Compartir a través de

Autenticación en Azure mediante la CLI de Azure

La CLI de Azure admite varios métodos de autenticación. Para proteger los recursos de Azure, restrinja los permisos de inicio de sesión para su caso de uso.

Inicio de sesión en Azure con la CLI de Azure

Hay cuatro opciones de autenticación al trabajar con la CLI de Azure:

Método de autenticación Ventaja
Azure Cloud Shell Azure Cloud Shell le registra automáticamente, que es la manera más fácil de empezar.
Iniciar sesión de forma interactiva Esta opción es buena al aprender comandos de la CLI de Azure y ejecutar la CLI de Azure localmente. Con el comando az login , inicie sesión a través del explorador. El inicio de sesión interactivo también proporciona un selector de suscripción para establecer automáticamente la suscripción predeterminada.
Inicio de sesión con una identidad administrada Las identidades administradas proporcionan una identidad administrada de Azure para que las aplicaciones se usen al conectarse a recursos que admiten la autenticación de Microsoft Entra. El uso de una identidad administrada elimina la necesidad de administrar secretos, credenciales, certificados y claves.
Inicia sesión usando un principal de servicio Al escribir scripts, usar un principal del servicio es el enfoque recomendado de autenticación. Concedes solo los permisos apropiados necesarios a una entidad de servicio, manteniendo la automatización segura.

Autenticación multifactor (MFA)

A partir de 2025, Microsoft aplicará MFA obligatorio para la CLI de Azure y otras herramientas de línea de comandos. MFA solo afectará a las identidades de usuario de Microsoft Entra ID . No afectará a las identidades de carga de trabajo, como las entidades de servicio y las identidades administradas .

Si usa az login con un ID de Entra y una contraseña para autenticar un script o un proceso automatizado, planee migrar ahora a una identidad de carga de trabajo. Para más información, consulte Impacto de la autenticación multifactor en la CLI de Azure en escenarios de automatización.

Búsqueda o cambio de la suscripción actual

Después de iniciar sesión, los comandos de la CLI se ejecutan en la suscripción predeterminada. Si tiene varias suscripciones, cambie la suscripción predeterminada mediante az account set --subscription.

az account set --subscription "<subscription ID or name>"

Para más información sobre la administración de suscripciones de Azure, consulte Administración de suscripciones de Azure con la CLI de Azure.

Tokens de actualización

Al iniciar sesión con una cuenta de usuario, la CLI de Azure genera y almacena un token de actualización de autenticación. Dado que los tokens de acceso son válidos durante un breve período de tiempo, se emite un token de actualización al mismo tiempo que se emite el token de acceso. La aplicación cliente puede intercambiar este token de actualización por un nuevo token de acceso cuando es necesario. Para obtener más información sobre la vigencia y expiración del token, consulte Actualizar tokens en la plataforma de identidad de Microsoft.

Use el comando az account get-access-token para recuperar el token de acceso:

# get access token for the active subscription
az account get-access-token

# get access token for a specific subscription
az account get-access-token --subscription "<subscription ID or name>"

A continuación se muestra información adicional sobre las fechas de expiración del token de acceso:

  • Las fechas de expiración se actualizan en un formato compatible con la CLI de Azure basada en MSAL.
  • A partir de la CLI de Azure 2.54.0, az account get-access-token devuelve tanto la propiedad expires_on como la propiedad expiresOn para la hora de expiración del token.
  • La expires_on propiedad representa una marca de tiempo de interfaz de sistema operativo portátil (POSIX) mientras que la expiresOn propiedad representa una fecha y hora local.
  • La propiedad expiresOn no expresa "desdoblar" cuando termina el horario de verano. Esto puede causar problemas en países o regiones donde se adopta el horario de verano. Para obtener más información sobre "fold", consulte PEP 495 – Desambiguación de hora local.
  • Se recomienda que las aplicaciones posteriores usen la expires_on propiedad, ya que usa el Tiempo Universal Coordinado (UTC).

Ejemplo de resultado:

{
  "accessToken": "...",
  "expiresOn": "2023-10-31 21:59:10.000000",
  "expires_on": 1698760750,
  "subscription": "...",
  "tenant": "...",
  "tokenType": "Bearer"
}

Nota:

En función del método de inicio de sesión, es posible que el inquilino tenga directivas de acceso condicional que restrinjan el acceso a determinados recursos.

Consulte también