Azure 身份验证 on Dapr 文档库

Azure 身份验证

Mon, 01 Jan 0001 00:00:00 +0000

大多数 Dapr 的 Azure 组件支持使用 Microsoft Entra ID 进行身份验证。通过这种方式：

管理员可以充分利用 Azure 基于角色的访问控制 (RBAC) 的精细权限。
在 Azure 服务（如 Azure 容器应用、Azure Kubernetes 服务、Azure 虚拟机或其他 Azure 平台服务）上运行的应用程序可以使用托管身份 (MI) 和工作负载身份。这些功能使您的应用程序能够在不需要管理敏感凭据的情况下进行身份验证。

关于 Microsoft Entra ID 的身份验证

Microsoft Entra ID 是 Azure 的身份和访问管理 (IAM) 解决方案，用于对用户和服务进行身份验证和授权。

Microsoft Entra ID 基于 OAuth 2.0 等开放标准，允许服务（应用程序）获取访问令牌以请求 Azure 服务，包括 Azure 存储、Azure 服务总线、Azure 密钥保管库、Azure Cosmos DB、Azure PostgreSQL 数据库、Azure SQL 等。

在 Azure 术语中，应用程序也被称为“服务主体”。

一些 Azure 组件提供其他身份验证方法，例如基于“共享密钥”或“访问令牌”的系统。尽管这些方法在 Dapr 中是有效且受支持的，但建议尽可能使用 Microsoft Entra ID 对 Dapr 组件进行身份验证，以利用其众多优势，包括：

如何创建新的 Microsoft Entra ID 应用程序和服务主体

Mon, 01 Jan 0001 00:00:00 +0000

先决条件

一个 Azure 订阅
Azure CLI
jq
OpenSSL（默认包含在所有 Linux 和 macOS 系统中，以及 WSL 中）
确保您使用的是 bash 或 zsh shell

使用 Azure CLI 登录 Azure

在新终端中，运行以下命令：

az login
az account set -s [your subscription id]

创建 Microsoft Entra ID 应用程序

使用以下命令创建 Microsoft Entra ID 应用程序：

# 应用程序 / 服务主体的友好名称
APP_NAME="dapr-application"

# 创建应用程序
APP_ID=$(az ad app create --display-name "${APP_NAME}" | jq -r .appId)

选择传递凭据的方式。

要创建一个客户端密钥，运行以下命令。

如何使用托管身份

Mon, 01 Jan 0001 00:00:00 +0000

托管身份可以自动进行身份验证，因为您的应用程序运行在具有系统分配或用户分配身份的 Azure 服务上。

要开始使用，您需要在各种 Azure 服务中启用托管身份作为服务选项/功能，这与 Dapr 无关。启用后，会在后台为 Microsoft Entra ID（以前称为 Azure Active Directory ID）创建一个身份（或应用程序）。

然后，您的 Dapr 服务可以利用该身份与 Microsoft Entra ID 进行认证，过程是透明的，您无需指定任何凭据。

在本指南中，您将学习如何：

通过官方 Azure 文档将您的身份授予您正在使用的 Azure 服务
在您的组件中设置系统管理或用户分配身份

以上是全部内容。

注意

在您的组件 YAML 中，如果使用用户分配身份，您只需要 azureClientId 属性。否则，您可以省略此属性，默认使用系统管理身份。

授予服务访问权限

为特定 Azure 资源（由资源范围标识）设置必要的 Microsoft Entra ID 角色分配或自定义权限给您的系统管理或用户分配身份。

您可以为新的或现有的 Azure 资源设置托管身份。说明取决于所使用的服务。请查看以下官方文档以获取最合适的说明：

Azure Kubernetes Service (AKS)
Azure Container Apps (ACA)
Azure App Service（包括 Azure Web Apps 和 Azure Functions）
Azure Virtual Machines (VM)
Azure Virtual Machines Scale Sets (VMSS)
Azure Container Instance (ACI)

在为您的 Azure 资源分配系统管理身份后，您将获得如下信息：