Поделиться через

Проверка подлинности в Azure с помощью Azure CLI

  • Статья

Azure CLI поддерживает несколько методов проверки подлинности. Чтобы обеспечить безопасность ресурсов Azure, ограничьте разрешения на вход для вашего варианта использования.

Вход в Azure с помощью Azure CLI

При работе с Azure CLI существует четыре варианта проверки подлинности:

Метод аутентификации Преимущество
Azure Cloud Shell Azure Cloud Shell автоматически регистрирует вас и проще всего приступить к работе.
Войдите в интерактивное режиме Этот вариант подходит при обучении команд Azure CLI и локальном запуске Azure CLI. С помощью команды az login выполните вход через браузер. Интерактивный вход также предоставляет селектор подписки для автоматической установки подписки по умолчанию.
Вход с помощью управляемого удостоверения Управляемые удостоверения предоставляют управляемую удостоверенность Azure для приложений при подключении к ресурсам, поддерживающим аутентификацию Microsoft Entra. Использование управляемого удостоверения устраняет необходимость управления секретами, учетными данными, сертификатами и ключами.
Войти с помощью сервисного принципала При написании скриптов рекомендуется использовать учетную запись службы. Вы предоставляете только соответствующие разрешения, необходимые служебному принципалу, обеспечивая защиту автоматизации.

многофакторная проверка подлинности (MFA)

Начиная с 2025 года корпорация Майкрософт будет применять обязательный MFA для Azure CLI и других средств командной строки. MFA повлияет только на идентификаторы пользователей Microsoft Entra ID . Это не повлияет на удостоверения рабочей нагрузки, такие как служебные субъекты и управляемые удостоверения.

Если вы используете az login с Entra ID и паролем для аутентификации скрипта или автоматизированного процесса, запланируйте переход на удостоверение задачи. Для получения дополнительной информации см. статью «The impact of multifactor authentication on Azure CLI in automation scenarios».

Поиск или изменение текущей подписки

После входа команды CLI выполняются в вашей подписке по умолчанию. Если у вас несколько подписок, измените подписку по умолчанию с помощью az account set --subscription.

az account set --subscription "<subscription ID or name>"

Дополнительные сведения об управлении подписками Azure см. в статье "Управление подписками Azure с помощью Azure CLI".

токены обновления.

При входе с помощью учетной записи пользователя Azure CLI создает и сохраняет маркер обновления проверки подлинности. Так как маркеры доступа действительны только в течение короткого периода времени, маркер обновления выдается одновременно с маркером доступа. Затем клиентское приложение может при необходимости обменять этот маркер обновления на новый маркер доступа. Дополнительную информацию о сроке действия и истечении токенов см. в разделе Платформа удостоверений Microsoft.

Используйте команду az account get-access-token для получения токена доступа:

# get access token for the active subscription
az account get-access-token

# get access token for a specific subscription
az account get-access-token --subscription "<subscription ID or name>"

Ниже приведены дополнительные сведения о датах окончания срока действия маркера доступа:

  • Даты окончания срока действия обновляются в формате, поддерживаемом Azure CLI на основе MSAL.
  • Начиная с версии Azure CLI 2.54.0, az account get-access-token возвращает свойство expires_on вместе со свойством expiresOn, указывающим время истечения срока действия токена.
  • Свойство expires_on представляет временную метку POSIX, а свойство expiresOn представляет локальную дату и время.
  • Свойство expiresOn не отображает "перехода", когда заканчивается летнее время. Это может привести к проблемам в странах или регионах, где используется летнее время. Для получения дополнительной информации о "складке" см. в PEP 495 — разрешение неоднозначностей местного времени.
  • Для подчиненных приложений рекомендуется использовать expires_on свойство, так как он использует универсальный код времени (UTC).

Пример результата:

{
  "accessToken": "...",
  "expiresOn": "2023-10-31 21:59:10.000000",
  "expires_on": 1698760750,
  "subscription": "...",
  "tenant": "...",
  "tokenType": "Bearer"
}

Примечание.

В зависимости от метода входа ваш клиент может иметь политики условного доступа, ограничивающие доступ к определенным ресурсам.

См. также