Поделиться через


Вход в Azure PowerShell без интерактивного взаимодействия для сценариев автоматизации

Учетная запись службы в Azure — это неинтерактивная учетная запись, предоставляющая учетные данные, используемые приложениями, службами и инструментами автоматизации для доступа к конкретным ресурсам Azure. Проверка подлинности с помощью субъекта-службы — лучший способ написания безопасных скриптов, так как они действуют как удостоверение безопасности с назначенными разрешениями, определяющими, какие действия можно выполнять и какие ресурсы можно получить. Субъекты-службы помогают безопасно автоматизировать задачи управления без использования личных учетных записей пользователей, упрощая более безопасный и управляемый доступ к ресурсам Azure. Как и другие учетные записи пользователей, вы управляете своими разрешениями с помощью Microsoft Entra. Предоставив субъекту-службе только необходимые разрешения, скрипты автоматизации остаются безопасными.

Необходимые условия

Вход с помощью управляемого удостоверения

Управляемые удостоверения — это особый тип учетной записи службы, обеспечивающий службам Azure автоматически управляемую идентичность. Использование этого типа удостоверения не требует хранения учетных данных в конфигурации или коде для проверки подлинности в любой службе Azure, поддерживающей управляемые удостоверения.

Существует два типа управляемых удостоверений:

  • Управляемая системой идентификация
  • Управляемое удостоверение, назначаемое пользователем

Управляемые удостоверения обеспечивают безопасный способ взаимодействия с другими службами Azure без необходимости управлять учетными данными. Они также помогают снизить риск утечки учетных данных.

Вот как работают управляемые идентификации в реальных сценариях.

  • Azure автоматически управляет созданием и удалением учетных данных, используемых управляемым удостоверением.
  • Служба Azure с поддержкой управляемого удостоверения может безопасно получать доступ к другим службам, таким как Azure Key Vault, Azure SQL Database, Azure Blob Storage и т. д., с помощью токенов Microsoft Entra.
  • Это удостоверение управляется непосредственно в Azure без необходимости дополнительного предоставления.

Управляемые удостоверения упрощают модель безопасности, избегая необходимости хранить учетные данные и управлять ими, и они играют важную роль в безопасных облачных операциях, уменьшая риск, связанный с обработкой секретов.

Назначаемое системой управляемое удостоверение

Azure автоматически создает системно назначаемое управляемое удостоверение для экземпляра службы Azure (например, для виртуальной машины Azure, службы приложений или Функций Azure). При удалении экземпляра службы Azure автоматически очищает учетные данные и удостоверение, связанное с данной службой.

Следующий пример подключается с помощью управляемого удостоверения, назначаемого системой, в среде узла. При выполнении на виртуальной машине с назначенным управляемым удостоверением код позволяет выполнить вход с помощью назначенного удостоверения.

 Connect-AzAccount -Identity

Управляемое удостоверение, назначаемое пользователем

Управляемое удостоверение, назначаемое пользователем, — это удостоверение, создаваемое и управляемое в Microsoft Entra. Его можно назначить одному или нескольким экземплярам службы Azure. Жизненный цикл управляемого удостоверения, назначаемого пользователем, управляется отдельно от экземпляров служб, которым он назначен.

При использовании управляемого удостоверения, назначаемого пользователем, необходимо указать параметры AccountId и Identity, как это показано в следующем примере.

 Connect-AzAccount -Identity -AccountId <user-assigned-identity-clientId-or-resourceId>

Следующие команды подключаются, используя управляемое удостоверение myUserAssignedIdentity. Он добавляет удостоверение, назначаемое пользователем, в виртуальную машину, а затем подключается с помощью ClientId этого удостоверения.

$identity = Get-AzUserAssignedIdentity -ResourceGroupName myResourceGroup -Name myUserAssignedIdentity
Get-AzVM -ResourceGroupName contoso -Name testvm | Update-AzVM -IdentityType UserAssigned -IdentityId $identity.Id
Connect-AzAccount -Identity -AccountId $identity.ClientId # Run on the virtual machine
Account                              SubscriptionName TenantId                             Environment
-------                              ---------------- --------                             -----------
00000000-0000-0000-0000-000000000000 My Subscription  00000000-0000-0000-0000-000000000000 AzureCloud

Дополнительные сведения см. в статье Настройка управляемых удостоверений для ресурсов Azure навиртуальной машины Azure.

Вход с помощью учетной записи сервиса

Чтобы войти с помощью учетной записи службы, используйте параметр ServicePrincipal командлета Connect-AzAccount. Вам также потребуется следующая информация для сервисного принципала:

  • AppId
  • Учетные данные входа или доступ к сертификату, используемому для создания основной службы
  • Идентификатор клиента

Способ аутентификации с использованием учётной записи службы зависит от того, настроена ли она на проверку подлинности с использованием сертификатов или паролей.

Проверка подлинности на основе сертификатов

Сведения о создании субъекта-службы для Azure PowerShell см. в статье Создание субъекта-службы Azure с помощьюAzure PowerShell.

Для проверки подлинности на основе сертификатов Azure PowerShell требуется получить сведения из локального хранилища сертификатов на основе отпечатка сертификата.

Connect-AzAccount -ApplicationId $appId -Tenant $tenantId -CertificateThumbprint <thumbprint>

При использовании субъекта-службы вместо зарегистрированного приложения укажите параметр ServicePrincipal и укажите идентификатор приложения субъекта-службы в качестве значения параметра ApplicationId.

Connect-AzAccount -ServicePrincipal -ApplicationId $servicePrincipalId -Tenant $tenantId -CertificateThumbprint <thumbprint>

В Windows PowerShell 5.1 хранилище сертификатов можно управлять и проверять с помощью модуля PKI. Для PowerShell 7.x и более поздних версий процесс отличается. В следующих сценариях показано, как импортировать существующий сертификат в хранилище сертификатов, доступном PowerShell.

Импорт сертификата в PowerShell 7.x и более поздних версий

# Import a PFX
$storeName = [System.Security.Cryptography.X509Certificates.StoreName]::My
$storeLocation = [System.Security.Cryptography.X509Certificates.StoreLocation]::CurrentUser
$store = [System.Security.Cryptography.X509Certificates.X509Store]::new($storeName, $storeLocation)
$certPath = <path to certificate>
$credentials = Get-Credential -Message "Provide PFX private key password"
$flag = [System.Security.Cryptography.X509Certificates.X509KeyStorageFlags]::Exportable
$certificate = [System.Security.Cryptography.X509Certificates.X509Certificate2]::new($certPath, $credentials.Password, $flag)
$store.Open([System.Security.Cryptography.X509Certificates.OpenFlags]::ReadWrite)
$store.Add($Certificate)
$store.Close()

Импорт сертификата в Windows PowerShell 5.1

# Import a PFX
$credentials = Get-Credential -Message 'Provide PFX private key password'
Import-PfxCertificate -FilePath <path to certificate> -Password $credentials.Password -CertStoreLocation cert:\CurrentUser\My

Проверка подлинности на основе паролей

Создайте служебный принципал для использования с примерами в этом разделе. Дополнительные сведения о создании субъектов-служб см. в статье Создание субъекта-службы Azure с помощьюAzure PowerShell.

$sp = New-AzADServicePrincipal -DisplayName ServicePrincipalName

Осторожность

Предоставленный секрет службы хранится в файле AzureRmContext.json в профиле пользователя ($env:USERPROFILE\.Azure). Убедитесь, что этот каталог имеет соответствующие защиты.

Чтобы получить учетные данные субъекта-службы в качестве объекта, используйте командлет Get-Credential. Этот командлет запрашивает имя пользователя и пароль. Используйте AppId объекта службы для имени пользователя и преобразуйте его secret в простой текст для пароля.

# Retrieve the plain text password for use with Get-Credential in the next command.
$sp.PasswordCredentials.SecretText

$pscredential = Get-Credential -UserName $sp.AppId
Connect-AzAccount -ServicePrincipal -Credential $pscredential -Tenant $tenantId

Для сценариев автоматизации необходимо создать учетные данные из сервисного принципала AppId и SecretText.

$SecureStringPwd = $sp.PasswordCredentials.SecretText | ConvertTo-SecureString -AsPlainText -Force
$pscredential = New-Object -TypeName System.Management.Automation.PSCredential -ArgumentList $sp.AppId, $SecureStringPwd
Connect-AzAccount -ServicePrincipal -Credential $pscredential -Tenant $tenantId

При автоматизации подключений служебного принципала используйте соответствующие способы хранения паролей.

См. также