JSON Web 令牌 (JWT) 訪(fǎng)問(wèn)令牌。

7. 代碼在調(diào)用支持 Azure AD 身份驗(yàn)證的服務(wù)時(shí)發(fā)送訪(fǎng)問(wèn)令牌。

=============================================================================================

下面簡(jiǎn)單介紹下如何使用啟用了系統(tǒng)分配的托管標(biāo)識(shí)的 Windows 虛擬機(jī)來(lái)訪(fǎng)問(wèn) Azure 資源管理器 API

在資源組下面點(diǎn)擊訪(fǎng)問(wèn)控制，然后添加角色分配

選擇角色并將訪(fǎng)問(wèn)權(quán)限分配到虛擬機(jī)

然后登錄該虛擬機(jī)，打開(kāi)powershell，執(zhí)行如下命令。使用 Invoke-WebRequest cmdlet，向 Azure 資源終結(jié)點(diǎn)的本地托管標(biāo)識(shí)發(fā)出請(qǐng)求以獲取 Azure 資源管理器的訪(fǎng)問(wèn)令牌。

$response = Invoke-WebRequest -Uri 'http://169.254.169.254/metadata/identity/oauth3/token?api-version=2018-02-01&resource=https://management.azure.com/' -Method GET -Headers @{Metadata="true"}

接下來(lái)，提取完整響應(yīng)，響應(yīng)以 JavaScript 對(duì)象表示法 (JSON) 格式字符串的形式存儲(chǔ)在 $response 對(duì)象中。

1. $content = $response.Content | ConvertFrom-Json

 

然后從響應(yīng)中提取訪(fǎng)問(wèn)令牌。

1. $ArmToken = $content.access_token

 

最后，使用訪(fǎng)問(wèn)令牌調(diào)用 Azure 資源管理器。 在此示例中，我們還使用 Invoke-WebRequest cmdlet 調(diào)用 Azure 資源管理器，并將訪(fǎng)問(wèn)令牌包含在授權(quán)標(biāo)頭中。

(Invoke-WebRequest -Uri https://management.azure.com/subscriptions/<SUBSCRIPTION ID>/resourceGroups/<RESOURCE GROUP>?api-version=2016-06-01 -Method GET -ContentType "application/json" -Headers @{ Authorization ="Bearer $ArmToken"}).content

執(zhí)行命令后將顯示資源組的相關(guān)信息。

為了驗(yàn)證權(quán)限，我們?nèi)フ?qǐng)求別的資源組的信息，結(jié)果會(huì)提示你沒(méi)有權(quán)限去讀取。

名稱(chēng)欄目：Azure資源托管標(biāo)識(shí)淺析和實(shí)踐
當(dāng)前網(wǎng)址：http://www.rwnh.cn/article48/pgsihp.html

成都網(wǎng)站建設(shè)公司_創(chuàng)新互聯(lián)，為您提供、定制開(kāi)發(fā)、外貿(mào)建站、搜索引擎優(yōu)化、做網(wǎng)站、域名注冊(cè)

廣告

聲明：本網(wǎng)站發(fā)布的內(nèi)容（圖片、視頻和文字）以用戶(hù)投稿、用戶(hù)轉(zhuǎn)載內(nèi)容為主，如果涉及侵權(quán)請(qǐng)盡快告知，我們將會(huì)在第一時(shí)間刪除。文章觀(guān)點(diǎn)不代表本網(wǎng)站立場(chǎng)，如需處理請(qǐng)聯(lián)系客服。電話(huà)：028-86922220；郵箱：631063699@qq.com。內(nèi)容未經(jīng)允許不得轉(zhuǎn)載，或轉(zhuǎn)載時(shí)需注明來(lái)源： 創(chuàng)新互聯(lián)