使用策略阻止托管标识上的工作负载联合身份验证
本文介绍如何使用 Azure Policy 阻止在用户分配的托管标识上创建联合标识凭据。 通过阻止创建联合标识凭据，可以阻止所有人使用工作负载标识联合身份验证访问受 Microsoft Entra 保护的资源。 Azure Policy 有助于在 Azure 资源上执行某些业务规则，并评估这些资源的合规性。
“不允许的资源类型”内置策略可用于阻止在用户分配的托管标识上创建联合标识凭据。
创建策略分配
提示
本文中的步骤可能因开始使用的门户而略有不同。
若要为“不允许的资源类型”创建策略分配以阻止在订阅或资源组中创建联合标识凭据，请执行以下操作：
- 登录 Azure 门户。
- 在 Azure 门户中导航到“策略”。
- 转到“定义”窗格。
- 在“搜索”框中，搜索“不允许的资源类型”，并在返回的项列表中选择“不允许的资源类型”策略。
- 选择该策略后，可以看到“定义”选项卡。
- 单击“分配”按钮以创建分配。
- 在“基本信息”选项卡中，通过设置“订阅”和可选的“资源组”来填写“范围”。
- 在“参数”选项卡中，从“不允许的资源类型”列表中选择“userAssignedIdentities/federatedIdentityCredentials”。 选择“查看并创建”。
- 通过选择“创建”应用分配。
- 在“定义”旁边的“分配”选项卡中查看分配。
后续步骤
了解如何在 Microsoft Entra ID 中管理用户分配的托管标识的联合标识凭据。