使用 Azure CLI 登录

Azure CLI 有多种身份验证类型。

编写脚本时,建议的方法是使用服务主体。 通过授予服务主体所需的最低适当权限,可以确保自动化的安全性。 CLI 不会存储任何登录信息。 身份验证刷新令牌由 Azure 生成并存储。 自 2018 年 8 月起,此令牌在不活动 90 天后将被撤销,但此值可由 Microsoft 或租户管理员更改。 令牌被撤销后,你会收到来自 CLI 的消息,指示你需要重新登录。

登录后,将针对默认订阅运行 CLI 命令。 如果你有多个订阅,可以更改默认订阅

在命令行中使用凭据登录。

Note

在 Azure China 中使用 Azure CLI 2.0 之前,请首先运行 az cloud set -n AzureChinaCloud 更改云环境。 如果要切换回 Global Azure,请再次运行 az cloud set -n AzureCloud

在命令行中提供 Azure 用户凭据。

Note

此方法不适用于 Microsoft 帐户或已启用双重身份验证的帐户。

az login -u <username> -p <password>

Important

如果想要避免在控制台中显示自己的密码并以交互方式使用 az login,请在 bash 下面使用 read -s 命令。

read -sp "Azure password: " AZ_PASS && echo && az login -u <username> -p $AZ_PASS

在 PowerShell 下,请使用 Get-Credential cmdlet。

$AzCred = Get-Credential -UserName <username>
az login -u $AzCred.UserName -p $AzCred.GetNetworkCredential().Password

使用服务主体进行登录

服务主体是未绑定到任何特定用户的帐户,这些帐户具有通过预定义角色分配的权限。 使用服务主体进行身份验证是编写安全脚本或程序的最佳方法,因为这样可以同时应用权限限制和本地存储的静态凭据信息。 若要了解有关服务主体的详细信息,请参阅使用 Azure CLI 创建 Azure 服务主体

若要使用服务主体登录,需要:

  • 与该服务主体关联的 URL 或名称
  • 该服务主体的密码,或用于创建该服务主体的 X509 证书(PEM 格式)
  • 与该服务主体关联的租户(.onmicrosoft.com 域或 Azure 对象 ID)

Important

如果服务主体使用 Key Vault 中存储的证书,则该证书的私钥必须在未登录到 Azure 的情况下可用。 若要检索私钥以供脱机使用,请使用 az keyvault secret show

az login --service-principal -u <app-url> -p <password-or-cert> --tenant <tenant>

Important

如果想要避免在控制台中显示自己的密码并以交互方式使用 az login,请在 bash 下面使用 read -s 命令。

read -sp "Azure password: " AZ_PASS && echo && az login --service-principal -u <app-url> -p $AZ_PASS --tenant <tenant>

在 PowerShell 下,请使用 Get-Credential cmdlet。

$AzCred = Get-Credential -UserName <app-url>
az login --service-principal -u $AzCred.UserName -p $AzCred.GetNetworkCredential().Password --tenant <tenant>

使用其他租户登录

可以使用 --tenant 参数选择用于登录的租户。 此参数的值可以是 .onmicrosoft.com 域或租户的 Azure 对象 ID。 交互式登录方法和命令行登录方法都可以配合 --tenant 来使用。

az login --tenant <tenant>

使用托管标识登录

在已针对 Azure 资源托管标识进行了配置的资源上,可以使用托管标识进行登录。 使用资源的标识登录是通过 --identity 标志执行的。

az login --identity

若要了解有关 Azure 资源托管标识的详细信息,请参阅配置 Azure 资源的托管标识使用 Azure 资源的托管标识进行登录