Субъект службы Azure проверяет срок действия своего пароля

У нас есть приложение, в котором настроен субъект-служба для предоставления доступа к ресурсам Azure. Для этого субъекта-службы настроен пароль с истечением срока действия.

Мы хотим настроить наше приложение так, чтобы оно было известно о дате истечения срока действия пароля учетных данных участника-службы. Как лучше всего предоставить доступ принципалу службы до истечения срока его действия?

По умолчанию это запрещено.

az ad app show --id xxxxxxxxxx

Insufficient privileges to complete the operation.

Но можно включить некоторые разрешения API (устаревший график Azure Active Directory /Directory.Read.All), и он работает, но это кажется слишком открытым.

Есть ли способ предоставить доступ только для просмотра данных из собственного идентификатора приложения? Как лучше всего это сделать?


azure azure-active-directory service-principal
person Ferrandinand    schedule 24.04.2019    source источник

Ответы (1)


arrow_upward
1
arrow_downward

AFAIK, кажется, вы не могли этого сделать. По крайней мере, вам нужно предоставить Application.ReadWrite.All разрешение. Команда az ad app show --id xxxxxx, по сути, вызывает api лазерного графа рекламы, вы можете проверить с помощью --debug.

введите описание изображения здесь

Чтобы вызвать этот API, от наименее привилегированного до наиболее привилегированного, ему нужны Application.ReadWrite.OwnedBy, Application.ReadWrite.All, Directory.Read.All. В вашем случае Application.ReadWrite.OwnedBy не вариант.

Кроме того, я также протестировал az ad signed-in-user show, если вы входите в систему с помощью приложения AD, похоже, что использование этой команды не поддерживается.

person Joy Wang    schedule 25.04.2019