管理 Azure 地圖服務中的驗證

發行項
04/24/2024

當您建立 Azure 地圖服務帳戶時，會自動建立用戶端識別碼和共用金鑰。使用 Microsoft Entra ID 或共用金鑰驗證時，需要這些值才能進行驗證。

必要條件

登入 Azure 入口網站。如尚未擁有 Azure 訂用帳戶，請在開始之前先建立免費帳戶。

檢視驗證詳細資料

重要

當您使用共用金鑰驗證呼叫 Azure 地圖服務時，建議使用主鍵作為訂閱金鑰。在輪流金鑰變更等案例中，最好使用次要金鑰。

如要檢視您的 Azure 地圖服務驗證詳細資料：

登入 Azure 入口網站。
選取 [Azure 服務] 區段的 [Azure 資源]，然後選取您的 Azure 地圖服務帳戶。
左側窗格的 [設定] 區段中選取 [驗證]。

選擇驗證類別

視您的應用程式需求而定，應用程式安全性有其特定路徑。 Microsoft Entra ID 定義特定的驗證類別，以支援各種不同的驗證流程。如要為您的應用程式選擇最佳類別，請參閱應用程式類別。

注意

無論是使用 Microsoft Entra ID 或共用金鑰驗證，瞭解類別和案例可協助您保護 Azure 地圖服務應用程式的安全。

如何新增和移除受控識別

若要使用 Azure 地圖服務 REST API 啟用共用存取簽章 (SAS) 權杖驗證，您需要將使用者指派的受控識別新增至您的 Azure 地圖服務帳戶。

建立受控識別

您可以在建立地圖帳戶之前或之後建立使用者指派的受控識別。您可以透過入口網站、Azure 管理 SDK 或 Azure Resource Manager (ARM) 範本新增受控識別。如要透過 ARM 範本新增使用者指派的受控識別，請指定使用者指派受控識別的資源識別碼。

"identity": {
    "type": "UserAssigned",
    "userAssignedIdentities": {
        "/subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/example/providers/Microsoft.ManagedIdentity/userAssignedIdentities/exampleidentity": {}
    }
}

移除受控識別

如要移除系統指派的身分識別，您可透過入口網站或 ARM 範本，依先前建立該功能的方式停用。使用者指派的身分識別可以個別移除。如要移除所有身分識別，請將身分識別類型設為"None"。

以這種方式移除系統指派的身分識別，也會從 Microsoft Entra ID 將其刪除。當您刪除 Azure 地圖服務帳戶時，系統指派的身分識別會自動從 Microsoft Entra ID 移除。

如要使用 ARM 範本來移除所有身分識別，請更新本區段：

"identity": {
    "type": "None"
}

選擇驗證和授權案例

下表概述 Azure 地圖服務中的常見驗證和授權案例。每個案例描述可用來存取 Azure 地圖服務 REST API 的應用程式類型。使用連結來瞭解每個案例的詳細組態資訊。

重要

針對生產應用程式，我們建議透過 Azure 角色型存取控制 (Azure RBAC) 實作 Microsoft Entra ID。

案例	驗證	授權	開發投入量	作業投入量
受信任的精靈應用程式或非互動式用戶端應用程式	共用金鑰	N/A	中	高
受信任的精靈應用程式或非互動式用戶端應用程式	Microsoft Entra ID	高	低	中
具有互動式單一登入的單一頁面應用程式	Microsoft Entra ID	高	中	中
具有非互動式單一登入的單一頁面應用程式	Microsoft Entra ID	高	中	中
Web 應用程式、精靈應用程式或非互動式登入應用程式	SAS 權杖	高	中	低
具有互動式單一登入的 Web 應用程式	Microsoft Entra ID	高	高	中
IoT 裝置或輸入限制的應用程式	Microsoft Entra ID	高	中	中

檢視內建 Azure 地圖服務角色定義

如要檢視內建 Azure 地圖服務角色定義：

從左側窗格中，選取 [存取控制 (IAM)]。
選取 [角色] 索引標籤。
在搜尋方塊中，輸入 [Azure 地圖服務]。

結果會顯示 Azure 地圖服務的可用內建角色定義。

View built-in Azure Maps role definitions.

檢視角色指派

檢視使用者與應用程式授與存取 Azure 地圖服務，移至 存取控制 (IAM)。在該處，選取 [角色指派]，然後依 Azure 地圖服務 進行篩選。

從左側窗格中，選取 [存取控制 (IAM)]。
選取 [角色指派] 索引標籤。
在搜尋方塊中，輸入 [Azure 地圖服務]。

結果會顯示目前 Azure 地圖服務角色指派。

View built-in View users and apps that have been granted access.

要求 Azure 地圖服務的權杖

向 Microsoft Entra 權杖端點要求權杖。在 Microsoft Entra ID 要求中，使用下列詳細資料：

Azure 環境	Microsoft Entra 權杖端點	Azure 資源識別碼
Azure 公用雲端	`https://login.microsoftonline.com`	`https://atlas.microsoft.com/`
Azure Government 雲端	`https://login.microsoftonline.us`	`https://atlas.microsoft.com/`

如需針對使用者和服務主體向 Microsoft Entra ID 要求存取權杖的詳細資訊，請參閱適用於 Microsoft Entra ID 的驗證案例。如要檢視特定案例，請參閱案例資料表。

管理和輪替共用金鑰

您的 Azure 地圖服務訂閱金鑰類似於您的 Azure 地圖服務帳戶的根密碼。請務必小心保護您的訂閱金鑰。使用 Azure Key Vault 以安全的方式管理及輪替金鑰。避免將存取金鑰散發給其他使用者、寫入程式碼，或將其以純文字儲存在他人可以存取的位置。如果您認為金鑰可能遭入侵，請輪替金鑰。

注意

可能的話，建議使用 Microsoft Entra ID 而非共用金鑰來授權要求。 Microsoft Entra ID 比共用金鑰有更好的安全性，而且更容易使用。

手動輪替訂閱金鑰

為協助保護您的 Azure 地圖服務帳戶安全，建議定期輪替您的訂閱金鑰。如果可以，請使用 Azure Key Vault 來管理您的存取金鑰。如果您未使用 AKV，則必須手動輪替金鑰。

由於指派兩個存取金鑰，因此您可以旋轉金鑰。使用兩個金鑰可確保您的應用程式會在整個程序維持 Azure 地圖服務的存取權。

若要在 Azure 入口網站中輪替您的 Azure 地圖服務訂閱金鑰：

更新您的應用程式程式碼，以參考 Azure 地圖服務帳戶和部署的次要金鑰。
在 Azure 入口網站中，瀏覽至您的 Azure 地圖服務帳戶。
選取 [設定] 下方的 [驗證]。
如要重新產生 Azure 地圖服務帳戶的主索引鍵，請選取主索引鍵旁的 [重新產生] 按鈕。
更新應用程式程式碼以參考新的主索引鍵並部署。
以同樣方式重新產生次要金鑰。

警告

建議您在所有應用程式中使用相同的金鑰。如果您在某些地方使用主要金鑰，而在其他地方使用次要金鑰，就無法在沒有部分應用程式遺失存取的情況下輪替您的金鑰。

下一步

尋找 Azure 地圖服務帳戶的 API 使用計量：

檢視使用計量

探索範例，了解如何使用 Azure 地圖服務與 Microsoft Entra ID 整合：

Microsoft Entra 驗證範例

共用方式為