DEV Community
·
使用PowerShell创建RBAC服务主体
内容提要
本文介绍了如何使用PowerShell创建Azure服务主体，包括获取客户端密钥和无密码认证的联合凭证配置。创建服务主体前需安装PowerShell和Az模块，并确保权限充足。通过命令创建后可获取客户端密钥，并可配置联合凭证以增强安全性，支持GitHub Actions等工作流。此外，还介绍了基于证书的认证方法及自签名证书的生成步骤。
关键要点
-
本文介绍了如何使用PowerShell创建Azure服务主体。
-
创建服务主体前需安装PowerShell和Az模块，并确保权限充足。
-
使用命令创建服务主体并获取客户端密钥。
-
可以配置联合凭证以增强安全性，支持GitHub Actions等工作流。
-
介绍了基于证书的认证方法及自签名证书的生成步骤。
-
联合凭证允许服务主体通过外部身份提供者进行无密码认证。
-
可以根据GitHub分支、拉取请求或标签限制认证。
-
生成自签名证书并将其转换为Base64格式以用于服务主体。
-
创建服务主体时使用Base64编码的证书作为认证方法。
-
为服务主体分配角色以控制其在Azure中的权限。
延伸解读
RBAC与安全性
在Azure中使用角色基础访问控制（RBAC）可以有效管理服务主体的权限。通过为服务主体分配适当的角色，用户可以确保只有必要的权限被授予，从而降低安全风险。特别是在自动化工作流中，合理的权限设置至关重要，避免了过度授权带来的潜在威胁。
无密码认证的优势
使用联合凭证进行无密码认证可以显著提高安全性，尤其是在CI/CD工作流中。通过与外部身份提供者（如GitHub）集成，用户无需管理敏感的客户端密钥，从而减少了泄露的风险。这种方法不仅简化了认证流程，还增强了对工作流的控制。
证书认证的灵活性
基于证书的认证方法提供了一种安全且灵活的方式来管理Azure应用程序的访问。自签名证书可以根据需要轻松生成和更新，适合自动化场景。用户应注意证书的有效期，并定期更新，以确保持续的安全性和可用性。
延伸问答
如何使用PowerShell创建Azure服务主体？
使用命令 $sp = New-AzADServicePrincipal -DisplayName "你的应用名称" -Role "Contributor" -Scope "/subscriptions/<你的订阅ID>" 来创建服务主体。
创建服务主体后如何获取客户端密钥？
可以使用命令 $sp.PasswordCredentials.SecretText 来获取客户端密钥，确保安全存储该密钥。
什么是联合凭证，如何在GitHub Actions中使用？
联合凭证允许服务主体通过外部身份提供者进行无密码认证，配置方法包括设置 ApplicationObjectId、Audience 和 Issuer 等参数。
如何生成自签名证书以用于服务主体？
使用 PowerShell 命令 New-SelfSignedCertificate 创建自签名证书，并将其存储在本地证书存储中。
如何将证书转换为Base64格式？
使用命令 $keyValue = [System.Convert]::ToBase64String($cert.GetRawCertData()) 将证书转换为Base64格式。
如何为服务主体分配角色以控制权限？
使用命令 New-AzRoleAssignment -RoleDefinitionName Contributor -ServicePrincipalName $sp.AppId -Scope "/subscriptions/YOUR_SUBSCRIPTION_ID/resourceGroups/YOUR_RG/providers/Microsoft.ContainerRegistry/registries/YOUR_ACR" 来分配角色。
