Azure SDK 使用 CLI 凭据或托管标识

Question

使用 AWS 时，如果您使用 aws configure 登录，则可以使用 AWS 开发工具包，而无需从本地计算机以任何编程语言公开凭证。如果稍后在 aws 中运行任何东西（Lambda、EC2 等），完全相同的代码会使用分配给 IAM 角色的资源，而无需任何配置。

我尝试使用 Azure 进行相同的操作，我认为 Azure.Identity.DefaultAzureCredential 确实可以做到这一点。但我什至不能在本地运行我的代码：

            var blobServiceClient = new BlobServiceClient(storageUri, new DefaultAzureCredential());
            var containerClient = await blobServiceClient.CreateBlobContainerAsync("test-container");

如何获得在本地计算机上使用 CLI 凭据进行身份验证的 BlobServiceClient 以及在 AppService 中运行的托管标识。

Answer 1

在您使用的场景中，DefaultAzureCredential 是与BlobServiceClient 一起使用的最佳选择，但它不使用 CLI 凭据进行身份验证。

要使其正常工作，只需将服务主体的AZURE_CLIENT_ID、AZURE_TENANT_ID、AZURE_CLIENT_SECRET 设置为Environment variables。在 Azure 中，它使用 MSI 进行身份验证。

---

如果要使用CLI凭据进行身份验证，有AzureServiceTokenProvider，它也可以访问azure storage，但不能与BlobServiceClient一起使用，需要通过资源@987654334获取访问令牌@,

var azureServiceTokenProvider2 = new AzureServiceTokenProvider();
string accessToken = await azureServiceTokenProvider2.GetAccessTokenAsync("https://storage.azure.com").ConfigureAwait(false);

然后用access token调用Storge REST API，我觉得第一种比较方便，用哪个，看你自己了。