设置灵活的联合身份凭证（预览版）

本文介绍如何在 Azure 门户中为应用程序配置灵活的联合标识凭据。 使用针对特定颁发者的示例为 GitHub、GitLab 或 Terraform Cloud 创建凭据。

先决条件

  • 具有活动订阅的 Azure 帐户。 如果还没有帐户，请创建一个帐户。
  • 创建应用注册。 为您的应用授予访问由外部软件工作负载针对的 Azure 资源的权限。

注释

灵活联合标识凭据支持尚不适用于 托管标识。

通过 Microsoft Graph 设置联合标识凭据

为了适应灵活联合标识凭据功能，federatedIdentityCredentials 资源正使用新属性 claimsMatchingExpression 进行扩展。 除此之外，该 subject 属性现在也可为 Null。 属性 claimsMatchingExpression 和 subject 相互排斥，因此不能在联合标识凭据中定义这两者。

  • audiences：可能出现在外部令牌中的受众。 此为必填字段，应设置为 api://AzureADTokenExchange Microsoft Entra ID。 它说明 Microsoft 标识平台应接受传入令牌中名为 aud 的声明。 此值在你的外部标识提供者中代表 Microsoft Entra ID，并且在所有标识提供者中没有固定值。因此，你可能需要在 IdP 中创建一个新的应用程序注册，以便用作此令牌的受众。
  • issuer：外部标识提供者的 URL。 必须与正在交换的外部令牌的发行方声明匹配。
  • subject：外部身份提供者中外部软件工作负载的标识符。 与受众值类似，该值没有固定格式，因为每个 IdP 都使用自己的格式，格式有时是 GUID，有时是冒号分隔的标识符，有时是任意字符串。 此处的值必须与提供给 Microsoft Entra ID 的令牌中的 sub 声明匹配。 如果 subject 已定义，claimsMatchingExpression 必须设置为 Null。
  • name：用于标识凭据的唯一字符串。 此属性是备用键，其值可用于通过 GET 和 UPSERT 操作引用联合标识凭据。
  • claimsMatchingExpression：包含 value 和 languageVersion 这两个属性的新复杂类型。 其值用于定义表达式，languageVersion 用于定义所使用的灵活联合标识凭据表达式语言 (FFL) 的版本。 languageVersion 应始终设置为 1。 如果 claimsMatchingExpression 已定义，subject 必须设置为 Null。

设置灵活的联合身份凭证

对于 GitHub，灵活的联合身份凭据必须与 sub 声明以及以下一个或两个不可变声明相匹配：

  • repository_id 标识工作流运行位置的存储库。
  • repository_owner_id 标识存储库所有者。

无论 sub 使用的是基于名称的、自定义的还是不可变的格式，这些声明都是必需的。

若要在Azure门户中创建凭据，请执行以下操作：

  1. 导航到 Microsoft Entra ID，然后选择要在其中配置联合标识凭据的应用程序。
  2. 在左侧导航窗格中，选择“证书和密码”。
  3. 在“联合凭据”选项卡中，选择“+ 添加凭据”。
  4. 在显示的“添加凭据”窗口中，从“联合凭据方案”旁边的下拉菜单中选择“其他颁发者”。
  5. 在 “连接帐户”下，输入外部标识提供者的 颁发者 URL。 例如：
    • GitHub：https://token.actions.githubusercontent.com
    • GitLab：https://gitlab.example.com
    • Terraform Cloud：https://app.terraform.io
  6. 在 “值”中，输入要使用的声明匹配表达式。 例如，对于GitHub，请输入 claims['sub'] matches 'repo:contoso/contoso-repo:ref:refs/heads/*' and claims['repository_id'] eq '456789'。
  7. 选择“添加”以保存凭据。

灵活联合标识凭据的更多示例

灵活联合标识凭据可以使用不同的颁发者，例如 GitHub、GitLab 和 Terraform Cloud。 使用以下选项卡为每个颁发者设置灵活联合标识凭据。

此示例演示如何为 GitHub 设置灵活的联合身份凭据，并为 job_workflow_ref 声明设置表达式。 从 GitHub OpenID Connect（OIDC）令牌中获取 repository_id 和 repository_owner_id 的数值。 用于 repository_id 将凭据绑定到存储库。

{
  "audiences": [
    "api://AzureADTokenExchange"
  ],
  "name": "MyGitHubFlexibleFIC",
  "issuer": "https://token.actions.githubusercontent.com",
  "claimsMatchingExpression": {
    "value": "claims['sub'] matches 'repo:contoso/contoso-repo:ref:refs/heads/*' and claims['repository_id'] eq '456789' and claims['job_workflow_ref'] matches 'contoso/contoso-prod/.github/workflows/*.yml@refs/heads/main'",
    "languageVersion": 1
  }
}

若要要求存储库与特定所有者一起保留，还需匹配 repository_owner_id：

{
  "audiences": [
    "api://AzureADTokenExchange"
  ],
  "name": "MyGitHubOwnerFlexibleFIC",
  "issuer": "https://token.actions.githubusercontent.com",
  "claimsMatchingExpression": {
    "value": "claims['sub'] matches 'repo:contoso/contoso-repo:ref:refs/heads/*' and claims['repository_id'] eq '456789' and claims['repository_owner_id'] eq '123456' and claims['job_workflow_ref'] matches 'contoso/contoso-prod/.github/workflows/*.yml@refs/heads/main'",
    "languageVersion": 1
  }
}

相关内容

  • Last updated on