第三方的Azure Management API访问权限

Question

我正在开发一个与其他业务'Azure帐户集成的应用程序。 我的应用程序需要对客户的Azure帐户中的Azure Monitor服务进行读取访问。 验证的最佳方式是什么？

阅读后，这是我提出的当前解决方案：

让客户在其帐户中创建应用程序注册。 创建应用程序注册后，他们将Monitoring Reader角色分配给他们创建的应用程序。 然后，客户将导航回App注册并创建客户端密钥。 然后，客户向我的服务提供客户端ID，租户ID和客户端密钥。 我的服务将使用这些来验证Azure并调用Azure Monitor。

这是以Azure作为第三方进行身份验证的推荐方法吗？

Answer 1

我不确定它是否是最佳方式，但实际上它是一种可行的方式。 这种方式命名客户端凭证流 ，您需要使用这种方式来请求访问令牌，然后使用令牌调用azure rest api，例如Alert Rules - Get 。

当您请求令牌时，您需要使用https://management.azure.com/指定resource ，另外，您应该注意v1.0端点与v2.0不同，v2.0使用scope而不是resource ，用于差异详情见此链接 。 因此，您应该选择正确的一个取决于您的客户创建的应用程序版本。

此外，纠正您对azure ad tenant和azure订阅的一些理解。 它们不称为Azure帐户，Azure监视器是订阅中的服务，订阅位于租户中。 AD应用程序（应用程序注册）也位于租户中。 您可以理解AD应用程序高于订阅，它不在订阅中。