问题标签 [azure-managed-identity]

我的理解是，为了在 Azure 中实现对 SQL 数据库的 Azure AD 托管服务标识访问，我需要SqlConnection使用检索到的令牌创建一个。

要将该令牌添加到SqlConnection.NET 4.6+ 中有一个AccessToken属性来执行此操作。.NET Core 2.0 没有。

有没有办法解决？

在这一点上，在核心应用程序中实现 Azure AD 托管服务标识似乎是不可能的，除非我有误解。

我正在尝试使用 MS Bot 框架构建一个 Bot，并且这个 bot 作为 Azure Web App 托管。我添加了使用Microsoft.Azure.Management.Fluent API创建资源组的代码

此代码利用 Web 应用程序的托管服务标识。我已将此 Web 应用设为 Azure 订阅的“所有者”。

当我执行此代码时，我不断收到此异常

例外：访问令牌是从错误的受众或资源“<a href="https://management.core.windows.net" rel="nofollow noreferrer">https://management.core.windows.net' . 它应该与允许的受众之一完全匹配（包括正斜杠）“<a href="https://management.core.windows.net/" rel="nofollow noreferrer">https://management.core.windows .net/','<a href="https://management.azure.com/" rel="nofollow noreferrer">https://management.azure.com/'。

我从不手动设置受众或资源，也没有看到任何关于如何执行此操作的选项。

当我更改代码以使用我自己创建的服务主体时，它工作得很好

如何设置此受众或资源或我做错了什么？

我正在尝试使用 ARM 模板在 Linux Web 应用服务上启用 MSI。

我们最近将 Azure 订阅从一个租户转移到另一个租户，同时将我们的所有订阅合并到一个租户中。不幸的是，这破坏了我们所有 Web 应用程序的托管服务身份，我们现在犹豫是否要移动我们剩余的订阅，因为担心必须配置新的 Web 应用程序才能让 MSI 再次工作。

有没有办法防止这种情况发生，或者至少有办法删除或重置 MSI 创建的身份，以便我们重新创建它们？这会导致一些停机时间，但这比必须为所有 Web 应用程序提供新名称更可取，因为这最终是我们找到获得新身份的解决方案。

当然，我们更愿意完全避免任何停机时间，但我意识到在租户（及其目录）之间移动订阅是很棘手的。

我正在尝试从服务结构集群内的 VM 上的容器调用 MSI。我可以使用以下命令从主机获取令牌：Invoke-WebRequest -Uri http://localhost:50342/oauth2/token -Method GET -Body @{resource="https://management.azure.com/"} -标头@{Metadata="true"}

但是，当我尝试使用网关的 IP 地址从容器调用相同的服务时，它不起作用。MSI 路线图中是否有支持 VM 主机中的容器的功能？

我在 VM 上的 Windows 容器内运行 Web API，它需要通过 Azure AD MSI 扩展（已安装在创建容器的 VM 上）与 Azure Key-Vault 通信

我绑定了各种方法来访问它

• http://HOST_MACHINE IP:50432/oauth2/token
• http://默认网关 IP:50432/oauth2/token
• http://localhost:50432/oauth2/token 等。

但我总是收到错误“无法连接到远程服务器”

那么是否可以从容器中获取 MSI 扩展访问权限，以及如果我想从容器在主机系统的端口 50432 上进行通信，我需要做什么？

我正在使用安装了Azure 服务身份验证扩展的 Visual Studio 2017 v15.6.2 为支持 MSI 的应用程序进行本地 azure 功能开发。我必须在目标订阅中使用的身份可以访问多个租户和这些租户中的订阅。

在安装加载项之前，我能够使用 Azure CLI 设置默认订阅/租户，使用az account set -subscripton TARGET-SUB-NAME. az account show确认我选择了正确的订阅并且一切正常。

由于安装了 VS 扩展，我无法再访问目标订阅中的资源，因为扩展无法选择默认租户/订阅组合。CLI 仍显示目标订阅，但GetAccessTokenAsync("https://management.azure.com/");调用生成的 JWT 显示正在使用身份的默认订阅（tid在令牌中）请求令牌。

有没有办法为扩展设置默认订阅或以其他方式绕过这个阻止程序？

我在 VS 2017 中遇到应用服务扩展问题，想删除它，以便在开发期间使用 azure CLI 进行身份验证，但我不知道如何删除扩展。它不会出现在工具 -> 扩展和更新或添加/删除程序中。我宁愿不重新安装 VS.net。有人知道吗？

//它工作正常。但现在我想在一次调用中获取所有秘密并将其绑定到字段

我正在探讨如何在 Service Fabric 中使用 MSI。我可以通过 ARM 在规模集上启用 MSI - 没问题。

我的 Service Fabric 群集运行许多应用程序，其中许多都有自己的应用程序注册。目前，我们已将这些应用程序的 clientId/secret 存储在 appmanifest 中。

使用 MSI，我可以将凭据存储在 keyvault 中并获取用于每个应用程序的 clientId/secret，但这似乎有点错误。

现在我的问题是：是否可以在 MSI 应用注册和在 Service Fabric 上运行的应用之间建立某种委托？只是为了避免存储客户端机密