Share via


Felügyelt identitások használata Azure-erőforrásokhoz azure-beli virtuális gépen bejelentkezéshez

Az Azure-erőforrások felügyelt identitásai a Microsoft Entra ID egyik funkciója. Each of the Azure services that support managed identities for Azure resources are subject to their own timeline. Mielőtt nekikezdene, tekintse át az erőforrásához tartozó felügyelt identitások elérhetőségi állapotát, valamint az ismert problémákat.

Ez a cikk PowerShell- és CLI-szkript példákat tartalmaz az Azure-erőforrások szolgáltatásnévhez tartozó felügyelt identitások használatával történő bejelentkezéshez, valamint útmutatást nyújt olyan fontos témakörökhöz, mint a hibakezelés.

Megjegyzés:

We recommend that you use the Azure Az PowerShell module to interact with Azure. See Install Azure PowerShell to get started. To learn how to migrate to the Az PowerShell module, see Migrate Azure PowerShell from AzureRM to Az.

Előfeltételek

Ha a cikkben szereplő Azure PowerShell- vagy Azure CLI-példákat szeretné használni, mindenképpen telepítse az Azure PowerShell vagy az Azure CLI legújabb verzióját.

Fontos

Áttekintés

Az Azure-erőforrások felügyelt identitásai szolgáltatásnév objektumotbiztosítanak, amely akkor jön létre, ha engedélyezi a felügyelt identitásokat az Azure-erőforrások számára a virtuális gépen. A szolgáltatásnév hozzáférést kaphat az Azure-erőforrásokhoz, és szkriptek/parancssori ügyfelek használhatják identitásként a bejelentkezéshez és az erőforrás-hozzáféréshez. A biztonságos erőforrások saját identitással való eléréséhez a szkriptügyfélnek hagyományosan a következőkre van szüksége:

  • a Microsoft Entra-azonosítóval bizalmas/webes ügyfélalkalmazásként regisztrálva és jóváhagyva
  • jelentkezzen be a szolgáltatásnév alatt az alkalmazás hitelesítő adataival (amelyek valószínűleg a szkriptbe vannak beágyazva)

Az Azure-erőforrások felügyelt identitásaival a szkriptügyfélnek sem kell többé tennie, mivel az Azure-erőforrások szolgáltatásnév felügyelt identitásai alatt tud bejelentkezni.

Azure CLI

Az alábbi szkript bemutatja, hogyan:

  1. Jelentkezzen be a Microsoft Entra-azonosítóba a virtuális gép felügyelt identitása alatt az Azure-erőforrások szolgáltatásnévhez

  2. Hívja meg az Azure Resource Managert, és kérje le a virtuális gép szolgáltatásnév-azonosítóját. A parancssori felület gondoskodik a jogkivonatok beszerzésének/használatának automatikus kezeléséről. Mindenképpen cserélje le a virtuális gép nevét a következőre <VM-NAME>: .

    az login --identity
    
    $spID=$(az resource list -n <VM-NAME> --query [*].identity.principalId --out tsv)
    echo The managed identity for Azure resources service principal ID is $spID
    

Azure PowerShell

Az alábbi szkript bemutatja, hogyan:

  1. Jelentkezzen be a Microsoft Entra-azonosítóba a virtuális gép felügyelt identitása alatt az Azure-erőforrások szolgáltatásnévhez

  2. Hívja meg az Azure Resource Manager-parancsmagot a virtuális gép adatainak lekéréséhez. A PowerShell gondoskodik a jogkivonatok automatikus használatáról.

    Add-AzAccount -identity
    
    # Call Azure Resource Manager to get the service principal ID for the VM's managed identity for Azure resources. 
    $vmInfoPs = Get-AzVM -ResourceGroupName <RESOURCE-GROUP> -Name <VM-NAME>
    $spID = $vmInfoPs.Identity.PrincipalId
    echo "The managed identity for Azure resources service principal ID is $spID"
    

Erőforrás-azonosítók az Azure-szolgáltatásokhoz

Tekintse meg a Microsoft Entra-hitelesítést támogató Azure-szolgáltatásokat azon erőforrások listájához, amelyek támogatják a Microsoft Entra-azonosítót, és amelyeket felügyelt identitásokkal teszteltek az Azure-erőforrásokhoz és azok erőforrás-azonosítóihoz.

Hibakezelési útmutató

Az alábbiakhoz hasonló válaszok azt jelezhetik, hogy a virtuális gép felügyelt identitása az Azure-erőforrásokhoz nincs megfelelően konfigurálva:

  • PowerShell: Invoke-WebRequest: Nem lehet csatlakozni a távoli kiszolgálóhoz
  • CLI: MSI: Nem sikerült lekérni egy jogkivonatot http://localhost:50342/oauth2/token "HTTP Csatlakozás ionPool(host='localhost", port=50342) hibával.

Ha ezek közül a hibák egyike jelenik meg, térjen vissza az Azure-beli virtuális géphez az Azure Portalon , és lépjen az Identitás lapra, és győződjön meg arról, hogy a hozzárendelt rendszer "Igen" értékre van állítva.

További lépések