如何在 Azure VM 上使用 Azure 资源的托管标识获取访问令牌

Azure 资源托管标识在 Microsoft Entra ID 中为 Azure 服务提供了一个自动托管标识。 可以使用此标识向支持 Microsoft Entra 身份验证的任何服务进行身份验证，这样就无需在代码中插入凭据了。

本文提供了用于获取令牌的各种代码和脚本示例。 其中还包含有关处理令牌过期和 HTTP 错误的指南。

先决条件

• 如果不熟悉 Azure 资源功能的托管标识，请参阅此概述。 如果没有 Azure 帐户，请先注册试用版，然后再继续。

如果打算使用本文中的 Azure PowerShell 示例，请务必安装最新版本的 Azure PowerShell。

概述

客户端应用程序可以请求托管的身份应用程序独有访问令牌用于访问给定的资源。 令牌基于 Azure 资源托管标识服务主体。 因此，客户端无需在自己的服务主体下获取访问令牌。 该令牌适合在需要客户端凭据的服务到服务调用中用作持有者令牌。

使用 HTTP 获取令牌

用于获取访问令牌的基本接口基于 REST，因此，在 VM 上运行的、可发出 HTTP REST 调用的任何客户端应用程序都可以访问该接口。 此方法类似于 Microsoft Entra 编程模型，不同之处在于客户端使用虚拟机上的终结点（而不是 Microsoft Entra 终结点）。

Azure 实例元数据服务 (IMDS) 端点（推荐）的示例请求：

GET 'http://169.254.169.254/metadata/identity/oauth2/token?api-version=2018-02-01&resource=https://management.chinacloudapi.cn/' HTTP/1.1 Metadata: true

示例响应：

HTTP/1.1 200 OK
Content-Type: application/json
{
  "access_token": "eyJ0eXAi...",
  "refresh_token": "",
  "expires_in": "3599",
  "expires_on": "1506484173",
  "not_before": "1506480273",
  "resource": "https://management.chinacloudapi.cn/",
  "token_type": "Bearer"
}

使用 Azure 标识客户端库获取令牌

建议使用 Azure 标识客户端库使用托管标识。 完成以下步骤：

1. 安装 Azure.Identity 包和其他所需的 Azure SDK 库包，如 Azure.Security.KeyVault.Secrets。

2. 使用下面的示例代码。 无需为获取令牌担心。 你可以直接使用 Azure SDK 客户端。 此代码用于演示如何获取令牌（如需）。

   using Azure.Core;
   using Azure.Identity;
   using Azure.Security.KeyVault.Secrets;
   
   ManagedIdentityCredential credential = new(
       ManagedIdentityId.FromUserAssignedClientId("<managed_identity_client_ID>"));
   
   // Option 1: Explicit token acquisition. Manually fetch the token and convert to a string, if necessary.
   AccessToken accessToken = await credential.GetTokenAsync(
       new TokenRequestContext(["https://vault.azure.cn"]));
   string accessTokenString = accessToken.Token;
   
   // Option 2: Implicit token acquisition. Pass the credential object to the Azure service client constructor.
   // Token acquisition is triggered on the GetSecretAsync method call.
   SecretClient client = new(new Uri("https://myvault.vault.azure.cn/"), credential);
   KeyVaultSecret secret = await client.GetSecretAsync("MySecret");
   

有关详细信息，请参阅 使用用户分配的托管标识 并使用 系统分配的托管标识。

使用 C# 获取令牌

using System;
using System.Net.Http;
using Newtonsoft.Json.Linq;

// Construct HttpClient
var httpClient = new HttpClient
{
    DefaultRequestHeaders =
    {
        { "Metadata", Boolean.TrueString }
    }
};

// Construct URI to call
var resource = "https://management.chinacloudapi.cn/";
var uri = $"http://169.254.169.254/metadata/identity/oauth2/token?api-version=2018-02-01&resource={resource}";

// Make call
var response = await httpClient.GetAsync(uri);
try
{
    response.EnsureSuccessStatusCode();
}
catch (HttpRequestException)
{
    var error = await response.Content.ReadAsStringAsync();
    Console.WriteLine(error);
    throw;
}

// Parse response using Newtonsoft.Json
var content = await response.Content.ReadAsStringAsync();
var obj = JObject.Parse(content);
var accessToken = obj["access_token"];

Console.WriteLine(accessToken);

使用 Java 获取令牌

通过 Java 使用此 JSON 库检索令牌。

import java.io.*;
import java.net.*;
import com.fasterxml.jackson.core.*;
 
class GetMSIToken {
    public static void main(String[] args) throws Exception {
 
        URL msiEndpoint = new URL("http://169.254.169.254/metadata/identity/oauth2/token?api-version=2018-02-01&resource=https://management.chinacloudapi.cn/");
        HttpURLConnection con = (HttpURLConnection) msiEndpoint.openConnection();
        con.setRequestMethod("GET");
        con.setRequestProperty("Metadata", "true");
 
        if (con.getResponseCode()!=200) {
            throw new Exception("Error calling managed identity token endpoint.");
        }
 
        InputStream responseStream = con.getInputStream();
 
        JsonFactory factory = new JsonFactory();
        JsonParser parser = factory.createParser(responseStream);
 
        while(!parser.isClosed()){
            JsonToken jsonToken = parser.nextToken();
 
            if(JsonToken.FIELD_NAME.equals(jsonToken)){
                String fieldName = parser.getCurrentName();
                jsonToken = parser.nextToken();
 
                if("access_token".equals(fieldName)){
                    String accesstoken = parser.getValueAsString();
                    System.out.println("Access Token: " + accesstoken.substring(0,5)+ "..." + accesstoken.substring(accesstoken.length()-5));
                    return;
                }
            }
        }
    }
}

使用 Go 获取令牌

package main

import (
  "fmt"
  "io/ioutil"
  "net/http"
  "net/url"
  "encoding/json"
)

type responseJson struct {
  AccessToken string `json:"access_token"`
  RefreshToken string `json:"refresh_token"`
  ExpiresIn string `json:"expires_in"`
  ExpiresOn string `json:"expires_on"`
  NotBefore string `json:"not_before"`
  Resource string `json:"resource"`
  TokenType string `json:"token_type"`
}

func main() {
    
    // Create HTTP request for a managed services for Azure resources token to access Azure Resource Manager
    var msi_endpoint *url.URL
    msi_endpoint, err := url.Parse("http://169.254.169.254/metadata/identity/oauth2/token?api-version=2018-02-01")
    if err != nil {
      fmt.Println("Error creating URL: ", err)
      return 
    }
    msi_parameters := msi_endpoint.Query()
    msi_parameters.Add("resource", "https://management.chinacloudapi.cn/")
    msi_endpoint.RawQuery = msi_parameters.Encode()
    req, err := http.NewRequest("GET", msi_endpoint.String(), nil)
    if err != nil {
      fmt.Println("Error creating HTTP request: ", err)
      return 
    }
    req.Header.Add("Metadata", "true")

    // Call managed services for Azure resources token endpoint
    client := &http.Client{}
    resp, err := client.Do(req) 
    if err != nil{
      fmt.Println("Error calling token endpoint: ", err)
      return
    }

    // Pull out response body
    responseBytes,err := ioutil.ReadAll(resp.Body)
    defer resp.Body.Close()
    if err != nil {
      fmt.Println("Error reading response body : ", err)
      return
    }

    // Unmarshall response body into struct
    var r responseJson
    err = json.Unmarshal(responseBytes, &r)
    if err != nil {
      fmt.Println("Error unmarshalling the response:", err)
      return
    }

    // Print HTTP response and marshalled response body elements to console
    fmt.Println("Response status:", resp.Status)
    fmt.Println("access_token: ", r.AccessToken)
    fmt.Println("refresh_token: ", r.RefreshToken)
    fmt.Println("expires_in: ", r.ExpiresIn)
    fmt.Println("expires_on: ", r.ExpiresOn)
    fmt.Println("not_before: ", r.NotBefore)
    fmt.Println("resource: ", r.Resource)
    fmt.Println("token_type: ", r.TokenType)
}

使用 PowerShell 获取令牌

以下示例演示如何从 PowerShell 客户端使用 Azure 资源托管标识 REST 终结点来执行以下操作：

1. 获取访问令牌。
2. 使用该访问令牌调用 Azure 资源管理器 REST API 并获取有关 VM 的信息。 请务必将 <SUBSCRIPTION-ID>、<RESOURCE-GROUP> 和 <VM-NAME> 分别替换为自己的订阅 ID、资源组名称和虚拟机名称。

Invoke-RestMethod -Method GET -Uri 'http://169.254.169.254/metadata/identity/oauth2/token?api-version=2018-02-01&resource=https%3A%2F%2Fmanagement.chinacloudapi.cn%2F' -Headers @{Metadata="true"}

有关如何分析响应中的访问令牌的示例：

# Get an access token for managed identities for Azure resources
$resource = 'https://management.chinacloudapi.cn'
$response = Invoke-RestMethod -Method GET `
                            -Uri "http://169.254.169.254/metadata/identity/oauth2/token?api-version=2018-02-01&resource=$resource" `
                            -Headers @{ Metadata="true" }
$accessToken = $response.access_token
Write-Host "Access token using a User-Assigned Managed Identity is $accessToken"

# Use the access token to get resource information for the VM
$secureToken = $accessToken | ConvertTo-SecureString -AsPlainText
$vmInfoRest = Invoke-RestMethod -Method GET `
                              -Uri 'https://management.chinacloudapi.cn/subscriptions/<SUBSCRIPTION-ID>/resourceGroups/<RESOURCE-GROUP>/providers/Microsoft.Compute/virtualMachines/<VM-NAME>?api-version=2017-12-01' `
                              -ContentType 'application/json' `
                              -Authentication Bearer `
                              -Token $secureToken
Write-Host "JSON returned from call to get VM info: $($vmInfoRest.content)"

使用 CURL 获取令牌

curl 'http://169.254.169.254/metadata/identity/oauth2/token?api-version=2018-02-01&resource=https%3A%2F%2Fmanagement.chinacloudapi.cn%2F' -H Metadata:true -s

有关如何分析响应中的访问令牌的示例：

response=$(curl 'http://169.254.169.254/metadata/identity/oauth2/token?api-version=2018-02-01&resource=https%3A%2F%2Fmanagement.chinacloudapi.cn%2F' -H Metadata:true -s)
access_token=$(echo $response | python -c 'import sys, json; print (json.load(sys.stdin)["access_token"])')
echo Access token using a User-Assigned Managed Identity is $access_token

令牌缓存

托管标识子系统缓存令牌，但仍建议在代码中实现令牌缓存。 您应该为资源显示令牌已过期的情况做好准备。

仅在下列情况下会对 Microsoft Entra ID 结果进行在线调用：

• 由于 Azure 资源托管标识子系统缓存中没有令牌，因此会发生缓存失误。
• 缓存令牌已过期。

错误处理

托管标识终结点通过 HTTP 响应消息标头的状态代码字段，以 4xx 或 5xx 错误的形式指示错误：

如果发生错误，相应的 HTTP 响应正文将包含 JSON 和错误详细信息：

HTTP 响应参考

本部分介绍可能的错误响应。 “200 OK”状态表示成功的响应，访问令牌包含在响应正文 JSON 的 access_token 元素中。

重试指南

如果收到 404、429 或 5xx 错误代码（请参阅 错误处理），请重试。 如果收到 410 错误，则表示 IMDS 正在进行更新，并且将在最长 70 秒内可用。

限制适用于对 IMDS 终结点所做的调用次数。 当超出节流阈值时，IMDS 终结点在节流生效期间限制进一步的请求。 在此期间，IMDS 终结点会返回 HTTP 状态码 429（“请求过多”），并且请求失败。

若要重试，建议使用以下策略：

Azure 服务的资源 ID

如需支持 Azure 资源托管标识的资源列表，请参阅支持托管标识的 Azure 服务。

后续步骤

• 若要启用 Azure VM 上的 Azure 资源的托管标识，请参阅使用 Azure 门户在 VM 上配置 Azure 资源的托管标识。