如何將受控識別與 Azure 服務搭配使用，以連線到適用於 NoSQL 的 Azure Cosmos DB

使用 az container create 來建立新的容器執行個體。 使用 assign-identity 參數，將帳戶設定為使用系統指派的受控識別。

az container create \
    --resource-group "<name-of-existing-resource-group>" \
    --name "<name-of-new-container>" \
    --image mcr.microsoft.com/dotnet/samples:aspnetapp-chiseled \
    --cpu 1 \
    --memory 2 \
    --assign-identity

使用 az container show 和 JMESPath 查詢，取得系統指派的受控識別的詳細資料。

az container show \
    --resource-group "<name-of-existing-resource-group>" \
    --name "<name-of-existing-container>" \
    --query "identity"

檢閱命令的輸出。 它應該包含身分識別和租用戶的唯一識別碼。

{
  "principalId": "aaaaaaaa-bbbb-cccc-1111-222222222222",
  "tenantId": "aaaabbbb-0000-cccc-1111-dddd2222eeee",
  "type": "SystemAssigned",
  "userAssignedIdentities": null
}

建立新的 Bicep 檔案來定義新的容器執行個體。 將檔案命名為 container-instance.bicep。 設定容器執行個體的以下屬性：

metadata description = 'Create Azure Container Instance resource with system-assigned managed identity.'

@description('Name of the Azure Container Instances resource.')
param instanceName string

resource instance 'Microsoft.ContainerInstance/containerGroups@2023-05-01' = {
  name: instanceName
  location: resourceGroup().location
  identity: {
    type: 'SystemAssigned'
  }
  properties: {
    osType: 'Linux'
    containers: [
      {
        name: 'aspnet-sample'
        properties: {
          image: 'mcr.microsoft.com/dotnet/samples:aspnetapp-chiseled'
          resources: {
            requests: {
              cpu: 1
              memoryInGB: 2
            }
          }
        }
      }
    ]
  }
}

output systemAssignedIdentity object = instance.identity    

建立名為 container-instance.bicepparam 的新 Bicep 參數檔案。 在此參數檔案中，使用 instanceName 參數為您的容器執行個體建立唯一名稱。

using './container-instance.bicep'

param instanceName = '<name-of-new-container-instance>'

使用 az deployment group create 部署 Bicep 範本。 指定 Bicep 範本、參數檔案和 Azure 資源群組的名稱。

az deployment group create \
    --resource-group "<name-of-existing-resource-group>" \
    --parameters "container-instance.bicepparam" \
    --template-file "container-instance.bicep"

檢閱部署的輸出。 輸出包含 properties.outputs.systemAssignedIdentity.value 屬性中容器執行個體的識別物件。

{
  "principalId": "aaaaaaaa-bbbb-cccc-1111-222222222222",
  "tenantId": "aaaabbbb-0000-cccc-1111-dddd2222eeee",
  "type": "SystemAssigned"
}

登入 Azure 入口網站 (https://portal.azure.com)。

在全域搜尋列中輸入 Azure 容器執行個體。

在 [服務] 中，選取 [容器執行個體]。

在 [容器執行個體] 窗格中，選取 [建立]。

在 [基本] 窗格中，設定下列選項，然後選取 [檢閱 + 建立]：

在 [檢閱 + 建立] 窗格中，等候您的帳戶驗證順利完成，然後選取 [建立]。

入口網站會自動流覽至 [部署] 窗格。 等待部署完成。

部署完成後，選取 [移至資源] 以瀏覽至新的 Azure 容器執行個體資源。

在新容器執行個體的窗格內，選取服務功能表 [設定] 區段內的 [身分識別]。

在 [身分識別] 窗格中，將 [狀態] 選項設定為 [開啟]，以啟用系統指派的受控識別。 然後，選取 [儲存] 並解決任何認可變更的提示。

系統指派的受控識別準備就緒後，檢閱 [物件 (主體) ID] 屬性。 該屬性值是身分識別的唯一識別碼。

使用 New-AzContainerInstanceObject 建立代表容器的物件，並將其儲存在名為 $container 的變數中。 然後，使用該容器物件建立具有 New-AzContainerGroup 的新容器執行個體。 將 IdentityType 參數設定為 SystemAssigned，進而將帳戶設定為使用系統指派的受控識別。

$parameters = @{
    Name = "aspnet-sample"
    Image = "mcr.microsoft.com/dotnet/samples:aspnetapp-chiseled"
    RequestCpu = 1 
    RequestMemoryInGb = 2
}
$container = New-AzContainerInstanceObject @parameters

$parameters = @{
    ResourceGroupName = "<name-of-existing-resource-group>"
    Name = "<name-of-new-container>"
    Container = $container
    OsType = "Linux"
    Location = "<azure-region>"
    IdentityType = "SystemAssigned"
}
New-AzContainerGroup @parameters

使用 Get-AzContainerGroup 和 Format-List 並僅選取 Identity 屬性，以取得系統指派的受控識別的詳細資料。

$parameters = @{
    ResourceGroupName = "<name-of-existing-resource-group>"
    Name = "<name-of-existing-container>"
}
Get-AzContainerGroup @parameters | Format-List Identity

檢閱命令的輸出。 它應該包含身分識別和租用戶的唯一識別碼。

Identity : {
             "principalId": "aaaaaaaa-bbbb-cccc-1111-222222222222",
             "tenantId": "aaaabbbb-0000-cccc-1111-dddd2222eeee",
             "type": "SystemAssigned"
           }

使用 az identity create，以在 Azure 資源群組中建立新的使用者指派的受控識別。

az identity create \
    --resource-group "<name-of-existing-resource-group>" \
    --name "<name-of-new-managed-identity>"

使用 az identity list 取得資源群組中使用者指派的受控識別清單

az identity list \
    --resource-group "<name-of-existing-resource-group>"    

檢閱命令的輸出。 記錄 id 欄位的值，因為此完整資源識別碼會用來將使用者指派的受控識別指派給您的 Azure 資源。

{
  "clientId": "11112222-bbbb-3333-cccc-4444dddd5555",
  "id": "/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourcegroups/msdocs-identity-example/providers/Microsoft.ManagedIdentity/userAssignedIdentities/msdocs-identity-example-user-assigned",
  "location": "<azure-location>",
  "name": "msdocs-identity-example-user-assigned",
  "principalId": "cccccccc-dddd-eeee-3333-444444444444",
  "resourceGroup": "msdocs-identity-example",
  "systemData": null,
  "tags": {},
  "tenantId": "aaaabbbb-0000-cccc-1111-dddd2222eeee",
  "type": "Microsoft.ManagedIdentity/userAssignedIdentities"
}

建立 Bicep 檔案來定義使用者指派的受控識別，並將檔案命名為 user-assigned-managed-identity.bicep。 設定以下最小屬性：

metadata description = 'Create a user-assigned managed identity.'

param identityName string = uniqueString(subscription().id, resourceGroup().id)

resource identity 'Microsoft.ManagedIdentity/userAssignedIdentities@2023-01-31' = {
  name: identityName
  location: resourceGroup().location
}

output id string = identity.id
output name string = identity.name

使用 az deployment group create 部署 Bicep 範本。 指定 Bicep 範本和 Azure 資源群組的名稱。

az deployment group create \
    --resource-group "<name-of-existing-resource-group>" \
    --template-file "user-assigned-managed-identity.bicep"

檢閱部署的輸出。 輸出包含 properties.outputs.name.value 屬性中受控識別的唯一識別碼。 請記錄此值，因為本指南稍後建立新的 Azure 資源時需要使用。

{
  "type": "String",
  "value": "msdocs-identity-example-user-assigned"
}

在全域搜尋列中，輸入 [受控識別]。

在 [服務] 中，選取 [受控識別]。

在 [容器執行個體] 窗格中，選取 [建立]。

在 [基本] 窗格中，設定下列選項，然後選取 [檢閱 + 建立]：

在 [檢閱 + 建立] 窗格中，等候您的帳戶驗證順利完成，然後選取 [建立]。

入口網站會自動流覽至 [部署] 窗格。 等待部署完成。

等待受控識別的部署完成。

使用 Azure 資源群組中的 New-AzUserAssignedIdentity，建立新的使用者指派的受控識別。

$parameters = @{
    ResourceGroupName = "<name-of-existing-resource-group>"
    Name = "<name-of-new-managed-identity>"
    Location = "<azure-region>"
}
New-AzUserAssignedIdentity @parameters

使用 Get-AzUserAssignedIdentity，以取得資源群組中使用者指派的受控識別清單。

$parameters = @{
    ResourceGroupName = "<name-of-existing-resource-group>"
}
Get-AzUserAssignedIdentity @parameters | Format-List Name, Id

檢閱命令的輸出。 記錄 Id 欄位的值，因為此完整資源識別碼會用來將使用者指派的受控識別指派給您的 Azure 資源。

Name : msdocs-identity-example-user-assigned
Id   : /subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourcegroups/msdocs-identity-example/providers/Microsoft.ManagedIdentity/userAssignedIdentities/msdocs-identity-example-user-assigned

使用 az appservice plan create 建立新的 App Service 方案。

az appservice plan create \
    --resource-group "<name-of-existing-resource-group>" \
    --name "<name-of-new-plan>"

使用 az webapp create 將使用者指派的受控識別指派至新的 Web 應用程式。 使用本指南稍早記錄的 id 欄位作為 ssign-identity 參數的值。

az webapp create \
    --resource-group "<name-of-existing-resource-group>" \
    --name "<name-of-existing-web-app>" \
    --plan "<name-of-existing-plan>" \
    --assign-identity "<resource-id-recorded-earlier>"

使用 az webapp show 和 JMESPath 查詢，取得指派至此帳戶的所有身分識別詳細資料。

az webapp show \
    --resource-group "<name-of-existing-resource-group>" \
    --name "<name-of-existing-account>" \
    --query "identity"   

檢閱命令的輸出。 其應包含使用者指派的受控識別。

{
  "principalId": null,
  "tenantId": null,
  "type": "UserAssigned",
  "userAssignedIdentities": {
    "/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourcegroups/msdocs-identity-example/providers/Microsoft.ManagedIdentity/userAssignedIdentities/msdocs-identity-example-user-assigned": {
      "clientId": "11112222-bbbb-3333-cccc-4444dddd5555",
      "principalId": "cccccccc-dddd-eeee-3333-444444444444"
    }
  }
}

建立另一個名為 app-service-web-app.bicep 的 Bicep 檔案，並定義 Azure App Service 方案和 Web 應用程式。 設定這些資源的以下屬性：

metadata description = 'Creates an Azure App Service plan and web app with a user-assigned managed identity.'

@description('The name of the app service plan.')
param planName string

@description('The name of the web app.')
param webAppName string

@description('The name of the user-assigned managed identity.')
param identityName string

resource identity 'Microsoft.ManagedIdentity/userAssignedIdentities@2023-01-31' existing = {
  name: identityName
}

resource plan 'Microsoft.Web/serverfarms@2023-12-01' = {
  name: planName
  location: resourceGroup().location
}

resource webApp 'Microsoft.Web/sites@2023-12-01' = {
  name: webAppName
  location: resourceGroup().location
  identity: {
    type: 'UserAssigned'
    userAssignedIdentities: {
      '${identity.id}': {}
    }
  }
  properties: {
    serverFarmId: plan.id
  }
}

output userAssignedIdentity object = webApp.identity

建立名為 app-service-web-app.bicepparam 的 Bicep 參數檔案。 在此參數檔案中，分別使用 planName 和 webAppName 參數，為您的 Web 應用程式和方案建立唯一名稱。 然後，提供使用者指派的受控識別名稱做為 identityName 參數的值。

using './app-service-web-app.bicep'

param planName = '<name-of-new-app-service-plan>'
param webAppName = '<name-of-new-web-app>'
param identityName = '<name-of-existing-managed-identity>'

使用 az deployment group create 部署 Bicep 範本。 指定 Bicep 範本、參數檔案和 Azure 資源群組的名稱。

az deployment group create \
    --resource-group "<name-of-existing-resource-group>" \
    --parameters "app-service-web-app.bicepparam" \
    --template-file "app-service-web-app.bicep"

檢閱部署的輸出。 輸出包含 properties.outputs.userAssignedIdentity.value 屬性中容器執行個體的識別物件。

{
  "type": "UserAssigned",
  "userAssignedIdentities": {
    "/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourcegroups/msdocs-identity-example/providers/Microsoft.ManagedIdentity/userAssignedIdentities/msdocs-identity-example-user-assigned": {
      "clientId": "11112222-bbbb-3333-cccc-4444dddd5555",
      "principalId": "cccccccc-dddd-eeee-3333-444444444444"
    }
  }
}

在全域搜尋列中輸入 [Web 應用程式]。

在 [服務] 中，選取 [應用程式服務]。

在 [應用程式服務] 窗格中，選取 [建立]，然後選取 [Web 應用程式]。

在 [基本] 窗格中，設定下列選項，然後選取 [檢閱 + 建立]：

在 [檢閱 + 建立] 窗格中，等候您的帳戶驗證順利完成，然後選取 [建立]。

入口網站會自動流覽至 [部署] 窗格。 等待部署完成。

部署完成後，選取 [移至資源] 以瀏覽至新的 Azure 容器執行個體資源。

在新容器執行個體的窗格內，選取服務功能表 [設定] 區段內的 [身分識別]。

在 [身分識別] 窗格上，選取 [使用者指派] 選項。

選取 [新增] 開啟對話方塊，以指派現有的使用者指派的受控識別。 在對話方塊中，選取您現有的使用者指派的受控識別，然後選取 [新增]。

最後，檢閱與 Web 應用程式關聯的使用者指派的受控識別的清單。 其應包含身分識別的名稱、資源群組名稱和訂用帳戶識別碼。

使用 New-AzWebApp 建立新的 Azure App Service Web 應用程式。

$parameters = @{
    ResourceGroupName = "<name-of-existing-resource-group>"
    Name = "<name-of-new-web-app>"
    Location = "<azure-region>"
}
New-AzWebApp @parameters

修補新建立的 Web 應用程式，將 identity.type 屬性設定為 UserAssigned，並將現有的使用者指派的受控識別新增至 identity.userAssignedIdentities 屬性。 若要完成這項工作，請先提供本指南稍早記錄的做為 identityId 命令介面變數的值的 id 欄位。 然後，建構酬載物件，並將其轉換為 JSON。 最後，搭配使用 Invoke-AzRestMethod 和 PATCH HTTP 指令動詞來更新現有的 Web 應用程式。

$identityId = "<resource-id-recorded-earlier>"

$payload = @{
    identity = @{
        type = "UserAssigned"
        userAssignedIdentities = @{
            "$identityId" = @{}
        }
    }
} | ConvertTo-Json -Depth 3

$parameters = @{
    ResourceGroupName = "<name-of-existing-resource-group>"
    Name = "<name-of-existing-web-app>"
    ResourceProviderName = 'Microsoft.Web'
    ResourceType = 'sites'
    ApiVersion = '2023-12-01'
    Method = 'PATCH'
    Payload = $payload
}
Invoke-AzRestMethod @parameters

使用 Get-AzWebApp、Select-Object 和 ConvertTo-Json 並僅選取 Identity 屬性，以取得指派至 Web 應用程式的所有身分識別的詳細資料。

$parameters = @{
    ResourceGroupName = "<name-of-existing-resource-group>"
    Name = "<name-of-existing-web-app>"
}
Get-AzWebApp @parameters | Select-Object Identity | ConvertTo-Json -Depth 3

檢閱命令的輸出。 它應該包含身分識別和租用戶的唯一識別碼。

{
  "Identity": {
    "Type": "UserAssigned",
    "TenantId": null,
    "PrincipalId": null,
    "UserAssignedIdentities": {
      "/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourcegroups/msdocs-identity-example/providers/Microsoft.ManagedIdentity/userAssignedIdentities/msdocs-identity-example-user-assigned": {
        "PrincipalId": "cccccccc-dddd-eeee-3333-444444444444",
        "ClientId": "11112222-bbbb-3333-cccc-4444dddd5555"
      }
    }
  }
}