什么是Azure服务主体？

Question

我的要求很简单我想在非交互模式下通过我的shell脚本登录到az，但是“az login -u username -p password”命令发出以下错误

Get Token request returned http error: 400 and server response: {"error":"invalid_grant","error_description":"AADSTS70002: Error validating credentials. : SAML token is invalid. : The element with ID 'xxxxxx' was either unsigned or the signature was invalid.

一些网站告诉我现在创建服务主体我的问题是这是什么以及如何创建服务主体以便我可以从我的shell脚本执行我的命令（用于创建不同的资源，如app gateway）？

Answer 1

请参考这个official document。

Azure服务主体是用户创建的应用程序，服务和自动化工具用于访问特定Azure资源的安全标识。将其视为具有特定角色的“用户身份”（登录名和密码或证书），以及严格控制的访问资源的权限。与普通用户身份不同，它只需要能够执行特定的操作。如果您只授予执行其管理任务所需的最低权限级别，则可以提高安全性。

如果要使用Azure CLi 2.0创建新的服务主体（sp）。您可以使用Azure AD用户登录。然后执行以下命令。

az ad sp create-for-rbac --name {appId} --password "{strong password}"

结果如下：

{
  "appId": "a487e0c1-82af-47d9-9a0b-af184eb87646d",
  "displayName": "MyDemoWebApp",
  "name": "http://MyDemoWebApp",
  "password": {strong password},
  "tenant": "XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX"
}

appId是您的登录用户，password是登录密码。

在创建sp之后，您还需要赋予它Contributor角色，然后您可以管理您的Azure资源。

az role assignment create --assignee <objectID> --role Contributor

现在，您可以使用以下命令以非交互模式登录。

az login --service-principal -u <appid> --password {password-or-path-to-cert} --tenant {tenant}

Answer 2

在这里你去：Use portal to create an Azure Active Directory application and service principal that can access resources。

当您拥有需要访问或修改资源的应用程序时，必须设置Azure Active Directory（AD）应用程序并为其分配所需的权限。此方法比使用您自己的凭据运行应用程序更可取，因为：

• 您可以为应用程序标识分配与您自己的权限不同的权限。通常，这些权限仅限于应用程序需要执行的操作。
• 如果您的职责发生变化，您无需更改应用程序的凭据。
• 执行无人参与脚本时，可以使用证书自动执行身份验证。