Управление управляемыми идентификациями, назначенными пользователем, с помощью Azure CLI

Управляемые удостоверения для ресурсов Azure устраняют потребность в управлении учетными данными в коде. Их можно использовать для получения маркера Microsoft Entra для приложений. Приложения могут использовать маркер при доступе к ресурсам, поддерживающим проверку подлинности Microsoft Entra. Azure управляет этим удостоверением, поэтому вам это делать не нужно.

Существует два типа управляемых удостоверений: назначаемые системой и назначаемые пользователем. Жизненный цикл управляемых удостоверений, назначаемых системой, связан с ресурсом, который их создал. Это удостоверение ограничено только одним ресурсом, и вы можете предоставить разрешения управляемому удостоверению с помощью управления доступом на основе ролей Azure (RBAC). Назначаемые пользователем управляемые удостоверения могут использоваться для нескольких ресурсов.

Из этой статьи вы узнаете, как создавать и удалять роли, получать их список и назначать их для назначаемого пользователем управляемого удостоверения с помощью Azure CLI.

Предпосылки

• Если вы не работали с управляемыми удостоверениями для ресурсов Azure, изучите общие сведения. Обязательно просмотрите разницу между назначаемой системой и назначаемой пользователем управляемой идентификацией.
• Если у вас нет учетной записи Azure, сначала зарегистрируйтесь для получения бесплатной пробной учетной записи.

Подготовьте вашу среду

• Используйте среду Bash в Azure Cloud Shell. Дополнительные сведения см. в статье "Начало работы с Azure Cloud Shell".

  

• Если вы предпочитаете запускать справочные команды CLI локально, установите Azure CLI. Если вы работаете в Windows или macOS, подумайте о запуске Azure CLI в контейнере Docker. Дополнительные сведения см. в статье Как запустить Azure CLI в контейнере Docker.

  • Если вы используете локальную установку, войдите в Azure CLI с помощью команды az login . Чтобы завершить процесс аутентификации, следуйте шагам, отображаемым в вашем терминале. Сведения о других параметрах входа см. в статье "Проверка подлинности в Azure с помощью Azure CLI".

  • Когда вас попросят, установите расширение Azure CLI при первом использовании. Дополнительные сведения о расширениях см. в статье Использование расширений и управление ими с помощью Azure CLI.

  • Выполните команду az version, чтобы узнать установленную версию и зависимые библиотеки. Чтобы обновиться до последней версии, выполните команду az upgrade.

Чтобы изменить разрешения пользователя при использовании субъекта-службы приложений с помощью интерфейса командной строки (CLI), необходимо предоставить дополнительные разрешения субъекта-службы в API Graph Azure Active Directory, поскольку элементы CLI выполняют запросы GET к API Graph. В противном случае вы можете получить сообщение о нехватке прав для завершения операции.

Чтобы выполнить этот шаг, выполните указанные ниже действия.

1. Перейдите к регистрации приложения в идентификаторе Microsoft Entra, выберите приложение, выберите разрешения API и прокрутите вниз и выберите Azure Active Directory Graph.
2. Выберите разрешения приложения и добавьте соответствующие разрешения.

Создание управляемой идентичности, назначаемой пользователем

Чтобы создать назначаемое пользователем управляемое удостоверение, учетной записи должна быть назначена роль участника управляемого удостоверения.

1. az identity create Используйте команду для создания управляемого удостоверения, назначаемого пользователем. Параметр -g указывает группу ресурсов, в которой было создано назначаемое пользователем управляемое удостоверение. Параметр -n указывает его имя.

2. Замените значения параметров <RESOURCE GROUP> и <USER ASSIGNED IDENTITY NAME> собственными значениями.

   Это важно

   При создании управляемых удостоверений, назначаемых пользователем, имя должно начинаться с буквы или числа, а также может включать сочетание буквенно-цифровых символов, дефисов (-) и символов подчеркивания (_). Для корректной работы назначения для виртуальной машины или масштабируемого набора виртуальных машин имя должно содержать не более 24 символов. Дополнительные сведения см. в разделе Часто задаваемые вопросы и известные проблемы.

   az identity create -g <RESOURCE GROUP> -n <USER ASSIGNED IDENTITY NAME>
   

Получение списка управляемых удостоверений, назначаемых пользователем

Чтобы получить список управляемых удостоверений, назначаемых пользователем, или прочитать их, у учетной записи должна быть роль оператора управляемого удостоверения или участника управляемого удостоверения.

Чтобы получить список управляемых удостоверений, назначенных пользователем, используйте az identity list команду. Замените <RESOURCE GROUP> собственным значением.

az identity list -g <RESOURCE GROUP>

В ответе JSON назначаемые пользователем управляемые удостоверения содержат значение "Microsoft.ManagedIdentity/userAssignedIdentities", возвращаемое для ключа type.

"type": "Microsoft.ManagedIdentity/userAssignedIdentities"

Удаление управляемого удостоверения, назначаемого пользователем

Чтобы удалить назначаемое пользователем управляемое удостоверение, учетной записи должна быть назначена роль участника управляемого удостоверения.

Чтобы удалить пользовательски назначенное управляемое удостоверение,

1. Используйте команду az identity delete. Параметр -n указывает его имя. Параметр -g указывает группу ресурсов, в которой было создано управляемое удостоверение, назначаемое пользователем.

2. Замените значения параметров <USER ASSIGNED IDENTITY NAME> и <RESOURCE GROUP> собственными значениями.

   az identity delete -n <USER ASSIGNED IDENTITY NAME> -g <RESOURCE GROUP>
   

   При удалении назначаемого пользователем управляемого удостоверения ссылки из ресурсов, которым оно было назначено, не удаляются. Удалите их из самого ресурса. Например, для виртуальной машины или масштабируемого набора виртуальных машин используйте az vm/vmss identity remove команду.

Связанный контент

Полный список команд Azure CLI, используемых для работы с удостоверениями, см. в разделе az identity.