استخدام الهويات المدارة ل App Service ودالات Azure

توضح هذه المقالة كيفية إنشاء هوية مدارة لتطبيقات "Azure App Service" ودالات Azure، وكيفية استخدامها للوصول إلى الموارد الأخرى.

تسمح الهوية المدارة من معرف Microsoft Entra لتطبيقك بالوصول بسهولة إلى الموارد الأخرى المحمية من Microsoft Entra، مثل Azure Key Vault. يدير النظام الأساسي Azure الهوية، لذلك لا تحتاج إلى توفير أي أسرار أو تدويرها. لمزيد من المعلومات حول الهويات المدارة في معرف Microsoft Entra، راجع الهويات المدارة لموارد Azure.

يمكنك منح نوعين من الهويات لتطبيقك:

• ترتبط الهوية المعينة من قبل النظام للتطبيق ويتم حذفها إذا تم حذف التطبيق. يمكن أن يكون للتطبيق هوية واحدة فقط يعينها النظام.
• الهوية التي يعيّنها المستخدم هي مورد Azure مستقل يمكن تعيينه لتطبيقك. يمكن أن يكون للتطبيق هويات متعددة يعينها المستخدم. يمكن تعيين هوية واحدة يعينها المستخدم لموارد Azure متعددة، مثل تطبيقي App Service.

تكوين الهوية المدارة خاص بالفتحة. لتكوين هوية مدارة لفتحة نشر في المدخل، انتقل إلى الفتحة أولا. للعثور على الهوية المدارة لتطبيق الويب أو فتحة التوزيع في مستأجر Microsoft Entra من مدخل Microsoft Azure، ابحث عنها مباشرة من صفحة نظرة عامة للمستأجر الخاص بك.

ملاحظة

لا تتوفر الهويات المدارة للتطبيقات المنشورة في Azure Arc.

نظرا لأن الهويات المدارة لا تدعم سيناريوهات الدلائل المشتركة، فإنها لا تتصرف كما هو متوقع إذا تم ترحيل تطبيقك عبر الاشتراكات أو المستأجرين. لإعادة إنشاء الهويات المدارة بعد مثل هذا النقل، انظر: هل سيتم إعادة إنشاء الهويات المدارة تلقائيا إذا قمت بنقل اشتراك إلى مجلد آخر؟ تحتاج الموارد اللاحقة أيضا إلى تحديث سياسات الوصول لاستخدام الهوية الجديدة.

المتطلبات الأساسية

لتنفيذ الخطوات الواردة في هذه المقالة، يجب أن يكون لديك الحد الأدنى من الأذونات عبر موارد Azure. تختلف الأذونات المحددة التي تحتاجها استنادا إلى السيناريو الخاص بك. يلخص الجدول التالي السيناريوهات الأكثر شيوعا:

السيناريو	الإذن المطلوب	مثال على الأدوار المضمنة
إنشاء هوية معينة من قبل النظام	Microsoft.Web/sites/write عبر التطبيق، أو Microsoft.Web/sites/slots/write فوق الفتحة	مساهم في موقع الويب
إنشاء هوية معينة من قبل المستخدم	Microsoft.ManagedIdentity/userAssignedIdentities/write عبر مجموعة الموارد التي يتم فيها إنشاء الهوية	مساهم الهوية المدارة
تعيين هوية معينة من قبل المستخدم لتطبيقك	Microsoft.Web/sites/write عبر التطبيق، Microsoft.Web/sites/slots/write أو فوق الفتحة، أو Microsoft.ManagedIdentity/userAssignedIdentities/*/assign/action عبر الهوية	المساهم في موقع الويبوعامل تشغيل الهوية المدارة
إنشاء تعيينات دور Azure	Microsoft.Authorization/roleAssignments/write عبر نطاق المورد الهدف	مسؤول التحكم في الوصول المستند إلى الدور أو مسؤول وصول المستخدم

إضافة يعيِّنها النظام

لتمكين هوية مدارة معينة من قبل النظام، استخدم الإرشادات التالية.

مدخل Microsoft Azure

1. في مدخل Microsoft Azure، انتقل إلى صفحة التطبيق.

2. في القائمة اليسرى، حدد Settings>Identity.

3. في علامة التبويب تعيين النظام ، قم بتبديل الحالة إلى تشغيل. ثم حدد حفظ.

az webapp identity assign قم بتشغيل الأمر:

az webapp identity assign --resource-group <group-name> --name <app-name> 

ل App Service

Set-AzWebApp -AssignIdentity قم بتشغيل الأمر:

Set-AzWebApp -AssignIdentity $true -ResourceGroupName <group-name>  -Name <app-name>

للدالات

Update-AzFunctionApp -IdentityType قم بتشغيل الأمر:

Update-AzFunctionApp -ResourceGroupName <group-name> -Name <function-app-name>  -IdentityType SystemAssigned

قالب ARM

يمكنك استخدام قالب Azure Resource Manager لأتمتة توزيع موارد Azure. لمعرفة المزيد، راجع أتمتة توزيع الموارد في App Serviceوأتمتة توزيع الموارد في دالات Azure.

يمكنك إنشاء أي مورد من نوع Microsoft.Web/sites بهوية عن طريق تضمين الخاصية التالية في تعريف المورد:

"identity": {
    "type": "SystemAssigned"
}

تُعلِم إضافة نوع عيّنه النظام Azure بإنشاء هوية تطبيقك وإدارتها.

على سبيل المثال، قد يبدو قالب تطبيق الويب مثل JSON التالي:

{
    "apiVersion": "2022-03-01",
    "type": "Microsoft.Web/sites",
    "name": "[variables('appName')]",
    "location": "[resourceGroup().location]",
    "identity": {
        "type": "SystemAssigned"
    },
    "properties": {
        "name": "[variables('appName')]",
        "serverFarmId": "[resourceId('Microsoft.Web/serverfarms', variables('hostingPlanName'))]",
        "hostingEnvironment": "",
        "clientAffinityEnabled": false,
        "alwaysOn": true
    },
    "dependsOn": [
        "[resourceId('Microsoft.Web/serverfarms', variables('hostingPlanName'))]"
    ]
}

عند إنشاء الموقع، يتضمن الخصائص التالية:

"identity": {
    "type": "SystemAssigned",
    "tenantId": "<tenant-id>",
    "principalId": "<principal-id>"
}

tenantId تحدد الخاصية ما ينتمي إليه مستأجر Microsoft Entra الذي تنتمي إليه الهوية. principalId الخاصية هي معرف فريد للهوية الجديدة للتطبيق. في معرف Microsoft Entra، يكون لمدير الخدمة نفس الاسم الذي أعطيته ل App Service أو مثيل دالات Azure.

إذا كنت بحاجة إلى الإشارة إلى هذه الخصائص في مرحلة لاحقة في القالب، فاستخدم دالة القالبreference()'Full' مع الخيار ، كما في هذا المثال:

{
    "tenantId": "[reference(resourceId('Microsoft.Web/sites', variables('appName')), '2018-02-01', 'Full').identity.tenantId]",
    "objectId": "[reference(resourceId('Microsoft.Web/sites', variables('appName')), '2018-02-01', 'Full').identity.principalId]",
}

إضافة هوية يُعينها المستخدم

لإنشاء تطبيق بهوية معينة من قبل المستخدم، قم بإنشاء الهوية ثم أضف معرف المورد الخاص به إلى تكوين التطبيق الخاص بك.

مدخل Microsoft Azure

1. إنشاء مورد هوية مُدارة يعينها المستخدم وفقًا لهذه الإرشادات.

2. في القائمة اليسرى لصفحة التطبيق، حدد الإعدادات>الهوية.

3. حدد المستخدم المعين، ثم حدد إضافة.

4. ابحث عن الهوية التي قمت بإنشائها سابقا، وحددها، ثم حدد إضافة.

بعد الانتهاء من هذه الخطوات، يتم إعادة تشغيل التطبيق.

1. إنشاء هوية معينة من قبل المستخدم:

   az identity create --resource-group <group-name> --name <identity-name>
   

2. az webapp identity assign قم بتشغيل الأمر لتعيين الهوية للتطبيق:

   az webapp identity assign --resource-group <group-name> --name <app-name> --identities <identity-id>
   

ل App Service

إضافة هوية معينة من قبل المستخدم في App Service باستخدام Azure PowerShell غير مدعومة حاليا.

للدالات

1. إنشاء هوية معينة من قبل المستخدم:

   Install-Module -Name Az.ManagedServiceIdentity -AllowPrerelease
   $userAssignedIdentity = New-AzUserAssignedIdentity -Name <identity-name> -ResourceGroupName <group-name> -Location <region>
   

2. Update-AzFunctionApp -IdentityType UserAssigned -IdentityId قم بتشغيل الأمر لتعيين الهوية في Functions:

   Update-AzFunctionApp -Name <app-name> -ResourceGroupName <group-name> -IdentityType UserAssigned -IdentityId $userAssignedIdentity.Id
   

قالب ARM

يمكنك استخدام قالب Azure Resource Manager لأتمتة توزيع موارد Azure. لمعرفة المزيد، راجع أتمتة توزيع الموارد في App Serviceوأتمتة توزيع الموارد في دالات Azure.

يمكنك إنشاء أي مورد من نوع Microsoft.Web/sites بهوية عن طريق تضمين الكتلة التالية في تعريف المورد. استبدل <resource-id> بمعرف المورد للهوية المطلوبة.

"identity": {
    "type": "UserAssigned",
    "userAssignedIdentities": {
        "<resource-id>": {}
    }
}

ملاحظة

يمكن أن يحتوي التطبيق على هويات يعيّنها النظام والمستخدم في الوقت نفسه. في هذه الحالة، تكون الخاصية type هي SystemAssigned,UserAssigned.

تؤدي إضافة النوع المعين من قبل المستخدم إلى إعلام Azure باستخدام الهوية المعينة من قبل المستخدم التي حددتها لتطبيقك.

على سبيل المثال، قد يبدو قالب تطبيق الويب مثل JSON التالي:

{
    "apiVersion": "2022-03-01",
    "type": "Microsoft.Web/sites",
    "name": "[variables('appName')]",
    "location": "[resourceGroup().location]",
    "identity": {
        "type": "UserAssigned",
        "userAssignedIdentities": {
            "[resourceId('Microsoft.ManagedIdentity/userAssignedIdentities', variables('identityName'))]": {}
        }
    },
    "properties": {
        "name": "[variables('appName')]",
        "serverFarmId": "[resourceId('Microsoft.Web/serverfarms', variables('hostingPlanName'))]",
        "hostingEnvironment": "",
        "clientAffinityEnabled": false,
        "alwaysOn": true
    },
    "dependsOn": [
        "[resourceId('Microsoft.Web/serverfarms', variables('hostingPlanName'))]",
        "[resourceId('Microsoft.ManagedIdentity/userAssignedIdentities', variables('identityName'))]"
    ]
}

عند إنشاء الموقع، يتضمن الخصائص التالية:

"identity": {
    "type": "UserAssigned",
    "userAssignedIdentities": {
        "<resource-id>": {
            "principalId": "<principal-id>",
            "clientId": "<client-id>"
        }
    }
}

principalId الخاصية هي معرف فريد للهوية المستخدمة لإدارة Microsoft Entra. clientId الخاصية هي معرف فريد للهوية الجديدة للتطبيق. يمكنك استخدامه لتحديد الهوية التي يجب استخدامها أثناء استدعاءات وقت التشغيل.

تكوين المورد الهدف

تحتاج إلى تكوين المورد الهدف للسماح بالوصول من تطبيقك. بالنسبة لمعظم خدمات Azure، يمكنك تكوين المورد الهدف عن طريق إنشاء تعيين دور.

تستخدم بعض الخدمات آليات أخرى غير التحكم في الوصول المستند إلى الدور في Azure. لفهم كيفية تكوين الوصول باستخدام هوية، راجع الوثائق لكل مورد هدف. لمعرفة المزيد حول الموارد التي تدعم رموز Microsoft Entra المميزة، راجع خدمات Azure التي تدعم مصادقة Microsoft Entra.

على سبيل المثال، إذا طلبت رمزا مميزا للوصول إلى سر في Azure Key Vault، يجب عليك أيضا إنشاء تعيين دور يسمح للهوية المدارة بالعمل مع الأسرار في المخزن الهدف. وإلا، يرفض Key Vault مكالماتك حتى إذا كنت تستخدم رمزا مميزا صالحا. وينطبق الشيء نفسه على قاعدة بيانات Azure SQL والخدمات الأخرى.

هام

تحتفظ الخدمات الخلفية للهويات المدارة بذاكرة تخزين مؤقت لكل عنوان URI للمورد لمدة 24 ساعة تقريبا ويمكن أن تستغرق ما يصل إلى هذا القدر من الوقت حتى تصبح التغييرات التي تطرأ على مجموعة الهوية المدارة أو عضوية الدور سارية المفعول. لا يمكن حاليا فرض تحديث الرمز المميز للهوية المدارة قبل انتهاء صلاحيته. إذا قمت بتغيير مجموعة هوية مدارة أو عضوية دور لإضافة أذونات أو إزالتها، فقد تحتاج إلى الانتظار لمدة تصل إلى 24 ساعة تقريبا حتى يحصل مورد Azure الذي يستخدم الهوية على الوصول الصحيح.

للحصول على بدائل للمجموعات أو عضويات الأدوار، راجع تقييد استخدام الهويات المدارة للتخويل.

الاتصال بخدمات Azure باستخدام التعليمات البرمجية للتطبيق

باستخدام هويته المدارة، يمكن للتطبيق الحصول على رموز مميزة لموارد Azure التي يساعد معرف Microsoft Entra في حمايتها، مثل قاعدة بيانات Azure SQL وAzure Key Vault وتخزين Azure. تمثل هذه الرموز المميزة التطبيق الذي يصل إلى المورد، وليس أي مستخدم محدد للتطبيق.

توفر App Service ودالات Azure نقطة نهاية REST يمكن الوصول إليها داخليا لاسترداد الرمز المميز. يمكنك الوصول إلى نقطة نهاية REST من داخل التطبيق باستخدام طلب HTTP GET قياسي. يمكنك تنفيذ الطلب مع عميل HTTP عام في كل لغة.

بالنسبة إلى .NET وJavaScript وJava وPython، توفر مكتبة عميل Azure Identity تجريدا عبر نقطة نهاية REST هذه وتبسط تجربة التطوير. الاتصال بخدمات Azure الأخرى بسيط مثل إضافة كائن بيانات اعتماد إلى العميل الخاص بالخدمة.

HTTP GET

يستخدم طلب HTTP GET الخام متغيري البيئة المتوفرين ويبدو مثل المثال التالي:

GET /MSI/token?resource=https://vault.azure.net&api-version=2019-08-01 HTTP/1.1
Host: <ip-address-:-port-in-IDENTITY_ENDPOINT>
X-IDENTITY-HEADER: <value-of-IDENTITY_HEADER>

قد تبدو عينة الاستجابة مثل المثال التالي:

HTTP/1.1 200 OK
Content-Type: application/json

{
    "access_token": "eyJ0eXAi…",
    "expires_on": "1586984735",
    "resource": "https://vault.azure.net",
    "token_type": "Bearer",
    "client_id": "00001111-aaaa-2222-bbbb-3333cccc4444"
}

هذه الاستجابة هي نفس الاستجابة لطلب الرمز المميز للوصول من خدمة إلى خدمة Microsoft Entra. للوصول إلى Key Vault، أضف قيمة access_token إلى اتصال عميل بالمخزن.

NET.

ملاحظة

عند الاتصال بمصادر بيانات Azure SQL باستخدام Entity Framework Core، ضع في اعتبارك استخدام Microsoft.Data.SqlClient. توفر مساحة الاسم هذه سلاسل اتصال خاصة لاتصال الهوية المدارة. على سبيل المثال، راجع البرنامج التعليمي: تأمين اتصال قاعدة بيانات Azure SQL من App Service باستخدام هوية مدارة.

بالنسبة لتطبيقات ووظائف .NET، فإن أبسط طريقة للعمل مع هوية مدارة هي من خلال مكتبة عميل Azure Identity ل .NET. لمزيد من المعلومات، راجع البرنامج التعليمي: الاتصال بقواعد بيانات Azure من App Service بدون أسرار باستخدام هوية مدارة.

لمزيد من المعلومات، راجع عناوين الوثائق الخاصة بمكتبة العميل:

• إضافة مكتبة عميل Azure Identity إلى مشروعك
• الوصول إلى خدمة Azure باستخدام هوية معينة من قبل النظام
• الوصول إلى خدمة Azure باستخدام هوية معينة من قبل المستخدم

تستخدم الأمثلة المرتبطة DefaultAzureCredential. يعمل نفس النمط في Azure مع الهويات المدارة وعلى جهازك المحلي دون هويات مدارة.

JavaScript

بالنسبة للتطبيقات Node.js ووظائف JavaScript، فإن أبسط طريقة للعمل مع هوية مدارة هي من خلال مكتبة عميل Azure Identity ل JavaScript. لمزيد من المعلومات، راجع البرنامج التعليمي: الاتصال بقواعد بيانات Azure من App Service بدون أسرار باستخدام هوية مدارة.

لمزيد من المعلومات، راجع عناوين الوثائق الخاصة بمكتبة العميل:

• إضافة مكتبة عميل Azure Identity إلى مشروعك
• الوصول إلى خدمة Azure باستخدام هوية معينة من قبل النظام
• الوصول إلى خدمة Azure باستخدام هوية معينة من قبل المستخدم

تستخدم الأمثلة المرتبطة DefaultAzureCredential. يعمل نفس النمط في Azure مع الهويات المدارة وعلى جهازك المحلي دون هويات مدارة.

للحصول على مزيدٍ من أمثلة التعليمات البرمجية لمكتبة عميل Azure Identity لـ JavaScript، راجع أمثلة Azure Identity.

بايثون

بالنسبة لتطبيقات ووظائف Python، فإن أبسط طريقة للعمل مع هوية مدارة هي من خلال مكتبة عميل Azure Identity ل Python. لمزيد من المعلومات، راجع البرنامج التعليمي: الاتصال بقواعد بيانات Azure من App Service بدون أسرار باستخدام هوية مدارة.

لمزيد من المعلومات، راجع عناوين الوثائق الخاصة بمكتبة العميل:

• إضافة مكتبة عميل Azure Identity إلى مشروعك
• الوصول إلى خدمة Azure باستخدام هوية معينة من قبل النظام
• الوصول إلى خدمة Azure باستخدام هوية معينة من قبل المستخدم

تستخدم الأمثلة المرتبطة DefaultAzureCredential. يعمل نفس النمط في Azure مع الهويات المدارة وعلى جهازك المحلي دون هويات مدارة.

جاوة

بالنسبة إلى تطبيقات ووظائف Java، تكون أبسط طريقة للعمل مع هوية مُدارة من خلال مكتبة عميل Azure Identity لـ Java. لمزيد من المعلومات، راجع البرنامج التعليمي: الاتصال بقواعد بيانات Azure من App Service بدون أسرار باستخدام هوية مدارة.

لمزيد من المعلومات، راجع عناوين الوثائق الخاصة بمكتبة العميل:

• إضافة مكتبة عميل Azure Identity إلى مشروعك
• الوصول إلى خدمة Azure باستخدام هوية معينة من قبل النظام
• الوصول إلى خدمة Azure باستخدام هوية معينة من قبل المستخدم

تستخدم الأمثلة المرتبطة DefaultAzureCredential. يعمل نفس النمط في Azure مع الهويات المدارة وعلى جهازك المحلي دون هويات مدارة.

لمزيد من أمثلة التعليمات البرمجية لمكتبة عميل Azure Identity ل Java، راجع أمثلة Azure Identity.

بوويرشيل

استخدم البرنامج النصي التالي لاسترداد رمز مميز من نقطة النهاية المحلية عن طريق تحديد مورد URI لخدمة Azure:

$resourceURI = "https://<Entra-resource-URI-for-resource-to-obtain-token>"
$tokenAuthURI = $env:IDENTITY_ENDPOINT + "?resource=$resourceURI&api-version=2019-08-01"
$tokenResponse = Invoke-RestMethod -Method Get -Headers @{"X-IDENTITY-HEADER"="$env:IDENTITY_HEADER"} -Uri $tokenAuthURI
$accessToken = $tokenResponse.access_token

لمزيد من المعلومات حول نقطة نهاية REST، راجع مرجع نقطة نهاية REST لاحقا في هذه المقالة.

إزالة هوية

عند إزالة هوية معينة من قبل النظام، يتم حذفها من معرف Microsoft Entra. تتم أيضا إزالة الهويات المعينة من قبل النظام تلقائيا من معرف Microsoft Entra عند حذف مورد التطبيق نفسه.

مدخل Microsoft Azure

1. في القائمة اليسرى لصفحة التطبيق، حدد الإعدادات>الهوية.

2. اتبع الخطوات استنادا إلى نوع الهوية:

   • بالنسبة للهوية المعينة من قبل النظام: في علامة التبويب تعيين النظام ، قم بتبديل الحالة إلى إيقاف التشغيل. ثم حدد حفظ.
   • بالنسبة للهوية المعينة من قبل المستخدم: حدد علامة التبويب تعيين المستخدم ، وحدد خانة الاختيار للهوية، ثم حدد إزالة. حدد نعم للتأكيد.

لإزالة الهوية المعينة من قبل النظام، استخدم هذا الأمر:

az webapp identity remove --resource-group <group-name> --name <app-name>

لإزالة هوية واحدة أو أكثر من الهويات المعينة من قبل المستخدم، استخدم هذا الأمر:

az webapp identity remove --resource-group <group-name> --name <app-name> --identities <identity-id1> <identity-id2> ...

يمكنك أيضا إزالة الهوية المعينة من قبل النظام عن طريق تحديد [system] في --identities.

ل App Service

لإزالة هوية معينة من قبل النظام لخدمة التطبيقات، قم بتشغيل Set-AzWebApp -AssignIdentity الأمر:

Set-AzWebApp -AssignIdentity $false -Name <app-name> -ResourceGroupName <group-name> 

للدالات

لإزالة جميع الهويات في Azure PowerShell (دالات Azure فقط)، قم بتشغيل هذا الأمر:

# Update an existing function app to have IdentityType "None".
Update-AzFunctionApp -Name <function-app-name> -ResourceGroupName <group-name> -IdentityType None

قالب ARM

لإزالة كافة الهويات في قالب ARM، استخدم هذه التعليمة البرمجية:

"identity": {
    "type": "None"
}

ملاحظة

يمكنك أيضا تعيين إعداد تطبيق يعطل خدمة الرمز المميز المحلي فقط: WEBSITE_DISABLE_MSI. ومع ذلك، فإنه يترك الهوية في مكانها. لا تزال الأدوات تعرض الهوية المدارة على أنها قيد التشغيل أو ممكنة. ونتيجة لذلك، لا نوصي باستخدام هذا الإعداد.

مرجع نقطة نهاية REST

التطبيق الذي له هوية مدارة يجعل نقطة النهاية هذه متاحة عن طريق تحديد متغيرين للبيئة:

• IDENTITY_ENDPOINT: عنوان URL لخدمة الرمز المميز المحلي.
• IDENTITY_HEADER: عنوان يمكن أن يساعد في التخفيف من هجمات تزييف الطلبات من جانب الخادم (SSRF). يقوم النظام الأساسي بتدوير القيمة.

IDENTITY_ENDPOINT المتغير هو عنوان URL محلي يمكن لتطبيقك طلب الرموز المميزة منه. للحصول على رمز مميز لمورد، قم بإجراء طلب HTTP GET إلى نقطة النهاية هذه. قم بتضمين المعلمات التالية:

اسم المعلمة	في	الوصف
resource	الاستعلام	URI لمورد Microsoft Entra للمورد الذي يجب الحصول على رمز مميز له. قد يكون هذا المورد إحدى خدمات Azure التي تدعم مصادقة Microsoft Entra أو أي مورد URI آخر.
api-version	الاستعلام	إصدار واجهة برمجة تطبيقات الرمز المميز الذي يُستخدَم. استخدم 2019-08-01.
X-IDENTITY-HEADER	راس	قيمة متغير بيئة IDENTITY_HEADER. يتم استخدام هذا العنوان للمساعدة في التخفيف من هجمات SSRF.
client_id	الاستعلام	(اختياري) مُعرِّف العميل للهوية التي يعيّنها المستخدم المطلوب استخدامه. لا يمكن استخدامه على طلب يتضمن principal_idأو mi_res_idأو object_id. في حال حذف جميع معلمات المُعرِّف (client_id وprincipal_id وobject_id وmi_res_id)، تُستخدَم الهوية التي يعيّنها النظام.
principal_id	الاستعلام	(اختياري) المُعرِّف الأساسي للهوية التي يعيّنها المستخدم المطلوب استخدامه. object_id المعلمة هي اسم مستعار يمكن استخدامه بدلا من ذلك. لا يمكن استخدامه على طلب يتضمن client_idأو mi_res_idأو object_id. في حال حذف جميع معلمات المُعرِّف (client_id وprincipal_id وobject_id وmi_res_id)، تُستخدَم الهوية التي يعيّنها النظام.
mi_res_id	الاستعلام	(اختياري) مُعرِّف مورد Azure للهوية التي يعيّنها المستخدم المطلوب استخدامه. لا يمكن استخدامه على طلب يتضمن principal_idأو client_idأو object_id. في حال حذف جميع معلمات المُعرِّف (client_id وprincipal_id وobject_id وmi_res_id)، تُستخدَم الهوية التي يعيّنها النظام.

هام

إذا كنت تحاول الحصول على رموز مميزة للهويات المعينة من قبل المستخدم، فقم بتضمين إحدى الخصائص الاختيارية. وإلا، تحاول خدمة الرمز المميز الحصول على رمز مميز لهوية معينة من قبل النظام، والتي قد تكون موجودة أو غير موجودة.

المحتويات ذات الصلة

ضع في اعتبارك البرامج التعليمية التالية:

• الاتصال بقاعدة بيانات SQL من .NET App Service بدون أسرار باستخدام هوية مدارة
• الوصول إلى خدمات Azure من تطبيق ويب .NET
• الوصول إلى Microsoft Graph من تطبيق .NET آمن كتطبيق
• تأمين اتصال الخدمة المعرفية من .NET App Service باستخدام Key Vault