第三方的Azure Management API訪問權限

Question

我正在開發一個與其他業務'Azure帳戶集成的應用程序。 我的應用程序需要對客戶的Azure帳戶中的Azure Monitor服務進行讀取訪問。 驗證的最佳方式是什么？

閱讀后，這是我提出的當前解決方案：

讓客戶在其帳戶中創建應用程序注冊。 創建應用程序注冊后，他們將Monitoring Reader角色分配給他們創建的應用程序。 然后，客戶將導航回App注冊並創建客戶端密鑰。 然后，客戶向我的服務提供客戶端ID，租戶ID和客戶端密鑰。 我的服務將使用這些來驗證Azure並調用Azure Monitor。

這是以Azure作為第三方進行身份驗證的推薦方法嗎？

Answer 1

我不確定它是否是最佳方式，但實際上它是一種可行的方式。 這種方式命名客戶端憑證流 ，您需要使用這種方式來請求訪問令牌，然后使用令牌調用azure rest api，例如Alert Rules - Get 。

當您請求令牌時，您需要使用https://management.azure.com/指定resource ，另外，您應該注意v1.0端點與v2.0不同，v2.0使用scope而不是resource ，用於差異詳情見此鏈接 。 因此，您應該選擇正確的一個取決於您的客戶創建的應用程序版本。

此外，糾正您對azure ad tenant和azure訂閱的一些理解。 它們不稱為Azure帳戶，Azure監視器是訂閱中的服務，訂閱位於租戶中。 AD應用程序（應用程序注冊）也位於租戶中。 您可以理解AD應用程序高於訂閱，它不在訂閱中。