我想知道是否可以通过在 Azure 的 Pivotal Cloud Foundry 中运行的容器使用托管标识（例如系统分配的托管标识）访问 blob 存储，或者我需要使用服务主体对象。任何帮助表示赞赏。 之前我们通过在代码中编码 URL 来使用 SAS，但想使用 Azure AD 对在容器内运行的 API 应用程序进行身份验证。那么实现这一目标的最佳方法是什么
【问题讨论】：
标签： azure azure-blob-storage azure-managed-identity
在 Pivotal Cloud Foundry 中，您不能使用托管标识 (MSI) 进行身份验证，当使用 MSI 进行身份验证时，它本质上是对 azure 实例元数据端点进行 API 调用以获取访问令牌，然后使用令牌进行身份验证，它只在Azure environment support MSI 中可用。
在这种情况下，最佳做法是使用您提到的服务主体进行身份验证，请按照以下步骤操作。
1.Register an application with Azure AD and create a service principal.
2.Get values for signing in 和create a new application secret。
3.导航到门户中的存储帐户 -> Access Control (IAM) -> 将Storage Blob Data Contributor/Storage Blob Data Owner 角色分配给服务主体，如下所示。
4.使用下面的 java 代码做一个快速测试，在我的示例中，我列出了容器中的所有 blob，只是根据您的要求做其他事情，将值替换为您从步骤 2 中获得的值。
pom.xml：
<dependency>
<groupId>com.azure</groupId>
<artifactId>azure-identity</artifactId>
<version>1.2.0</version>
</dependency>
<dependency>
<groupId>com.azure</groupId>
<artifactId>azure-storage-blob</artifactId>
<version>12.11.0-beta.1</version>
</dependency>
代码：
import com.azure.identity.ClientSecretCredential;
import com.azure.identity.ClientSecretCredentialBuilder;
import com.azure.storage.blob.BlobContainerClient;
import com.azure.storage.blob.BlobServiceClient;
import com.azure.storage.blob.BlobServiceClientBuilder;
import com.azure.storage.blob.models.BlobItem;
public class vacate {
public static void main(String[] args) {
String clientId="xxxxxx";
String clientSecret="xxxxxx";
String tenantId="xxxxxx";
ClientSecretCredential credential1 = new ClientSecretCredentialBuilder()
.tenantId(tenantId)
.clientId(clientId)
.clientSecret(clientSecret)
.build();
BlobServiceClient storageClient = new BlobServiceClientBuilder()
.endpoint("https://joystoragev2.blob.core.windows.net")
.credential(credential1)
.buildClient();
BlobContainerClient containerClient = storageClient.getBlobContainerClient("tescon1");
System.out.println("\nListing blobs...");
for (BlobItem blobItem : containerClient.listBlobs()) {
System.out.println("\t" + blobItem.getName());
}
}
}
更多详情请见Quickstart: Manage blobs with Java v12 SDK。
更新：
如果您想要一种用户交互方式进行身份验证，只需使用这些方式 - Authenticating Users 而不是 ClientSecretCredential。
SDK 中实际上不同的身份验证方式在 Azure AD 中使用不同的身份验证流程，例如ClientSecretCredential 使用client credential flow，是非交互方式，DeviceCodeCredential 使用device code flow，是用户交互方式。
要在您的案例中使用这些用户交互方式，您需要导航到门户中的 AD 应用程序 -> 添加委派权限 user_impersonation 的 Azure storage。
假设一个特定的用户应该只有对 Blob 端点的读取权限，而另一个用户可能对 Blob 端点有完全的 CRUD 访问权限，当用户从前端应用程序调用此 API 时，这将如何确定？
是的，这可以通过上面添加的delegated permission 来实现。当用户使用auth方式登录AD App时，App会让用户同意user_impersonation权限，同意后（用户的AAD租户需要允许用户自己同意权限），AD应用程序将获得用户的许可，然后代表用户行事。简而言之，app的权限来自用户，不同的用户拥有不同的权限，那么app的权限也就不同。
因此，在您的情况下，只需在存储帐户中添加具有不同角色的用户，就像上面的第 3 步一样。读访问加Storage Blob Data Reader，CURD访问加Storage Blob Data Contributor/Storage Blob Data Owner，然后使用上面的用户交互方式，就可以了。
【讨论】：