如何使用 Azure VM 上 Azure 資源的託管標識來獲取訪問令牌

Azure 資源的受管理身分識別會在 Microsoft Entra ID 中為 Azure 服務提供自動管理的身分識別。 您可以使用此身分識別來向任何支援 Microsoft Entra 驗證的服務進行驗證，不需要任何您程式碼中的認證。

本文提供了各種用於 Token 獲取的代碼和腳本示例。 它還包含有關處理令牌過期和 HTTP 錯誤的指南。

先決條件

• 如果您不熟悉適用於 Azure 資源的受控識別功能，請參閱此概觀。 如果您沒有 Azure 帳戶，請先 註冊免費帳戶 ，再繼續進行。

如果打算使用本文中的 Azure PowerShell 示例，請務必安裝最新版本的 Azure PowerShell。

概觀

用戶端應用程式可以請求託管標識 僅限應用的訪問令牌 來訪問給定資源。 該令牌 基於 Azure 資源服務主體的託管標識。 因此，用戶端無需在其自己的服務主體下獲取訪問令牌。 該令牌適合在 需要用戶端憑據的服務到服務調用中用作不記名令牌。

使用 HTTP 獲取令牌

用於獲取訪問令牌的基本介面基於 REST，因此 VM 上運行的任何可以進行 HTTP REST 調用的用戶端應用程式都可以存取它。 此方法類似於 Microsoft Entra 程式設計模型，但用戶端使用虛擬機上的終結點（與 Microsoft Entra 終結點相比）。

使用 Azure 實例元數據服務 （IMDS） 終結點的範例請求 （推薦）：

GET 'http://169.254.169.254/metadata/identity/oauth2/token?api-version=2018-02-01&resource=https://management.azure.com/' HTTP/1.1 Metadata: true

回應範例：

HTTP/1.1 200 OK
Content-Type: application/json
{
  "access_token": "eyJ0eXAi...",
  "refresh_token": "",
  "expires_in": "3599",
  "expires_on": "1506484173",
  "not_before": "1506480273",
  "resource": "https://management.azure.com/",
  "token_type": "Bearer"
}

使用 Azure Identity 客戶端函式庫取得 token

使用 Azure Identity 用戶端函式庫是使用受管理身份的推薦方式。 完成下列步驟：

1. 安裝 Azure.Identity 包和其他所需的 Azure SDK 庫包，例如 Azure.Security.KeyVault.Secrets。

2. 使用下面的示例代碼。 您無需擔心獲取代幣。 您可以直接使用 Azure SDK 用戶端。 該代碼用於演示如何獲取令牌（如果需要）。

   using Azure.Core;
   using Azure.Identity;
   using Azure.Security.KeyVault.Secrets;
   
   ManagedIdentityCredential credential = new(
       ManagedIdentityId.FromUserAssignedClientId("<managed_identity_client_ID>"));
   
   // Option 1: Explicit token acquisition. Manually fetch the token and convert to a string, if necessary.
   AccessToken accessToken = await credential.GetTokenAsync(
       new TokenRequestContext(["https://vault.azure.net"]));
   string accessTokenString = accessToken.Token;
   
   // Option 2: Implicit token acquisition. Pass the credential object to the Azure service client constructor.
   // Token acquisition is triggered on the GetSecretAsync method call.
   SecretClient client = new(new Uri("https://myvault.vault.azure.net/"), credential);
   KeyVaultSecret secret = await client.GetSecretAsync("MySecret");
   

欲了解更多資訊，請參閱 使用使用者指派管理身份 及 使用系統指派管理身份。

使用 C 獲取令牌#

using System;
using System.Net.Http;
using Newtonsoft.Json.Linq;

// Construct HttpClient
var httpClient = new HttpClient
{
    DefaultRequestHeaders =
    {
        { "Metadata", Boolean.TrueString }
    }
};

// Construct URI to call
var resource = "https://management.azure.com/";
var uri = $"http://169.254.169.254/metadata/identity/oauth2/token?api-version=2018-02-01&resource={resource}";

// Make call
var response = await httpClient.GetAsync(uri);
try
{
    response.EnsureSuccessStatusCode();
}
catch (HttpRequestException)
{
    var error = await response.Content.ReadAsStringAsync();
    Console.WriteLine(error);
    throw;
}

// Parse response using Newtonsoft.Json
var content = await response.Content.ReadAsStringAsync();
var obj = JObject.Parse(content);
var accessToken = obj["access_token"];

Console.WriteLine(accessToken);

使用 Java 獲取令牌

使用此 JSON 庫 通過 Java 檢索令牌。

import java.io.*;
import java.net.*;
import com.fasterxml.jackson.core.*;
 
class GetMSIToken {
    public static void main(String[] args) throws Exception {
 
        URL msiEndpoint = new URL("http://169.254.169.254/metadata/identity/oauth2/token?api-version=2018-02-01&resource=https://management.azure.com/");
        HttpURLConnection con = (HttpURLConnection) msiEndpoint.openConnection();
        con.setRequestMethod("GET");
        con.setRequestProperty("Metadata", "true");
 
        if (con.getResponseCode()!=200) {
            throw new Exception("Error calling managed identity token endpoint.");
        }
 
        InputStream responseStream = con.getInputStream();
 
        JsonFactory factory = new JsonFactory();
        JsonParser parser = factory.createParser(responseStream);
 
        while(!parser.isClosed()){
            JsonToken jsonToken = parser.nextToken();
 
            if(JsonToken.FIELD_NAME.equals(jsonToken)){
                String fieldName = parser.getCurrentName();
                jsonToken = parser.nextToken();
 
                if("access_token".equals(fieldName)){
                    String accesstoken = parser.getValueAsString();
                    System.out.println("Access Token: " + accesstoken.substring(0,5)+ "..." + accesstoken.substring(accesstoken.length()-5));
                    return;
                }
            }
        }
    }
}

使用 Go 獲取 Token

package main

import (
  "fmt"
  "io/ioutil"
  "net/http"
  "net/url"
  "encoding/json"
)

type responseJson struct {
  AccessToken string `json:"access_token"`
  RefreshToken string `json:"refresh_token"`
  ExpiresIn string `json:"expires_in"`
  ExpiresOn string `json:"expires_on"`
  NotBefore string `json:"not_before"`
  Resource string `json:"resource"`
  TokenType string `json:"token_type"`
}

func main() {
    
    // Create HTTP request for a managed services for Azure resources token to access Azure Resource Manager
    var msi_endpoint *url.URL
    msi_endpoint, err := url.Parse("http://169.254.169.254/metadata/identity/oauth2/token?api-version=2018-02-01")
    if err != nil {
      fmt.Println("Error creating URL: ", err)
      return 
    }
    msi_parameters := msi_endpoint.Query()
    msi_parameters.Add("resource", "https://management.azure.com/")
    msi_endpoint.RawQuery = msi_parameters.Encode()
    req, err := http.NewRequest("GET", msi_endpoint.String(), nil)
    if err != nil {
      fmt.Println("Error creating HTTP request: ", err)
      return 
    }
    req.Header.Add("Metadata", "true")

    // Call managed services for Azure resources token endpoint
    client := &http.Client{}
    resp, err := client.Do(req) 
    if err != nil{
      fmt.Println("Error calling token endpoint: ", err)
      return
    }

    // Pull out response body
    responseBytes,err := ioutil.ReadAll(resp.Body)
    defer resp.Body.Close()
    if err != nil {
      fmt.Println("Error reading response body : ", err)
      return
    }

    // Unmarshall response body into struct
    var r responseJson
    err = json.Unmarshal(responseBytes, &r)
    if err != nil {
      fmt.Println("Error unmarshalling the response:", err)
      return
    }

    // Print HTTP response and marshalled response body elements to console
    fmt.Println("Response status:", resp.Status)
    fmt.Println("access_token: ", r.AccessToken)
    fmt.Println("refresh_token: ", r.RefreshToken)
    fmt.Println("expires_in: ", r.ExpiresIn)
    fmt.Println("expires_on: ", r.ExpiresOn)
    fmt.Println("not_before: ", r.NotBefore)
    fmt.Println("resource: ", r.Resource)
    fmt.Println("token_type: ", r.TokenType)
}

使用 PowerShell 獲取令牌

以下示例演示如何從 PowerShell 用戶端使用 Azure 資源的託管標識 REST 終結點來：

1. 獲取訪問令牌。
2. 使用訪問令牌調用 Azure 資源管理員 REST API 並獲取有關 VM 的資訊。 請務必將訂閱 ID、資源群組名稱和虛擬機名稱分別取代為 <SUBSCRIPTION-ID>、 <RESOURCE-GROUP>和 <VM-NAME>。

Invoke-RestMethod -Method GET -Uri 'http://169.254.169.254/metadata/identity/oauth2/token?api-version=2018-02-01&resource=https%3A%2F%2Fmanagement.azure.com%2F' -Headers @{Metadata="true"}

如何從回應中解析存取權杖的範例：

# Get an access token for managed identities for Azure resources
$resource = 'https://management.azure.com'
$response = Invoke-RestMethod -Method GET `
                            -Uri "http://169.254.169.254/metadata/identity/oauth2/token?api-version=2018-02-01&resource=$resource" `
                            -Headers @{ Metadata="true" }
$accessToken = $response.access_token
Write-Host "Access token using a User-Assigned Managed Identity is $accessToken"

# Use the access token to get resource information for the VM
$secureToken = $accessToken | ConvertTo-SecureString -AsPlainText
$vmInfoRest = Invoke-RestMethod -Method GET `
                              -Uri 'https://management.azure.com/subscriptions/<SUBSCRIPTION-ID>/resourceGroups/<RESOURCE-GROUP>/providers/Microsoft.Compute/virtualMachines/<VM-NAME>?api-version=2017-12-01' `
                              -ContentType 'application/json' `
                              -Authentication Bearer `
                              -Token $secureToken
Write-Host "JSON returned from call to get VM info: $($vmInfoRest.content)"

使用 CURL 獲取令牌

curl 'http://169.254.169.254/metadata/identity/oauth2/token?api-version=2018-02-01&resource=https%3A%2F%2Fmanagement.azure.com%2F' -H Metadata:true -s

如何從回應中解析存取權杖的範例：

response=$(curl 'http://169.254.169.254/metadata/identity/oauth2/token?api-version=2018-02-01&resource=https%3A%2F%2Fmanagement.azure.com%2F' -H Metadata:true -s)
access_token=$(echo $response | python -c 'import sys, json; print (json.load(sys.stdin)["access_token"])')
echo Access token using a User-Assigned Managed Identity is $access_token

令牌快取

託管身份子系統緩存令牌，但我們仍建議您在代碼中實現令牌緩存。 您應該為資源指示令牌已過期的情況做好準備。

僅在以下情況下，才會對 Microsoft Entra ID 進行在線調用：

• 由於 Azure 資源子系統緩存的託管標識中沒有令牌，因此會發生緩存未命中。
• 緩存的 Token 已過期。

錯誤處理

託管身份終端節點通過 HTTP 回應消息標頭的狀態代碼欄位發出錯誤信號，如 4xx 或 5xx 錯誤：

如果發生錯誤，相應的 HTTP 回應正規將包含包含錯誤詳細資訊的 JSON：

HTTP 回應參考

本節記錄了可能的錯誤回應。 “200 OK”狀態表示回應成功，訪問令牌包含在回應正文 JSON 的 access_token 元素中。

重試指南

如果您收到 404、429 或 5xx 錯誤代碼，請重試（請參閱 錯誤處理）。 如果您收到 410 錯誤，則表明 IMDS 正在進行更新，並且將在最多 70 秒內可用。

限制適用於對 IMDS 終端節點的調用次數。 當超過限制閾值時，IMDS 終端節點會在限制生效期間限制任何進一步的請求。 在此期間，IMDS 終端節點返回 HTTP 狀態代碼 429（“請求過多”），並且請求失敗。

對於重試，我們建議採用以下策略：

Azure 服務的資源 ID

有關支援 Azure 資源的託管標識的資源清單，請參閱 支援託管標識的 Azure 服務 。

後續步驟

• 若要在 Azure VM 上啟用 Azure 資源的受控識別，請參閱使用 Azure 入口網站為 VM 上的 Azure 資源設定受控識別。