Использование управляемых удостоверений для ресурсов Azure на виртуальной машине Azure для получения токена доступа

Управляемые удостоверения для ресурсов Azure предоставляют службам Azure автоматически управляемую идентичность в Microsoft Entra ID. Это удостоверение можно использовать для проверки подлинности в любой службе, которая поддерживает аутентификацию Microsoft Entra, без использования учетных данных в коде.

В этой статье приведены различные примеры кода и скриптов для получения токенов. Он также содержит рекомендации по обработке истечения срока действия маркера и ошибок HTTP.

Предпосылки

• Если вы не знакомы с функцией управляемых удостоверений для ресурсов Azure, см. этот обзор. Если у вас нет учетной записи Azure, зарегистрируйтесь для получения бесплатной учетной записи, прежде чем продолжить.

Если вы планируете использовать примеры Azure PowerShell в этой статье, обязательно установите последнюю версию Azure PowerShell.

Обзор

Клиентское приложение может запросить токен доступа только для приложений, чтобы получить доступ к указанному ресурсу. Маркер основан на управляемых удостоверениях для субъекта-службы ресурсов Azure. Таким образом, клиенту не требуется получать токен доступа в рамках собственного служебного принципала. Данный токен подходит для использования в качестве токена-носителя в вызовах между службами, требующих учетных данных клиента.

Получение маркера с помощью HTTP

Базовый интерфейс для получения маркера доступа основан на REST, что делает его доступным для любого клиентского приложения, работающего на виртуальной машине, которая может выполнять http-вызовы REST. Такой подход аналогичен модели программирования Microsoft Entra, за исключением того, что клиент использует конечную точку на виртуальной машине вместо конечной точки Microsoft Entra.

Пример запроса с помощью конечной точки службы метаданных экземпляра Azure (IMDS) (рекомендуется):

GET 'http://169.254.169.254/metadata/identity/oauth2/token?api-version=2018-02-01&resource=https://management.azure.com/' HTTP/1.1 Metadata: true

Пример ответа:

HTTP/1.1 200 OK
Content-Type: application/json
{
  "access_token": "eyJ0eXAi...",
  "refresh_token": "",
  "expires_in": "3599",
  "expires_on": "1506484173",
  "not_before": "1506480273",
  "resource": "https://management.azure.com/",
  "token_type": "Bearer"
}

Получение токена с помощью клиентской библиотеки удостоверений Azure

Рекомендуется использовать клиентскую библиотеку удостоверений Azure для управления удостоверениями. Все пакеты SDK Azure интегрированы с библиотекой Azure.Identity , которая обеспечивает поддержку DefaultAzureCredential. Этот класс упрощает использование управляемых удостоверений в SDK Azure.Подробнее

1. Установите пакет Azure.Identity и другие необходимые пакеты библиотеки Пакета SDK Azure, например Azure.Security.KeyVault.Secret.

2. Используйте приведенный ниже пример кода. Вам не нужно беспокоиться о получении токенов. Вы можете напрямую использовать клиенты azure SDK. Код предназначен для демонстрации того, как получить маркер, если вам нужно.

   using Azure.Core;
   using Azure.Identity;
   
   string managedIdentityClientId = "<your managed identity client Id>";
   var credential = new ManagedIdentityCredential(managedIdentityClientId);
   var accessToken = await credential.GetTokenAsync(new TokenRequestContext(["https://vault.azure.net"]));
   // To print the token, you can convert it to string 
   var accessTokenString = accessToken.Token;
   
   // You can use the credential object directly with Key Vault client.     
   var client = new SecretClient(new Uri("https://myvault.vault.azure.net/"), credential);
   

Получите токен с помощью C#

using System;
using System.Net.Http;
using Newtonsoft.Json.Linq;

// Construct HttpClient
var httpClient = new HttpClient
{
    DefaultRequestHeaders =
    {
        { "Metadata", Boolean.TrueString }
    }
};

// Construct URI to call
var resource = "https://management.azure.com/";
var uri = $"http://169.254.169.254/metadata/identity/oauth2/token?api-version=2018-02-01&resource={resource}";

// Make call
var response = await httpClient.GetAsync(uri);
try
{
    response.EnsureSuccessStatusCode();
}
catch (HttpRequestException)
{
    var error = await response.Content.ReadAsStringAsync();
    Console.WriteLine(error);
    throw;
}

// Parse response using Newtonsoft.Json
var content = await response.Content.ReadAsStringAsync();
var obj = JObject.Parse(content);
var accessToken = obj["access_token"];

Console.WriteLine(accessToken);

Получение токена с помощью Java

Используйте эту библиотеку JSON для получения токена с помощью Java.

import java.io.*;
import java.net.*;
import com.fasterxml.jackson.core.*;
 
class GetMSIToken {
    public static void main(String[] args) throws Exception {
 
        URL msiEndpoint = new URL("http://169.254.169.254/metadata/identity/oauth2/token?api-version=2018-02-01&resource=https://management.azure.com/");
        HttpURLConnection con = (HttpURLConnection) msiEndpoint.openConnection();
        con.setRequestMethod("GET");
        con.setRequestProperty("Metadata", "true");
 
        if (con.getResponseCode()!=200) {
            throw new Exception("Error calling managed identity token endpoint.");
        }
 
        InputStream responseStream = con.getInputStream();
 
        JsonFactory factory = new JsonFactory();
        JsonParser parser = factory.createParser(responseStream);
 
        while(!parser.isClosed()){
            JsonToken jsonToken = parser.nextToken();
 
            if(JsonToken.FIELD_NAME.equals(jsonToken)){
                String fieldName = parser.getCurrentName();
                jsonToken = parser.nextToken();
 
                if("access_token".equals(fieldName)){
                    String accesstoken = parser.getValueAsString();
                    System.out.println("Access Token: " + accesstoken.substring(0,5)+ "..." + accesstoken.substring(accesstoken.length()-5));
                    return;
                }
            }
        }
    }
}

Получение токена с использованием Go

package main

import (
  "fmt"
  "io/ioutil"
  "net/http"
  "net/url"
  "encoding/json"
)

type responseJson struct {
  AccessToken string `json:"access_token"`
  RefreshToken string `json:"refresh_token"`
  ExpiresIn string `json:"expires_in"`
  ExpiresOn string `json:"expires_on"`
  NotBefore string `json:"not_before"`
  Resource string `json:"resource"`
  TokenType string `json:"token_type"`
}

func main() {
    
    // Create HTTP request for a managed services for Azure resources token to access Azure Resource Manager
    var msi_endpoint *url.URL
    msi_endpoint, err := url.Parse("http://169.254.169.254/metadata/identity/oauth2/token?api-version=2018-02-01")
    if err != nil {
      fmt.Println("Error creating URL: ", err)
      return 
    }
    msi_parameters := msi_endpoint.Query()
    msi_parameters.Add("resource", "https://management.azure.com/")
    msi_endpoint.RawQuery = msi_parameters.Encode()
    req, err := http.NewRequest("GET", msi_endpoint.String(), nil)
    if err != nil {
      fmt.Println("Error creating HTTP request: ", err)
      return 
    }
    req.Header.Add("Metadata", "true")

    // Call managed services for Azure resources token endpoint
    client := &http.Client{}
    resp, err := client.Do(req) 
    if err != nil{
      fmt.Println("Error calling token endpoint: ", err)
      return
    }

    // Pull out response body
    responseBytes,err := ioutil.ReadAll(resp.Body)
    defer resp.Body.Close()
    if err != nil {
      fmt.Println("Error reading response body : ", err)
      return
    }

    // Unmarshall response body into struct
    var r responseJson
    err = json.Unmarshal(responseBytes, &r)
    if err != nil {
      fmt.Println("Error unmarshalling the response:", err)
      return
    }

    // Print HTTP response and marshalled response body elements to console
    fmt.Println("Response status:", resp.Status)
    fmt.Println("access_token: ", r.AccessToken)
    fmt.Println("refresh_token: ", r.RefreshToken)
    fmt.Println("expires_in: ", r.ExpiresIn)
    fmt.Println("expires_on: ", r.ExpiresOn)
    fmt.Println("not_before: ", r.NotBefore)
    fmt.Println("resource: ", r.Resource)
    fmt.Println("token_type: ", r.TokenType)
}

Получение токена с помощью PowerShell

В следующем примере показано, как использовать управляемые удостоверения для REST-эндпоинта ресурсов Azure с клиента PowerShell:

1. Получение токена доступа.
2. Используйте маркер доступа для вызова REST API Azure Resource Manager и получения сведений о виртуальной машине. Обязательно замените идентификатор подписки, имя группы ресурсов и имя виртуальной машины на <SUBSCRIPTION-ID>, <RESOURCE-GROUP> и <VM-NAME> соответственно.

Invoke-RestMethod -Method GET -Uri 'http://169.254.169.254/metadata/identity/oauth2/token?api-version=2018-02-01&resource=https%3A%2F%2Fmanagement.azure.com%2F' -Headers @{Metadata="true"}

Пример разбора маркера доступа из ответа:

# Get an access token for managed identities for Azure resources
$resource = 'https://management.azure.com'
$response = Invoke-RestMethod -Method GET `
                            -Uri "http://169.254.169.254/metadata/identity/oauth2/token?api-version=2018-02-01&resource=$resource" `
                            -Headers @{ Metadata="true" }
$accessToken = $response.access_token
Write-Host "Access token using a User-Assigned Managed Identity is $accessToken"

# Use the access token to get resource information for the VM
$secureToken = $accessToken | ConvertTo-SecureString -AsPlainText
$vmInfoRest = Invoke-RestMethod -Method GET `
                              -Uri 'https://management.azure.com/subscriptions/<SUBSCRIPTION-ID>/resourceGroups/<RESOURCE-GROUP>/providers/Microsoft.Compute/virtualMachines/<VM-NAME>?api-version=2017-12-01' `
                              -ContentType 'application/json' `
                              -Authentication Bearer `
                              -Token $secureToken
Write-Host "JSON returned from call to get VM info: $($vmInfoRest.content)"

Получите токен с помощью CURL

curl 'http://169.254.169.254/metadata/identity/oauth2/token?api-version=2018-02-01&resource=https%3A%2F%2Fmanagement.azure.com%2F' -H Metadata:true -s

Пример разбора маркера доступа из ответа:

response=$(curl 'http://169.254.169.254/metadata/identity/oauth2/token?api-version=2018-02-01&resource=https%3A%2F%2Fmanagement.azure.com%2F' -H Metadata:true -s)
access_token=$(echo $response | python -c 'import sys, json; print (json.load(sys.stdin)["access_token"])')
echo Access token using a User-Assigned Managed Identity is $access_token

Кэширование маркеров

Подсистема управляемых удостоверений кэширует токены, но мы по-прежнему рекомендуем реализовать кэширование токенов в коде. Необходимо подготовиться к сценариям, когда ресурс указывает, что срок действия маркера истек.

Сетевые вызовы к Microsoft Entra ID выполняются только в следующих случаях:

• Промах кэша происходит из-за отсутствия токена в кэше подсистемы управляемых идентичностей для ресурсов Azure.
• Срок действия кэшированного токена истек.

Обработка ошибок

Конечная точка управляемых удостоверений сигнализирует об ошибках через поле кода состояния заголовка сообщения HTTP в виде ошибок 4xx или 5xx:

Если возникает ошибка, соответствующий текст ответа HTTP содержит JSON с подробными сведениями об ошибке:

Справочник по HTTP-ответам

В этом разделе описаны возможные ответы на ошибки. Состояние "200 ОК" — это успешный ответ, и маркер доступа содержится в тексте ответа JSON в элементе access_token.

Руководство по повторной попытке

Повторите попытку при получении кода ошибки 404, 429 или 5xx (см. обработку ошибок). Если вы получаете ошибку 410, это означает, что IMDS проходит через обновления и будет доступен не более 70 секунд.

Ограничения регулирования применяются к количеству вызовов, выполненных в конечную точку IMDS. При превышении порогового значения регулирования конечная точка IMDS ограничивает любые дальнейшие запросы, пока ограничение действует. В течение этого периода конечная точка IMDS возвращает код состояния HTTP 429 ("Слишком много запросов"), а запросы завершаются сбоем.

Для повторных попыток рекомендуется использовать следующую стратегию:

Идентификаторы ресурсов для служб Azure

Ознакомьтесь со службами Azure с поддержкой управляемых удостоверений, чтобы узнать список ресурсов, поддерживающих управляемые удостоверения для ресурсов Azure.

Дальнейшие шаги

• Сведения о включении управляемых удостоверений для ресурсов Azure на виртуальной машине Azure см. в статье "Настройка управляемых удостоверений для ресурсов Azure" на виртуальной машине с помощью портала Azure.