你当前正在访问 Microsoft Azure Global Edition 技术文档网站。 如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站,请访问 https://docs.azure.cn

包含托管标识的 Azure 托管应用程序

注意

托管应用程序的托管标识支持目前为预览版。 请使用 2018-09-01-preview API 版本来利用托管标识。

了解如何将托管应用程序配置为包含托管标识。 使用托管标识可让客户向托管应用程序授予对其他现有资源的访问权限。 标识由 Azure 平台托管,无需设置或转交任何机密。 有关 Azure Active Directory (AAD) 中的托管标识的详细信息,请参阅 Azure 资源的托管标识

你的应用程序可以被授予两种类型的标识:

  • 系统分配的标识与你的应用程序相绑定,如果删除应用,标识也会被删除。 一个应用只能具有一个系统分配的标识。
  • 用户分配的标识是可以分配给应用的独立 Azure 资源。 一个应用可以具有多个用户分配的标识。

如何使用托管标识

托管标识可以实现托管应用程序的多种方案。 可解决的常见方案包括:

  • 部署链接到现有 Azure 资源的托管应用程序。 例如,在托管应用程序中部署已附加到现有网络接口的 Azure 虚拟机 (VM)。
  • 向托管应用程序和发布者授予对托管资源组外部的 Azure 资源的访问权限。
  • 为活动日志以及 Azure 中的其他服务提供托管应用程序的操作标识。

添加托管标识

创建包含托管标识的托管应用程序需要在 Azure 资源上设置一个附加的属性。 下面演示了一个示例标识属性:

{
"identity": {
    "type": "SystemAssigned, UserAssigned",
    "userAssignedIdentities": {
        "/subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/testRG/providers/Microsoft.ManagedIdentity/userassignedidentites/myuserassignedidentity": {}
    }
}

可通过两种常用方法创建包含标识的托管应用程序:CreateUIDefinition.jsonAzure 资源管理器模板。 对于简单的单一创建方案,应使用 CreateUIDefinition 来启用托管标识,因为它提供更丰富的体验。 但是,在处理需要自动化部署或多个托管应用程序部署的高级系统或复杂系统时,可以使用模板。

使用 CreateUIDefinition

可以通过 CreateUIDefinition.json 为托管应用程序配置托管标识。 在 outputs 节中,键 managedIdentity 可用于替代托管应用程序模板的标识属性。 以下示例将在托管应用程序中启用系统分配的标识。 可以通过使用 CreateUIDefinition 元素要求使用者提供输入,来构建更复杂的标识对象。 这些输入可用于构造包含用户分配的标识的托管应用程序。

"outputs": {
    "managedIdentity": { "Type": "SystemAssigned" }
}

何时使用 CreateUIDefinition 来启用托管标识

下面是有关何时使用 CreateUIDefinition 在托管应用程序中启用托管标识的一些建议。

  • 通过 Azure 门户或市场创建托管应用程序。
  • 托管标识需要复杂的使用者输入。
  • 创建托管应用程序时需要托管标识。

托管标识 CreateUIDefinition 控件

CreateUIDefinition 支持内置的托管标识控件

{
  "$schema": "https://schema.management.azure.com/schemas/0.1.2-preview/CreateUIDefinition.MultiVm.json#",
  "handler": "Microsoft.Azure.CreateUIDef",
  "version": "0.0.1-preview",
  "parameters": {
    "basics": [],
    "steps": [
      {
        "name": "applicationSettings",
        "label": "Application Settings",
        "subLabel": {
          "preValidation": "Configure your application settings",
          "postValidation": "Done"
        },
        "bladeTitle": "Application Settings",
        "elements": [
          {
            "name": "appName",
            "type": "Microsoft.Common.TextBox",
            "label": "Managed application Name",
            "toolTip": "Managed application instance name",
            "visible": true
          },
          {
            "name": "appIdentity",
            "type": "Microsoft.ManagedIdentity.IdentitySelector",
            "label": "Managed Identity Configuration",
            "toolTip": {
              "systemAssignedIdentity": "Enable system assigned identity to grant the managed application access to additional existing resources.",
              "userAssignedIdentity": "Add user assigned identities to grant the managed application access to additional existing resources."
            },
            "defaultValue": {
              "systemAssignedIdentity": "Off"
            },
            "options": {
              "hideSystemAssignedIdentity": false,
              "hideUserAssignedIdentity": false,
              "readOnlySystemAssignedIdentity": false
            },
            "visible": true
          }
        ]
      }
    ],
    "outputs": {
      "applicationResourceName": "[steps('applicationSettings').appName]",
      "location": "[location()]",
      "managedIdentity": "[steps('applicationSettings').appIdentity]"
    }
  }
}

Managed Identity CreateUIDefinition

使用 Azure 资源管理器模板

注意

将为经历 Azure 门户创建体验的客户自动生成市场托管应用程序模板。 对于这些方案,必须使用 CreateUIDefinition 中的 managedIdentity 输出键来启用标识。

也可以通过 Azure 资源管理器模板启用托管标识。 以下示例将在托管应用程序中启用系统分配的标识。 可以通过使用 Azure 资源管理器模板参数提供输入,来构建更复杂的标识对象。 这些输入可用于构造包含用户分配的标识的托管应用程序。

何时使用 Azure 资源管理器模板来启用托管标识

下面是有关何时使用 Azure 资源管理器模板在托管应用程序中启用托管标识的一些建议。

  • 可以基于模板以编程方式部署托管应用程序。
  • 预配托管应用程序需要托管标识的自定义角色分配。
  • 托管应用程序不需要 Azure 门户和市场创建流。

SystemAssigned 模板

用于部署包含系统分配的标识的托管应用程序的基本 Azure 资源管理器模板。

"resources": [
    {
        "type": "Microsoft.Solutions/applications",
        "name": "[parameters('applicationName')]",
        "apiVersion": "2018-09-01-preview",
        "location": "[parameters('location')]",
        "identity": {
            "type": "SystemAssigned"
        },
        "properties": {
            "ManagedResourceGroupId": "[parameters('managedByResourceGroupId')]",
            "parameters": { }
        }
    }
]

UserAssigned 模板

用于部署包含用户分配的标识的托管应用程序的基本 Azure 资源管理器模板。

"resources": [
    {
      "type": "Microsoft.ManagedIdentity/userAssignedIdentities",
      "name": "[parameters('managedIdentityName')]",
      "apiVersion": "2018-11-30",
      "location": "[parameters('location')]"
    },
    {
        "type": "Microsoft.Solutions/applications",
        "name": "[parameters('applicationName')]",
        "apiVersion": "2018-09-01-preview",
        "location": "[parameters('location')]",
        "identity": {
            "type": "UserAssigned",
            "userAssignedIdentities": {
                "[resourceID('Microsoft.ManagedIdentity/userAssignedIdentities/',parameters('managedIdentityName'))]": {}
            }
        },
        "properties": {
            "ManagedResourceGroupId": "[parameters('managedByResourceGroupId')]",
            "parameters": { }
        }
    }
]

授予对 Azure 资源的访问权限

为托管应用程序授予标识后,可通过创建角色分配为该应用程序授予对现有 Azure 资源的访问权限。

为此,请搜索并选择托管应用程序或用户分配标识的名称,然后选择“访问控制(IAM)”。 有关详细步骤,请参阅使用 Azure 门户分配 Azure 角色

链接现有的 Azure 资源

注意

在部署托管应用程序之前,必须配置用户分配的标识。 此外,托管应用程序的链接资源部署仅支持市场类型。

托管标识还可用于部署在部署期间需要访问现有资源的托管应用程序。 如果客户预配了托管应用程序,可以添加用户分配的标识以在 mainTemplate 部署中提供更多的授权。

使用链接资源创作 CreateUIDefinition

将托管应用程序的部署链接到现有资源时,必须提供现有的 Azure 资源,以及在该资源中具有适用角色分配的用户分配的标识

需要两个输入的示例 CreateUIDefinition:网络接口资源 ID 和用户分配的标识资源 ID。

{
    "$schema": "https://schema.management.azure.com/schemas/0.1.2-preview/CreateUIDefinition.MultiVm.json#",
    "handler": "Microsoft.Compute.MultiVm",
    "version": "0.1.2-preview",
    "parameters": {
        "basics": [
            {}
        ],
        "steps": [
            {
                "name": "managedApplicationSetting",
                "label": "Managed Application Settings",
                "subLabel": {
                    "preValidation": "Managed Application Settings",
                    "postValidation": "Done"
                },
                "bladeTitle": "Managed Application Settings",
                "elements": [
                    {
                        "name": "networkInterfaceId",
                        "type": "Microsoft.Common.TextBox",
                        "label": "network interface resource id",
                        "defaultValue": "/subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/testRG/providers/Microsoft.Network/networkInterfaces/existingnetworkinterface",
                        "toolTip": "Must represent the identity as an Azure Resource Manager resource identifer format ex. /subscriptions/sub1/resourcegroups/myGroup/providers/Microsoft.Network/networkInterfaces/networkinterface1",
                        "visible": true
                    },
                    {
                        "name": "userAssignedId",
                        "type": "Microsoft.Common.TextBox",
                        "label": "user assigned identity resource id",
                        "defaultValue": "/subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/testRG/providers/Microsoft.ManagedIdentity/userassignedidentites/myuserassignedidentity",
                        "toolTip": "Must represent the identity as an Azure Resource Manager resource identifer format ex. /subscriptions/sub1/resourcegroups/myGroup/providers/Microsoft.ManagedIdentity/userAssignedIdentities/identity1",
                        "visible": true
                    }
                ]
            }
        ],
        "outputs": {
            "existingNetworkInterfaceId": "[steps('managedApplicationSetting').networkInterfaceId]",
            "managedIdentity": "[parse(concat('{\"Type\":\"UserAssigned\",\"UserAssignedIdentities\":{',string(steps('managedApplicationSetting').userAssignedId),':{}}}'))]"
        }
    }
}

此 CreateUIDefinition.json 生成包含两个字段的“创建用户”体验。 第一个字段可让用户输入要链接到托管应用程序部署的资源的 Azure 资源 ID。 第二个字段可让使用者输入有权访问所链接 Azure 资源的用户分配的标识 Azure 资源 ID。 生成的体验如下所示:

Sample CreateUIDefinition with two inputs: a network interface resource ID and a user assigned identity resource ID

使用链接资源创作 mainTemplate

除了更新 CreateUIDefinition 以外,还需要更新主要模板才能接受传入的链接资源 ID。 可以通过添加新的参数来更新主要模板,以接受新的输出。 由于 managedIdentity 输出将替代生成的托管应用程序模板中的值,因此不会将其传递到主要模板,并且不应将其包含在 parameters 节中。

一个示例主要模板,用于在 CreateUIDefinition 提供的现有网络接口中设置网络配置文件。

{
    "$schema": "https://schema.management.azure.com/schemas/2015-01-01/deploymentTemplate.json#",
    "contentVersion": "1.0.0.0",
    "parameters": {
      "existingNetworkInterfaceId": { "type": "string" }
    },
    "variables": {
    },
    "resources": [
        {
            "apiVersion": "2016-04-30-preview",
            "type": "Microsoft.Compute/virtualMachines",
            "name": "myLinkedResourceVM",
            "location": "[resourceGroup().location]",
            "properties": {
                …,
                "networkProfile": {
                    "networkInterfaces": [
                        {
                            "id": "[parameters('existingNetworkInterfaceId')]"
                        }
                    ]
                }
            }
        }
    ]
}

使用包含链接资源的托管应用程序

创建托管应用程序包后,可通过 Azure 门户使用该托管应用程序。 需要完成几个前提步骤才能使用该应用程序。

访问托管标识令牌

现在,可以在发布者租户中通过 listTokens API 访问托管应用程序的令牌。 示例请求可能如下所示:

POST https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroup}/providers/Microsoft.Solutions/applications/{applicationName}/listTokens?api-version=2018-09-01-preview HTTP/1.1

{
    "authorizationAudience": "https://management.azure.com/",
    "userAssignedIdentities": [
        "/subscriptions/{subscriptionId}/resourceGroups/{resourceGroup}/providers/Microsoft.ManagedIdentity/userAssignedIdentities/{userAssignedIdentityName}"
    ]
}

请求正文参数:

参数 必须 说明
authorizationAudience 目标资源的应用 ID URI。 它也是颁发的令牌的 aud(受众)声明。 默认值为 https://management.azure.com/";
userAssignedIdentities 要检索其令牌的用户分配托管标识的列表。 如果未指定,listTokens 将返回系统分配的托管标识的令牌。

示例响应可能如下所示:

HTTP/1.1 200 OK
Content-Type: application/json

{
    "value": [
        {
            "access_token": "eyJ0eXAi…",
            "expires_in": "2…",
            "expires_on": "1557…",
            "not_before": "1557…",
            "authorizationAudience": "https://management.azure.com/",
            "resourceId": "/subscriptions/{subscriptionId}/resourceGroups/{resourceGroup}/providers/Microsoft.Solutions/applications/{applicationName}",
            "token_type": "Bearer"
        }
    ]
}

响应将在 value 属性下包含令牌数组:

参数 说明
access_token 请求的访问令牌。
expires_in 访问令牌的有效秒数。
expires_on 访问令牌过期的时间范围。 此值以从纪元算起的秒数表示。
not_before 访问令牌生效的时间范围。 此值以从纪元算起的秒数表示。
authorizationAudience 请求其访问令牌的 aud(受众)。 这与 listTokens 请求中提供的值相同。
ResourceId 颁发的令牌的 Azure 资源 ID。 此值为托管应用程序 ID 或用户分配的标识 ID。
token_type 令牌的类型。

后续步骤