时间戳

首页 > 解决方案 > 使用应用服务和 Azure SQL 的用户分配的身份是否有效？

azure-managed-identity - 使用应用服务和 Azure SQL 的用户分配的身份是否有效？

问题描述

我正在尝试让应用服务与 Azure Sql 数据库连接。我可以 git 很好地使用具有相同代码的系统分配标识，但我更喜欢使用用户分配标识 (UAI)，但我无法让它工作。

我做的步骤：

  1. 通过门户创建了一个 UAI，UAI 的名称为“uai-dev-appname-001”
  2. 在 Azure 应用服务的身份选项卡上，我选择了“用户分配的身份”并选择了在上一步中创建的 UAI。
  3. 运行以下 SQL CMD
CREATE USER [uai-dev-appname-001] FROM EXTERNAL PROVIDER
ALTER ROLE db_datareader ADD MEMBER [uai-dev-appname-001]
ALTER ROLE db_datawriter ADD MEMBER [uai-dev-appname-001]
  1. 将 ASP.NET 中的 Connectionstring 设置为：

    数据源=sqlsrv-name-dev-001.database.windows.net；初始目录=sqldb-name-dev-001；

  2. 在我的 ASP.NET Core 中使用以下代码：
SqlConnection connection = new SqlConnection
{
   ConnectionString = configuration.GetConnectionString("nameDatabase")
};
AzureServiceTokenProvider provider = new AzureServiceTokenProvider();
var token = provider.GetAccessTokenAsync("https://database.windows.net/").Result;
connection.AccessToken = token;
  1. 部署到 Azure 应用服务并查看 URL。结果是：错误 500.30
  2. 查看应用程序事件日志：

    未处理的异常。System.AggregateException：发生一个或多个错误。（参数：连接字符串：[未指定连接字符串]，资源：https ://database.windows.net ，权限：. 异常消息：尝试了以下 3 种方法来获取访问令牌，但均无效。参数：连接字符串：[未指定连接字符串]，资源：https ://database.windows.net， 权威： 。异常消息：尝试使用托管服务标识获取令牌。无法获取访问令牌。收到不可重试的错误。MSI ResponseCode: BadRequest, Response: {"StatusCode":400,"Message":"No MSI found for specified ClientId/ResourceId.","CorrelationId":"a68bf757-518a-42e1-85a9-342320d39b5a"} 参数：连接字符串：[未指定连接字符串]，资源：https ://database.windows.net ，权限：。异常消息：尝试使用 Visual Studio 获取令牌。无法获取访问令牌。在“D:\local\LocalAppData.IdentityService\AzureServiceAuth\tokenprovider.json”中找不到 Visual Studio 令牌提供程序文件参数：连接字符串：[未指定连接字符串]，资源：https://database。， 权威： 。异常消息：尝试使用 Azure CLI 获取令牌。无法获取访问令牌。'az' 不是内部或外部命令、可运行程序或批处理文件。

IMO 中最有趣的部分是：

响应：{"StatusCode":400,"Message":"未找到指定 ClientId/ResourceId 的 MSI。","CorrelationId":"a68bf757-518a-42e1-85a9-342320d39b5a"}

我的问题是：

标签： azure-managed-identity

解决方案

Microsoft.Azure.Services.AppAuthentication 版本 1.2.1 支持用户分配的托管标识。

因此，请将 Microsoft.Azure.Services.AppAuthentication 的版本更新到最新版本。

然后在 AppService 的 Appsettings 中设置AzureServicesAuthConnectionString为RunAs=App;AppId={ClientId of user-assigned identity}

例如

RunAs=App;AppId=587f16c8-81ed-41c7-b19a-9ded0dbe2ca2

文档可以在这里找到。

完成这些步骤后，您的代码应使用用户分配的托管标识。

推荐阅读