当 sp 是在没有 App 和 Cred 的情况下独立创建时，如何获取与 AzureAD 中的服务主体关联的证书的指纹

Question

我有一个使用以下 powershell 创建的服务主体。

$sp3 = New-AzureRmADServicePrincipal `
    -DisplayName "<service-principal-name>" `
    -CertValue $certValue3 `
    -EndDate ([System.TimeZoneInfo]::ConvertTimeBySystemTimeZoneId($cert3.Certificate.GetExpirationDateString(), [System.TimeZoneInfo]::Local.Id, 'GMT Standard Time'))

其中certValue3 是 Base64String RawCertData。此服务主体工作正常，我可以在使用证书时获得令牌。

在 Azure AD 中创建服务主体后，如何使用 Powershell 查看与服务主体关联的证书指纹？

我尝试过this，但是当我尝试执行 Get-AzureADApplicationKeyCredential 时得到Forbidden

我还在 Azure Active Directory 下创建的服务主体下检查了 Azure 门户中的清单 → 应用注册 → → 清单，但 keyCredentials 节点为空

"keyCredentials": [],

请注意，当我使用New-AzureRmADApplication 后跟凭据New-AzureRmADAppCredential 和New-AzureRmADServicePrincipal 创建应用程序时，我会看到keyCredentials 与customKeyIdentifier 设置为证书指纹。下面的示例脚本 -

$adapp = New-AzureRmADApplication -DisplayName "<application-name>" `
    -HomePage "<home-page-url>" `
    -IdentifierUris "<identifier-url>" `
    -CertValue $certValue `
    -StartDate ([System.TimeZoneInfo]::ConvertTimeBySystemTimeZoneId($cert.Certificate.GetEffectiveDateString(), [System.TimeZoneInfo]::Local.Id, 'GMT Standard Time')) `
    -EndDate ([System.TimeZoneInfo]::ConvertTimeBySystemTimeZoneId($cert.Certificate.GetExpirationDateString(), [System.TimeZoneInfo]::Local.Id, 'GMT Standard Time'))

New-AzureRmADAppCredential -ApplicationId $adapp.ApplicationId -CertValue $certValue2 

$sp2 = New-AzureRmADServicePrincipal -ApplicationId $adapp.ApplicationId -DisplayName "<application-name>"

在没有 AzureRmADApplication 和 AzureRmADAppCredential 的情况下独立创建服务主体时，如何使用 powershell 获取与 Azure AD 中的服务主体关联的证书的指纹？

Answer 1

根据我的测试，我们可以使用下面的 Azure AD Graph API 来获取 sp.key 的凭证。 KeyCredential 中的 customKeyIdentifier 是证书的指纹

GET https://graph.windows.net/<your teanant id>/servicePrincipals/<your sp object id>/keyCredentials?api-version=1.6

例如

1. 创建sp并获取指纹

$tenantId ="<tenant id>"
#use the goabl admin account to login 
Connect-AzureRmAccount -Tenant $tenantId

$certificateObject = New-Object System.Security.Cryptography.X509Certificates.X509Certificate2
$certificateObject.Import("E:\Cert\examplecert.pfx","Password0123!", [System.Security.Cryptography.X509Certificates.X509KeyStorageFlags]::DefaultKeySet)
Write-Host "the thumbrint of cert"
$certificateObject.Thumbprint

$keyValue = [System.Convert]::ToBase64String($certificateObject.GetRawCertData())

$sp =New-AzureRmADServicePrincipal -DisplayName "jimtestsample" -CertValue $keyValue -EndDate $endDate
$context=Get-AzureRmContext
$token=$context.TokenCache.ReadItems() |Where-Object { ($_.TenantId -eq $tenantId) -and ($_.Resource -eq "https://graph.windows.net/")  }
$accesstoken=$token.AccessToken

$url = "https://graph.windows.net/$tenantId/servicePrincipals/"+$sp.Id+"/keyCredentials?api-version=1.6"

$keyCreds = Invoke-RestMethod -Uri $url  -Method Get -Headers @{"Authorization" = "Bearer $accesstoken"}
Write-Host "--------------------------------------------"
$keyCreds.value | Select-Object customKeyIdentifier

Answer 2

我测试了你的命令，它应该可以工作。使用New-AzADServicePrincipal创建服务主体时，会自动为你创建一个AD App（即App Registration），证书也会出现在你的AD App的Certificates & secrets中。

在我的示例中，我使用了新的Az 模块，对于您使用的旧的AzureRm 模块，它应该也可以工作（不完全确定，我建议您使用新的Az 模块，因为AzureRm 模块已被弃用，不会更新）。并确保您在门户中查看正确的 AD 应用程序，因为 AD 应用程序的 DisplayName 可能会重复。

$cert=New-SelfSignedCertificate -Subject "CN=TodoListDaemonWithCert" -CertStoreLocation "Cert:\CurrentUser\My"  -KeyExportPolicy Exportable -KeySpec Signature
$bin = $cert.RawData
$base64Value = [System.Convert]::ToBase64String($bin)

New-AzADServicePrincipal -DisplayName joy134 -CertValue $base64Value 

检查门户：

然后您可以使用您尝试过的this way 来修复Forbidden 错误，您的帐户至少应该是AD App 的Owner，或者如果您的帐户在租户中具有管理员角色，例如Application administrator，Groups administrator，也可以。

$CustomKeyIdentifier = (Get-AzureADApplicationKeyCredential -ObjectId "<object-id>").CustomKeyIdentifier
$Thumbprint = [System.Convert]::ToBase64String($CustomKeyIdentifier)

---

此外，您应该注意不同的命令组合会导致不同的结果，请参阅link。所以当你测试它时，我建议你使用不同的参数值。