ManagedIdentityCredential 身份验证不可用，未找到托管身份端点

Question

我试图允许应用程序服务（python）从azure keyvault获取秘密，而不使用硬编码的客户端id/秘密，因此我尝试使用ManagedIdentity。

1. 我已在我的服务应用程序中启用系统和用户分配的功能
2. 我在保管库中创建了一项策略，其中服务应用程序被授予访问机密的权限

代码：

credentials_object = ManagedIdentityCredential()
client = SecretClient(vault_url=VAULT_URL, credential=credentials_object)
value = client.get_secret('MYKEY').value

错误（当部署应用程序和在本地运行时）：

azure.identity._exceptions.CredentialUnavailableError： ManagedIdentityCredential 身份验证不可用，未找到托管标识终结点。

我缺少什么？谢谢你！

Answer 1

请务必了解，Azure 中的托管身份功能仅在部署应用服务时才相关。这意味着您可能希望使用本地运行时和部署的 Web 应用程序都兼容的库DefaultAzureCredential()。Azure.Identity

此类将沿着可能的身份验证方法的层次结构运行，在本地运行时，我更喜欢使用可以通过在 Azure CLI 中运行以下命令来创建的服务主体：az ad sp create-for-rbac --name localtest-sp-rbac --skip-assignment。localtest-sp-rbac然后，您可以在 IAM 中添加所需 Azure 服务的服务主体。

我建议阅读本文以获取更多信息以及如何配置本地环境：https://learn.microsoft.com/en-us/azure/developer/python/configure-local-development-environment

您可以在Azure 文档DefaultAzureCredential()中查看凭证类型列表。

Answer 2

就我而言，问题在于将多个托管身份附加到我的虚拟机。我正在尝试使用 ManagedIdentityCredential 从 AKS 访问 Azure 存储帐户。当我将 MI 的 client_id 指定为：

credentials_object  = ManagedIdentityCredential(client_id='XXXXXXXXXXXX')

它开始起作用了！这里还提到，如果 VM 或 VMSS 附加了多个身份，我们需要指定 MI 的 client_id。