示例：使用适用于 Python 的 Azure 库来访问 Azure 存储

请注意，已配置客户端机密。 这对于应用服务主体是必要的，但根据您的具体情况，您也可以将 DefaultAzureCredential 配置为使用不需要在环境变量中设置机密或密码的凭据。

例如，在本地开发中，如果 DefaultAzureCredential 无法使用配置的环境变量来获取令牌，它就会尝试使用（已经）登录到 Azure CLI 等开发工具的用户来获取令牌；对于托管在 Azure 中的应用，DefaultAzureCredential 可以配置为使用托管身份。 在所有情况下，应用中的代码都保持不变，只是配置和/或运行环境发生了变化。

1. 使用以下代码创建一个名为use_blob_auth.py的文件。 注释对步骤进行了说明。

   import os
   import uuid
   
   from azure.identity import DefaultAzureCredential
   
   # Import the client object from the SDK library
   from azure.storage.blob import BlobClient
   
   credential = DefaultAzureCredential()
   
   # Retrieve the storage blob service URL, which is of the form
   # https://<your-storage-account-name>.blob.core.windows.net/
   storage_url = os.environ["AZURE_STORAGE_BLOB_URL"]
   
   # Create the client object using the storage URL and the credential
   blob_client = BlobClient(
       storage_url,
       container_name="blob-container-01",
       blob_name=f"sample-blob-{str(uuid.uuid4())[0:5]}.txt",
       credential=credential,
   )
   
   # Open a local file and upload its contents to Blob Storage
   with open("./sample-source.txt", "rb") as data:
       blob_client.upload_blob(data)
       print(f"Uploaded sample-source.txt to {blob_client.url}")
   

   参考链接：

   • DefaultAzureCredential （azure.identity）
   • BlobClient （azure.storage.blob）

2. 创建名为 AZURE_STORAGE_BLOB_URL 的环境变量：

   • cmd
   • bash

   set AZURE_STORAGE_BLOB_URL=https://pythonazurestorage12345.blob.core.windows.net
   

   将“pythonazurestorage12345”替换为存储帐户的名称。

   该 AZURE_STORAGE_BLOB_URL 环境变量仅由此示例使用。 Azure 库不会使用它。

3. 使用 az ad sp create-for-rbac 命令为应用程序创建一个新服务主体。 该命令会同时为应用创建应用注册。 为服务主体指定一个您选择的名称。

   az ad sp create-for-rbac --name <service-principal-name>
   

   此命令的输出如下所示。 记下这些值或使此窗口保持打开状态，因为在下一步中需使用这些值，且无法再次查看密码（客户端密码）值。 但是，如果需要，可稍后添加新密码，而不会使服务主体或现有密码失效。

   {
     "appId": "00001111-aaaa-2222-bbbb-3333cccc4444",
     "displayName": "<service-principal-name>",
     "password": "Aa1Bb~2Cc3.-Dd4Ee5Ff6Gg7Hh8Ii9_Jj0Kk1Ll2",
     "tenant": "aaaabbbb-0000-cccc-1111-dddd2222eeee"
   }
   

   Azure CLI 命令可以在 Azure Cloud Shell 中或是安装了 Azure CLI 的工作站上运行。

4. 为应用程序服务主体创建环境变量：

   使用上一命令输出中的值创建以下环境变量。 这些变量会指示 DefaultAzureCredential 使用应用程序服务主体。

   • AZURE_CLIENT_ID →应用 ID 值。
   • AZURE_TENANT_ID →租户 ID 值。
   • AZURE_CLIENT_SECRET →为应用生成的密码/凭据。
   • cmd
   • bash

   set AZURE_CLIENT_ID=00001111-aaaa-2222-bbbb-3333cccc4444
   set AZURE_TENANT_ID=aaaabbbb-0000-cccc-1111-dddd2222eeee
   set AZURE_CLIENT_SECRET=Aa1Bb~2Cc3.-Dd4Ee5Ff6Gg7Hh8Ii9_Jj0Kk1Ll2
   

5. 尝试运行代码（故意使其失败）：

   python use_blob_auth.py
   

6. 请注意错误“此请求无权使用此权限执行该操作”。由于正在使用的本地服务主体尚无权访问 Blob 容器，因此会出现此错误。

7. 使用 az role assignment create Azure CLI 命令，向服务主体授予对 Blob 容器的存储 Blob 数据参与者权限：

   az role assignment create --assignee <AZURE_CLIENT_ID> \
       --role "Storage Blob Data Contributor" \
       --scope "/subscriptions/<AZURE_SUBSCRIPTION_ID>/resourceGroups/PythonAzureExample-Storage-rg/providers/Microsoft.Storage/storageAccounts/pythonazurestorage12345/blobServices/default/containers/blob-container-01"
   

   --assignee 参数标识了服务主体。 将 AZURE_CLIENT_ID 占位符替换为服务主体的应用 ID<>。

   --scope参数标识此角色分配适用的位置。 在此示例中，将“存储 Blob 数据参与者”角色授予服务主体，用于名为“blob-container-01”的容器。

   • 将PythonAzureExample-Storage-rg 和 pythonazurestorage12345 替换为包含您的存储帐户的资源组以及存储帐户的确切名称。 此外，如有必要，请调整 Blob 容器的名称。 如果使用错误名称，会发现错误“无法对嵌套资源执行请求的操作。 找不到父资源‘pythonazurestorage12345’。

   • 将 AZURE_SUBSCRIPTION_ID 占位符替换为你的 Azure 订阅 ID<>。 （可以运行 az account show 命令并从输出中的 id 属性获取订阅 ID。）

   窍门

   如果使用 bash shell 时，角色分配命令返回错误“找不到连接适配器”，请尝试设置 export MSYS_NO_PATHCONV=1 以避免路径转换。 有关详细信息，请参阅此问题。

8. 花一两分钟时间等待权限传播，然后再次运行该代码，验证它现在是否正常工作。 如果再次看到权限错误，请等待更长的时间，然后重试代码。

有关角色分配的详细信息，请参阅如何使用 Azure CLI 分配角色权限。