使用用户分配的托管标识向 Azure 资源验证 Azure 托管的 .NET 应用

1. 在 Azure 门户中，在主搜索栏中输入 托管标识 ，并在 “服务 ”部分下选择匹配结果。

2. 在托管标识页面上，选择+ 创建。

   

3. 在“ 创建用户分配的托管标识 ”页上，为用户分配的托管标识选择订阅、资源组和区域，然后提供名称。

4. 选择 “审阅 + 创建 ”以查看并验证输入。

   

5. 选择“ 创建 ”以创建用户分配的托管标识。

6. 创建标识后，选择“ 转到资源”。

7. 在新标识的 “概述 ”页上，复制 客户端 ID 值，以便在以后配置应用程序代码时使用。

使用 Azure CLI 命令 az identity create 创建托管标识：

az identity create \
    --resource-group <resource-group-name> \
    --name <identity-name> \
    --query 'clientId' \
    --output json

该命令输出将输出所创建用户分配的托管标识的客户端 ID。 客户端 ID 用于配置依赖于标识的应用程序代码。

你可以随时使用命令 az identity show 再次查看托管标识属性。

az identity show \
    --resource-group <your-resource-group> \
    --name <your-managed-identity-name> \
    --output json

1. 在 Azure 门户中，导航到托管应用代码的资源，例如 Azure 应用服务或 Azure 容器应用实例。

2. 在资源的 概述 页中，展开 设置，并从导航菜单中选择 身份。

3. 在“标识”页上，切换到“用户分配”选项卡。

4. 选择 “+ 添加” 以打开 “添加用户分配的托管标识 ”面板。

5. 在 添加用户分派管理身份 面板中，使用 订阅 下拉列表筛选身份的搜索结果。 使用 “用户分配的托管标识 ”搜索框查找为托管应用的 Azure 资源启用的用户分配托管标识。

6. 选择标识，然后选择面板底部的 “添加” 以继续。

   

Azure CLI 提供了不同的命令，用于将用户分配的托管标识分配给不同类型的托管服务。

1. 若要使用 Azure CLI 将用户分配托管的标识分配给资源（例如 Azure 应用服务中的 Web 应用），您将需要该标识的资源 ID。 az identity show使用命令检索资源 ID：

   az identity show \
       --resource-group <your-resource-group> \
       --name <your-managed-identity-name> \
       --output json \
       --query id
   

2. 获得资源 ID 后，使用 Azure CLI 命令 az <resourceType> identity assign 将用户分配的托管标识与不同的资源相关联，如下所示：

   对于 Azure 应用服务，请使用 Azure CLI 命令 az webapp identity assign：

   az webapp identity assign \
       --resource-group <resource-group-name> \
       --name <webapp-name> \
       --identities <user-assigned-identity-resource-id>
   

   对于 Azure 容器应用，请使用 Azure CLI 命令 az containerapp identity assign：

   az containerapp identity assign \
       --resource-group <resource-group-name> \
       --name <containerapp-name> \
       --identities <user-assigned-identity-resource-id>
   

   对于 Azure 虚拟机，请使用 Azure CLI 命令 az vm identity assign：

   az vm identity assign \
       --resource-group <resource-group-name> \
       --name <vm-name> \
       --identities <user-assigned-identity-resource-id>
   

1. 导航到包含具有用户分配托管标识的应用的资源组的 “概述 ”页。

2. 在左侧导航栏中，选择“访问控制(IAM)”。

3. 在 访问控制（IAM） 页上，选择顶部菜单上的 + 添加，然后选择 添加角色分配 导航到 添加角色分配 页。

   

4. “添加角色分配”页展示了一个分步骤的选项卡式工作流程，用于将角色分配给标识。 在初始“角色”选项卡上，使用顶部的搜索框来定位你想要分配给标识的角色。

5. 从结果中选择角色，然后选择 “下一步” 以进入“成员”选项卡。

6. 对于“将访问权限分配到”选项，请选择“托管标识”。

7. 对于“成员”选项，请选择“+ 选择成员”，以打开“选择托管标识”面板。

8. 在 选择托管标识 面板中，使用 订阅 和 托管标识 下拉列表来筛选标识的搜索结果。 使用选择搜索框查找为托管应用的 Azure 资源启用的用户分配的托管标识。

   

9. 选择标识，并在面板底部选择选择以继续。

10. 选择页面底部的“查看 + 分配”。

11. 在最终的 审阅 + 分配 选项卡中，选择 审阅 + 分配 以完成整个工作流程。

1. 若要使用 Azure CLI 将角色分配给用户分配的托管标识，你需要获取该标识的主体 ID。 使用az identity show命令检索主体 ID。

   az identity show \
       --resource-group <your-resource-group> \
       --name <your-managed-identity-name> \
       --output json \
       --query principalId
   

2. 使用 az role definition list 命令来查看可分配给托管标识的角色：

   az role definition list \
       --query "sort_by([].{roleName:roleName, description:description}, &roleName)" \
       --output table
   

3. 使用 az role assignment create 命令为托管标识分配角色：

   az role assignment create \
       --assignee <your-principal-id> \
       --role <role-name> \
       --scope <scope>
   

   例如，若要允许 ID 为 99999999-9999-9999-9999-999999999999 的托管主体对 msdocs-dotnet-sdk-auth-example 资源组中的所有存储帐户的 Azure 存储 blob 容器和数据进行读取、写入和删除访问，你可以使用以下命令将应用程序服务主体分配给存储 Blob 数据参与者角色：

   az role assignment create \
       --assignee 99999999-9999-9999-9999-999999999999 \
       --role "Storage Blob Data Contributor" \
       --scope "/subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/msdocs-dotnet-sdk-auth-example"
   

有关使用 Azure CLI 在资源或订阅级别分配权限的信息，请参阅使用 Azure CLI 分配 Azure 角色一文。

在所选终端中，导航到应用程序项目目录并运行以下命令：

dotnet add package Azure.Identity
dotnet add package Microsoft.Extensions.Azure

在 Visual Studio 解决方案资源管理器 窗口中右键单击项目，然后选择 管理 NuGet 包。 搜索 Azure.Identity，并安装匹配的包。 对 Microsoft.Extensions.Azure 包重复此过程。

客户端 ID 用于在配置需要使用该标识进行身份验证的应用程序或服务时标识托管标识。

1. 使用以下命令检索分配给用户分配的托管身份的客户端 ID：

   az identity show \
       --resource-group <resource-group-name> \
       --name <identity-name> \
       --query 'clientId'
   

2. 将 ManagedIdentityCredential 配置为客户端 ID:

   builder.Services.AddAzureClients(clientBuilder =>
   {
       clientBuilder.AddBlobServiceClient(
           new Uri("https://<account-name>.blob.core.windows.net"));
   
       if (builder.Environment.IsProduction() || builder.Environment.IsStaging())
       {
           // Managed identity token credential discovered when running in Azure environments
           ManagedIdentityCredential credential = new(
               ManagedIdentityId.FromUserAssignedClientId("<client-id>"));
           clientBuilder.UseCredential(credential);
       } 
   });
   

资源 ID 使用以下结构唯一标识 Azure 订阅中的托管标识资源：

/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.ManagedIdentity/userAssignedIdentities/{identityName}

资源 ID 可以按照约定生成，这样在环境中使用大量用户分配的托管标识时会更方便。

1. 使用以下命令检索用户分配托管标识的资源 ID：

   az identity show \
       --resource-group <resource-group-name> \
       --name <identity-name> \
       --query 'id'
   

2. 使用资源 ID 配置 ManagedIdentityCredential：

   builder.Services.AddAzureClients(clientBuilder =>
   {
       clientBuilder.AddBlobServiceClient(
           new Uri("https://<account-name>.blob.core.windows.net"));
   
       if (builder.Environment.IsProduction() || builder.Environment.IsStaging())
       {
           // Managed identity token credential discovered when running in Azure environments
           ManagedIdentityCredential credential = new(
               ManagedIdentityId.FromUserAssignedResourceId(new ResourceIdentifier("<resource-id>")));
           clientBuilder.UseCredential(credential);
       }
   });
   

主体 ID 是对象 ID 的另一个名称。

1. 使用以下命令检索用户分配托管标识的对象 ID：

   az identity show \
       --resource-group <resource-group-name> \
       --name <identity-name> \
       --query 'principalId'
   

2. 使用对象 ID 配置 ManagedIdentityCredential：

   builder.Services.AddAzureClients(clientBuilder =>
   {
       clientBuilder.AddBlobServiceClient(
           new Uri("https://<account-name>.blob.core.windows.net"));
           
       if (builder.Environment.IsProduction() || builder.Environment.IsStaging())
       {
           // Managed identity token credential discovered when running in Azure environments
           ManagedIdentityCredential credential = new(
               ManagedIdentityId.FromUserAssignedObjectId("<object-id>"));
           clientBuilder.UseCredential(credential);
       }
   });