使用使用者指派的受控識別向 Azure 資源驗證 Azure 裝載的 .NET 應用程式

1. 在 Azure 入口網站中，在主要搜尋列中輸入 受控識別，然後選取 [Services] 區段底下的相符結果。

2. 在 [受控識別] 頁面上，選取 [+ 建立]。

   

3. 在 [建立使用者指派的受控識別 頁面上，選取使用者指派受控識別的訂用帳戶、資源群組和區域，然後提供名稱。

4. 選取 [檢閱 + 建立]，以檢閱和驗證您的輸入。

   

5. 選取 [建立]，以建立使用者指派的受控識別。

6. 建立身份之後，選擇 移至資源。

7. 在新身分識別的 [概觀] 頁面上，複製 用戶端標識碼 值，以供稍後設定應用程式程式代碼時使用。

使用 Azure CLI 命令 az identity create 來建立受控識別：

az identity create \
    --resource-group <resource-group-name> \
    --name <identity-name> \
    --query 'clientId' \
    --output json

命令輸出會列印所建立使用者指派受控識別的用戶端標識碼。 用戶端識別碼可用來設定依賴身分識別的應用程式程式碼。

您可以使用 az identity show 命令再次檢視受控識別屬性：

az identity show \
    --resource-group <your-resource-group> \
    --name <your-managed-identity-name> \
    --output json

1. 在 Azure 入口網站中，瀏覽至裝載應用程式程式代碼的資源，例如 Azure App Service 或 Azure Container App 實例。

2. 從資源的 [概觀] 頁面中，展開 [[設定]，然後從導覽中選取 [身分識別]。

3. 在 [身分識別] 頁面上，切換至 [使用者指派] 索引標籤。

4. 選取 + 新增 以開啟 新增使用者指派的受控識別 面板。

5. 在 [新增使用者指定的受控身份 面板上，使用 [訂用帳戶] 下拉式清單來篩選您的身份搜尋結果。 使用 [使用者指派的受控識別 搜尋方塊，找出您為裝載應用程式的 Azure 資源啟用的使用者指派受控識別。

6. 選取身分識別，然後在面板底部選擇 [新增] 以繼續。

   

Azure CLI 提供不同的命令，將使用者指派的受控識別指派給不同類型的裝載服務。

1. 若要使用 Azure CLI 將使用者指派的受控識別指派給 Azure App Service Web 應用程式等資源，您需要身分識別的資源識別碼。 使用 az identity show 命令來擷取資源識別碼：

   az identity show \
       --resource-group <your-resource-group> \
       --name <your-managed-identity-name> \
       --output json \
       --query id
   

2. 擁有資源標識符之後，請使用 Azure CLI 命令 az <resourceType> identity assign 命令，將使用者指派的受控識別與不同的資源產生關聯，例如：

   針對 Azure App Service，請使用 Azure CLI 命令 az webapp identity assign：

   az webapp identity assign \
       --resource-group <resource-group-name> \
       --name <webapp-name> \
       --identities <user-assigned-identity-resource-id>
   

   針對 Azure Container Apps，請使用 Azure CLI 命令 az containerapp identity assign：

   az containerapp identity assign \
       --resource-group <resource-group-name> \
       --name <containerapp-name> \
       --identities <user-assigned-identity-resource-id>
   

   針對 Azure 虛擬機器，請使用 Azure CLI 命令 az vm identity assign：

   az vm identity assign \
       --resource-group <resource-group-name> \
       --name <vm-name> \
       --identities <user-assigned-identity-resource-id>
   

1. 流覽至資源群組的 [概觀] 頁面，其中包含具有使用者指派受控識別的應用程式。

2. 選取左側導航列的存取控制（IAM）。

3. 在 [存取控制 （IAM）] 頁面上，選取頂端功能表上的 [+ 新增]，然後選擇 [新增角色指派] 導覽至 [新增角色指派] 頁面。

   

4. [新增角色指派] 頁面會顯示選項卡格式的多步驟流程，以將角色指派給身份。 在 [初始角色] 標籤頁上，使用上方的搜尋框來找到您想要指派給身份的角色。

5. 從結果中選取角色，然後選擇 [下一步] 以移至 [成員] 標籤。

6. 針對 [[指派存取權給] 選項，選取 [受控識別]。

7. 針對 [成員] 選項，選擇 [+ 選取成員] 以開啟 [選取受控識別] 面板。

8. 在 [選取受控識別 面板上，使用 [訂用帳戶] 和 [受控 識別] 下拉式清單來篩選您身分識別的搜尋結果。 使用 選擇 搜尋方塊，以搜尋您為託管應用程式的 Azure 資源啟用的使用者分配的受控身分識別。

   

9. 選取身分識別，然後在面板底部選擇 選取 以繼續。

10. 在頁面底部選取 檢閱，然後分配。

11. 在最後一個 [檢閱 + 指派] 索引標籤上，選取 [檢閱 + 指派]，以完成工作流程。

1. 若要使用 Azure CLI 將角色指派給使用者指派的受控識別，您需要身分識別的主體標識碼。 使用 az identity show 命令來擷取主體識別碼：

   az identity show \
       --resource-group <your-resource-group> \
       --name <your-managed-identity-name> \
       --output json \
       --query principalId
   

2. 使用 az role definition list 命令來查看受控識別可以被指派哪些角色：

   az role definition list \
       --query "sort_by([].{roleName:roleName, description:description}, &roleName)" \
       --output table
   

3. 使用 az role assignment create 命令，將角色指派給受控身份：

   az role assignment create \
       --assignee <your-principal-id> \
       --role <role-name> \
       --scope <scope>
   

   例如，若要允許受控識別（其 ID 為 99999999-9999-9999-9999-999999999999）對 Azure 儲存體 Blob 容器及 msdocs-dotnet-sdk-auth-example 資源群組中的所有儲存體帳戶擁有讀取、寫入和刪除的權限，請使用下列命令將應用程式服務主體指派給 儲存體 Blob 資料參與者 角色：

   az role assignment create \
       --assignee 99999999-9999-9999-9999-999999999999 \
       --role "Storage Blob Data Contributor" \
       --scope "/subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/msdocs-dotnet-sdk-auth-example"
   

如需使用 Azure CLI 在資源或訂用帳戶層級指派許可權的相關信息，請參閱 使用 Azure CLI指派 Azure 角色一文。

在您選擇的終端機中，瀏覽至應用程式項目目錄，然後執行下列命令：

dotnet add package Azure.Identity
dotnet add package Microsoft.Extensions.Azure

在 Visual Studio 方案總管 視窗中，以滑鼠右鍵按兩下您的項目，然後選取 [管理 NuGet 套件] 。 搜尋 Azure.Identity，並安裝相符的套件。 針對 Microsoft.Extensions.Azure 套件重複這個步驟。

在設定需要使用該身分識別進行驗證的應用程式或服務時，用戶端標識碼可用來識別受控識別。

1. 使用下列命令擷取指派給使用者指派受控識別的用戶端識別碼：

   az identity show \
       --resource-group <resource-group-name> \
       --name <identity-name> \
       --query 'clientId'
   

2. 使用客戶識別碼配置 ManagedIdentityCredential：

   builder.Services.AddAzureClients(clientBuilder =>
   {
       clientBuilder.AddBlobServiceClient(
           new Uri("https://<account-name>.blob.core.windows.net"));
   
       if (builder.Environment.IsProduction() || builder.Environment.IsStaging())
       {
           // Managed identity token credential discovered when running in Azure environments
           ManagedIdentityCredential credential = new(
               ManagedIdentityId.FromUserAssignedClientId("<client-id>"));
           clientBuilder.UseCredential(credential);
       } 
   });
   

資源標識符會使用下列結構，唯一識別 Azure 訂用帳戶內的受控識別資源：

/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.ManagedIdentity/userAssignedIdentities/{identityName}

資源標識碼可以透過慣例來建置，這可讓您在環境中使用大量使用者指派的受控識別時更方便。

1. 使用下列命令擷取使用者指派受控識別的資源識別碼：

   az identity show \
       --resource-group <resource-group-name> \
       --name <identity-name> \
       --query 'id'
   

2. 使用資源識別碼設定 ManagedIdentityCredential：

   builder.Services.AddAzureClients(clientBuilder =>
   {
       clientBuilder.AddBlobServiceClient(
           new Uri("https://<account-name>.blob.core.windows.net"));
   
       if (builder.Environment.IsProduction() || builder.Environment.IsStaging())
       {
           // Managed identity token credential discovered when running in Azure environments
           ManagedIdentityCredential credential = new(
               ManagedIdentityId.FromUserAssignedResourceId(new ResourceIdentifier("<resource-id>")));
           clientBuilder.UseCredential(credential);
       }
   });
   

主體標識碼是物件標識碼的另一個名稱。

1. 使用下列命令擷取使用者指派受控識別的物件識別碼：

   az identity show \
       --resource-group <resource-group-name> \
       --name <identity-name> \
       --query 'principalId'
   

2. 使用物件識別碼設定 ManagedIdentityCredential：

   builder.Services.AddAzureClients(clientBuilder =>
   {
       clientBuilder.AddBlobServiceClient(
           new Uri("https://<account-name>.blob.core.windows.net"));
           
       if (builder.Environment.IsProduction() || builder.Environment.IsStaging())
       {
           // Managed identity token credential discovered when running in Azure environments
           ManagedIdentityCredential credential = new(
               ManagedIdentityId.FromUserAssignedObjectId("<object-id>"));
           clientBuilder.UseCredential(credential);
       }
   });