尝试在Azure服务总线中使用托管标识

Question

我已经尝试按照本教程来验证我的服务总线对DefaultAzureCreentials，但是，我得到了401。

我在设置中使用以下代码：

services.AddAzureClients(x =>
{
    x.AddServiceBusClientWithNamespace("myns.servicebus.windows.net")
        .WithCredential(new Azure.Identity.DefaultAzureCredential());
});

然后我这样称呼SB客户：

var sender = client.CreateSender("myqueue");
var message = new ServiceBusMessage(Encoding.UTF8.GetBytes("test"));

await sender.SendMessageAsync(message);

当我调用SendMessageAsync我得到一个401错误：

失败：Azure Messaging ServiceBus[82]为标识符myqueue-578624f3-f732-4a9b-2ab0-9adc01949a5a创建发送链接时发生异常。错误消息：“系统。UnauthorizedAccessException:放置令牌失败。状态代码：401，状态描述：InvalidIssuer:令牌颁发者无效。TrackingId:cde3a89c-8108-48d1-8b8f-DACDE118E176F，系统跟踪器：NoSystemTracker，时间戳：2021-05-19T07:18:44。

在我运行这个之前，我调用az log。我可以访问发送和接收的命名空间。我的猜测是，我需要在服务总线和...某些东西之间分配某种权限——但是因为我是作为控制台应用程序运行的，所以我是用自己的凭据运行的。很明显，有一些关于管理身份的事情我不明白。

编辑：

根据@juunas的建议，我尝试了以下方法：

services.AddHostedService<ConsoleHostedService>();
services.AddAzureClients(x =>
{
    //var creds = new Azure.Identity.EnvironmentCredential(); // 1st - EnvironmentCredential authentication unavailable. Environment variables are not fully configured.'
    //var creds = new Azure.Identity.ManagedIdentityCredential(); // 2nd - No Managed Identity endpoint found
    //var creds = new Azure.Identity.SharedTokenCacheCredential(); // 3rd - 'SharedTokenCacheCredential authentication unavailable. No accounts were found in the cache.'
    //var creds = new Azure.Identity.VisualStudioCodeCredential(); // 4th - 'Stored credentials not found. Need to authenticate user in VSCode Azure Account.'
    //var creds = new Azure.Identity.AzureCliCredential(); // 5th
    var creds = new Azure.Identity.DefaultAzureCredential();
    
    x.AddServiceBusClientWithNamespace("myns.servicebus.windows.net")
        .WithCredential(creds);

Answer 1

它说“令牌颁发者无效”。这意味着它获得了一个访问令牌，但它是由错误的Azure AD租户颁发的。Az CLI允许您使用Az登录上的-t租户id此处参数指定Azure AD租户id。

DefaultAzureCredential也可以使用其他凭据（它尝试多个凭据，如AzureCliCredential之前的VisualStudioCredential）。相反，您可以尝试直接使用AzureCliCredential，看看它是否有效。这当然不会使用托管标识，所以您需要使用带有AZ CLI凭据ManagedIdtyCredential的ChainedTokenCredential来支持两者。