Udostępnij za pośrednictwem

Uwierzytelnianie w Azure przy użyciu Azure CLI

Interfejs wiersza polecenia platformy Azure obsługuje kilka metod uwierzytelniania. Aby zapewnić bezpieczeństwo zasobów platformy Azure, ogranicz uprawnienia logowania dla twojego przypadku użycia.

Logowanie się do Azure przy użyciu Azure CLI

Podczas pracy z interfejsem wiersza polecenia platformy Azure dostępne są cztery opcje uwierzytelniania:

Metoda uwierzytelniania Korzyść
Azure Cloud Shell Usługa Azure Cloud Shell automatycznie rejestruje Cię, co jest najprostszym sposobem rozpoczęcia pracy.
Logowanie interakcyjne Ta opcja jest dobra podczas uczenia się poleceń interfejsu wiersza polecenia platformy Azure i uruchamiania interfejsu wiersza polecenia platformy Azure lokalnie. Za pomocą polecenia az login zaloguj się za pośrednictwem przeglądarki. Logowanie interakcyjne zapewnia również selektor subskrypcji do automatycznego ustawiania domyślnej subskrypcji.
Logowanie przy użyciu tożsamości zarządzanej Tożsamości zarządzane zapewniają tożsamość zarządzaną platformy Azure dla aplikacji do użycia podczas nawiązywania połączenia z zasobami obsługującymi uwierzytelnianie firmy Microsoft Entra. Użycie tożsamości zarządzanej eliminuje konieczność zarządzania wpisami tajnymi, poświadczeniami, certyfikatami i kluczami.
Logowanie przy użyciu podmiotu usługi Podczas pisania skryptów zalecanym podejściem do uwierzytelniania jest użycie tożsamości usługi. Przyznajesz tylko odpowiednie uprawnienia wymagane głównemu obiektowi usługi, co zapewnia bezpieczeństwo automatyzacji.

Uwierzytelnianie wieloskładnikowe (MFA)

Począwszy od września 2025 r., firma Microsoft będzie wymagać uwierzytelniania wieloskładnikowego (MFA) dla interfejsu wiersza polecenia platformy Azure i innych narzędzi wiersza polecenia. Ta zmiana dotyczy tylko tożsamości użytkowników identyfikatora Entra firmy Microsoft i nie ma wpływu na tożsamości obciążeń, takie jak jednostki usługi lub tożsamości zarządzane.

Jeśli używasz az login z nazwą użytkownika i hasłem do uwierzytelniania skryptów lub zautomatyzowanych przepływów pracy, nadszedł czas na migrację do tożsamości roboczej. Aby uzyskać więcej informacji, zobacz Wpływ uwierzytelniania wieloskładnikowego na interfejs wiersza polecenia platformy Azure w scenariuszach automatyzacji.

Znajdowanie lub zmienianie bieżącej subskrypcji

Po zalogowaniu, polecenia wiersza poleceń są uruchamiane w ramach domyślnej subskrypcji. Jeśli masz wiele subskrypcji, zmień domyślną subskrypcję przy użyciu polecenia az account set --subscription.

az account set --subscription "<subscription ID or name>"

Aby dowiedzieć się więcej na temat zarządzania subskrypcjami platformy Azure, zobacz Jak zarządzać subskrypcjami platformy Azure za pomocą interfejsu wiersza polecenia platformy Azure.

Odświeżanie tokenów

Po zalogowaniu się przy użyciu konta użytkownika interfejs wiersza polecenia platformy Azure generuje i przechowuje token odświeżania uwierzytelniania. Ponieważ tokeny dostępu są ważne tylko przez krótki czas, token odświeżania jest wystawiany w tym samym czasie, gdy token dostępu jest wystawiany. Aplikacja kliencka może następnie, jeśli to konieczne, wymienić ten token odświeżania na nowy token dostępu. Aby uzyskać więcej informacji na temat okresu istnienia i wygasania tokenów, zobacz Odświeżanie tokenów na platformie tożsamości firmy Microsoft.

Użyj polecenia az account get-access-token , aby pobrać token dostępu:

# get access token for the active subscription
az account get-access-token

# get access token for a specific subscription
az account get-access-token --subscription "<subscription ID or name>"

Oto kilka dodatkowych informacji na temat dat wygaśnięcia tokenu dostępu:

  • Daty wygaśnięcia są aktualizowane w formacie obsługiwanym przez interfejs wiersza polecenia platformy Azure oparty na protokole MSAL.
  • Począwszy od Azure CLI 2.54.0, az account get-access-token zwraca właściwość expires_on oraz właściwość expiresOn, które dotyczą czasu wygaśnięcia tokenu.
  • Właściwość expires_on reprezentuje znacznik czasu przenośnego interfejsu systemu operacyjnego (POSIX), podczas gdy expiresOn właściwość reprezentuje lokalną datę/godzinę.
  • Właściwość expiresOn nie wyraża "zmiany", gdy kończy się czas letni. Może to spowodować problemy w krajach lub regionach, w których przyjmuje się czas letni. Aby uzyskać więcej informacji na temat "rozróżnienia czasu lokalnego", zobacz PEP 495 – Rozróżnienie czasu lokalnego.
  • Zalecamy używanie właściwości expires_on w aplikacjach podrzędnych, ponieważ wykorzystuje uniwersalny czas koordynowany (UTC).

Przykładowy wynik:

{
  "accessToken": "...",
  "expiresOn": "2023-10-31 21:59:10.000000",
  "expires_on": 1698760750,
  "subscription": "...",
  "tenant": "...",
  "tokenType": "Bearer"
}

Uwaga / Notatka

W zależności od metody logowania dzierżawa może mieć zasady dostępu warunkowego , które ograniczają dostęp do określonych zasobów.

Zobacz także