使用开发人员帐户在本地开发期间向 Azure 服务验证 Python 应用的身份

若要在 Microsoft Entra ID 中创建安全组，请使用 az ad group createe Azure CLI 命令。

此命令需要以下参数：

--display-name：便于用户使用的组名称

--mail-nickname：用于电子邮件和内部引用的唯一标识符

建议以应用程序名称为基础来命名组，并添加类似 -local-dev 的后缀以清楚地表明其用途。

#!/bin/bash
az ad group create \
    --display-name MyDisplay \
    --mail-nickname MyDisplay  \
    --description "<group-description>"

# PowerShell syntax
az ad group create `
    --display-name MyDisplay `
    --mail-nickname MyDisplay `
    --description "<group-description>"

运行az ad group create命令后，从命令输出中复制id属性的值。 在本文后面的步骤中，你需要 Microsoft Entra 安全组的 Object ID 来分配角色。 若要稍后再次检索Object ID，请使用以下 az ad group show 命令： az ad group show --group "my-app-local-dev" --query id --output tsv

若要将用户添加到组，首先需要获取要添加的 Azure 用户帐户的 Object ID。 使用带参数的 az ad user list 命令 --filter 按显示名称搜索特定用户。 该 --query 参数有助于将输出限制为相关字段：

#!/bin/bash
az ad user list \
--filter "startswith(displayName, 'Bob')" \
--query "[].{objectId:id, displayName:displayName}" \
--output table

# PowerShell syntax
az ad user list `
    --filter "startswith(displayName, 'Bob')" `
    --query "[].{objectId:id, displayName:displayName}" `
    --output table

获得 Object ID 用户后，可以使用 az ad group member add 命令将其添加到组中。

#!/bin/bash
az ad group member add \
    --group <group-name> \
    --member-id <object-id>

# PowerShell syntax
az ad group member add `
    --group <group-name> `
    --member-id <object-id>

使用 az role assignment create 命令为用户、组或应用程序服务主体分配 Azure 中的角色。 可以通过其Object ID指定一个组。

#!/bin/bash
az role assignment create --assignee <objectId> \
    --scope /subscriptions/<subscriptionId>/resourceGroups/<resourceGroupName> \
    --role "<roleName>" 

# PowerShell syntax
az role assignment create `
    --assignee <objectId> `
    --scope /subscriptions/<subscriptionId>/resourceGroups/<resourceGroupName> `
    --role "<roleName>"

若要获取可以分配的角色名称，请使用 az role definition list 命令。

#!/bin/bash
az role definition list --query "sort_by([].{roleName:roleName, description:description}, &roleName)" --output table

# PowerShell syntax
az role definition list --query "sort_by([].{roleName:roleName, description:description}, &roleName)" --output table

若要授予对特定资源组中所有存储帐户的 Azure 存储 Blob 容器和数据的读取、写入和删除访问权限，请将存储 Blob 数据参与者角色分配给Microsoft Entra 安全组。

#!/bin/bash
az role assignment create --assignee bbbbbbbb-1111-2222-3333-cccccccccccc \
    --scope /subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/msdocs-python-sdk-auth-example \
    --role "Storage Blob Data Contributor"

# PowerShell syntax
az role assignment create --assignee bbbbbbbb-1111-2222-3333-cccccccccccc `
    --scope /subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/msdocs-python-sdk-auth-example `
    --role "Storage Blob Data Contributor"

有关使用 Azure CLI 在资源或订阅级别分配权限的信息，请参阅使用 Azure CLI 分配 Azure 角色一文。

在开发人员工作站上打开终端，然后从 Azure CLI 登录到 Azure。

az login

在开发人员工作站上打开终端，然后从 Azure PowerShell 登录到 Azure。

Connect-AzAccount

在开发人员工作站上打开一个终端，然后从 Azure 开发人员 CLI 登录到 Azure。

azd auth login

交互式身份验证默认情况下在 DefaultAzureCredential 中处于禁用状态，但可以使用关键字参数启用：

DefaultAzureCredential(exclude_interactive_browser_credential=False)