【发布时间】：2020-10-23 06:28:40
【问题描述】：
我有一个启用了 Azure Active Directory 身份验证的 Azure 函数（包括“请求未通过身份验证时采取的操作”=“使用 Azure Active Directory 登录”）。此外，选项“需要用户分配？” Azure Function 相关服务主体 (sp_func) 的设置为“是”，以避免租户中的每个人最终都能够运行该函数。
目标是将单个安全组（可以包括用户和服务主体）添加到 sp_func 的“用户和组”中，以便分配给该组来决定是否可以访问该功能.对于用户，这可以正常工作，但对于服务主体 (sp_nonfunc) 则不行。为了让他们 (sp_nonfunc) 工作，我必须为他们设置权限 (sp_nonfunc) 最终允许他们与 Azure Function 交互，无论他们 (sp_nonfunc) 是否分配给组。
我是否可以只将服务主体 (sp_nonfunc) 添加到组中，然后将组添加到 sp_func，然后能够使用 sp_nonfunc 执行函数（不授予 sp_nonfunc 显式权限）？
编辑：即使我在 Manifest 中定义了自己的 appRole，似乎也无法直接将 sp_nonfunc 添加到 sp_func。目前似乎唯一的方法是在 sp_nonfunc 上为 sp_func 添加权限 - 但这是我想要避免的。
EDIT2：这里我是如何在 sp_func 清单中定义角色的
"appRoles": [
{
"allowedMemberTypes": [
"Application"
],
"displayName": "AzureFunctionAccess",
"id": "xxx-xxx-xxx-xxx-xxx",
"isEnabled": true,
"description": "Access Azure Function.",
"value": "AzureFunctionAccess"
}
]
EDIT3：当我不直接为 sp_nonfunc 分配角色，而只是将 sp_nonfunc 添加到我得到的安全组时，当使用资源 = Application ID URI 向https://login.microsoftonline.com/<tenant id>/oauth2/token 发出请求时sp_func的注册app：
{
"error": "invalid_grant",
"error_description": "AADSTS501051: Application 'xxx-xxx-xx-xx-xx'(xxx) is not assigned to a role for the application 'https://xxx'(xxx).\r\nTrace ID: xxx-xxx-xx-xx-xx\r\nCorrelation ID: xxx-xxx-xx-xx-xx\r\nTimestamp: xx-xx-xx xx:xx:xxZ",
"error_codes": [
501051
],
"timestamp": "xx-xx-xx xx:xx:xxZ",
"trace_id": "5xxx-xxx-xx-xx-xx",
"correlation_id": "xxx-xxx-xx-xx-xx",
"error_uri": "https://login.microsoftonline.com/error?code=501051"
}
【问题讨论】：
-
您能澄清一下“将 sp_nonfunc 直接添加到 sp_func”是什么意思吗？您能分享一下您是如何在应用程序上为“sp_func”定义应用程序角色的吗？
-
@PhilippeSignoret 我在通过 AAD 为 Azure Functions 启用身份验证时在上下文中创建了服务主体“sp_func”。此服务主体用于身份验证。当我启用“用户分配”时，我需要（并且想要）将身份添加到服务主体“用户和组”。并且无法直接向该用户和组添加另一个服务主体。
标签： azure authentication azure-active-directory azure-functions azure-service-principal