Ошибка "Недопустимые учетные данные Azure" при настройке сервера CycleCloud
В этой статье описывается, как устранить ошибку "недопустимые предоставленные учетные данные Azure", которая может возникнуть при настройке сервера CycleCloud.
Общие сведения
При настройке CycleCloud можно использовать субъект-службу или управляемые удостоверения для управления разрешениями. В любом случае необходимо назначить роль участника для подписки. Роль участника необходима для авторизации субъекта-службы или управляемых удостоверений для выполнения действий подписки, таких как создание учетной записи хранения или создание виртуальных машин (виртуальных машин).
Симптомы
При попытке настроить сервер CycleCloud вместе с субъектом-службой или управляемыми удостоверениями вы получите следующее сообщение об ошибке:
Недопустимые учетные данные Azure: клиент "<tenant-guid>" с идентификатором объекта "<application-guid>" не имеет авторизации для выполнения действия "Microsoft.Storage/storageAccounts/read" над областью "/subscriptions/<subscription-guid>" или область недопустим. Если доступ был предоставлен недавно, обновите учетные данные.
Причина
Роль не была правильно назначена субъекту-службе или управляемым удостоверениям.
Примечание.
Роль участника — это самый простой вариант, включающий достаточные разрешения для управления ресурсами CycleCloud в подписке, например виртуальных машин, сети и хранилища. Однако роль участника имеет более высокий уровень привилегий, чем CycleCloud. Таким образом, можно использовать пользовательскую роль в более сложных сценариях. Если вы планируете использовать настраиваемую роль, рекомендуется более подробно ознакомиться с определениями ролей Azure и конкретными действиями.
Решение для субъекта-службы
Настройка субъекта-службы
Во время начальной настройки CycleCloud вы создадите субъект-службу, следуя инструкциям в разделе "Использование субъекта-службы". Вы используете команду CLI для создания субъекта-службы и назначения роли участника для подписки.
Проверка разрешений подписки
- Войдите в портал Azure и выполните поиск по подпискам.
- Найдите подписку, которую вы хотите использовать для CycleCloud (если указано несколько подписок).
- Выберите контроль доступа (IAM), перейдите на вкладку "Назначения ролей", а затем найдите список ролей участника.
- Убедитесь, что субъект-служба (а не пользователь, который развертывает CycleCLoud), отсутствует в роли участника .
Субъект-служба, скорее всего, отсутствует в сценариях с несколькими пользователями и клиентами. Эта ситуация также может возникнуть, если вы пытаетесь использовать существующий субъект-службу для разработки CycleCloud вместо создания нового.
Добавление назначений ролей
Предварительные требования
Чтобы добавить назначения ролей, необходимо иметь разрешение Microsoft.Authorization/roleAssignments/write для подписки, например администратора доступа пользователей или владельца. По умолчанию разрешение на запись не предоставляется участнику.
Чтобы добавить роль участника в субъект-службу, который используется для разработки CycleCloud, выполните действия, описанные в разделе "Назначение ролей Azure с помощью портал Azure".
Решение для управляемого удостоверения
Настройка управляемых удостоверений
При настройке управляемых удостоверений можно включить управляемые удостоверения во время или после создания виртуальной машины CycleCloud, как описано в разделе "Настройка управляемых удостоверений с помощью портал Azure".
После включения управляемых удостоверений роль подписки участника должна быть назначена управляемому удостоверению.
Выполните следующие действия, чтобы добавить роль участника в подписку:
- Войдите в портал Azure и найдите виртуальную машину сервера CycleCloud.
- На левой панели выберите "Параметры>удостоверения".
- Выберите назначения ролей Azure, добавив назначения> ролей, а затем выберите "Подписка" и "Участник" в меню.
- Для создания нового назначения может потребоваться от одного до двух минут. После создания убедитесь, что учетные данные в CycleCloud будут проверены.
Свяжитесь с нами для получения помощи
Если у вас есть вопросы или вам нужна помощь, создайте запрос в службу поддержки или обратитесь за поддержкой сообщества Azure. Вы также можете отправить отзыв о продукте в сообщество отзывов Azure.