java - 如何使用 Azure java sdk 的资源管理 api 向 AD 应用程序分配读写权限以管理资源

Question

我正在尝试使用 java sdk 连接到 Azure Resource Manager API。我有一个启用了“Windows 服务管理 API”权限的 AD 应用程序。运行测试示例时，我在对特定资源组执行 get 调用时遇到以下错误。

Exception in thread "main" com.microsoft.windowsazure.exception.ServiceException: AuthorizationFailed: The client '1111-5a7b-4384-9fee-3a593a8c6875' with object id '1111115-5a7b-4384-9fee-3a593a8c6875' does not have authorization to perform action 'Microsoft.Resources/subscriptions/resourcegroups/read' over scope '/subscriptions/zzzzzzzzzzzz-ae67-ed0926abfe0d/resourcegroups/Group'.
at com.microsoft.windowsazure.exception.ServiceException.createFromJson

如何为 AD 中用于连接资源管理 API 的应用程序分配读写权限？

Answer 1

正如 @Gaurav Mantri 所说，如果运行示例 ServicePrincipalExample，为广告应用分配阅读器角色的最简单方法是使用 Azure Preview Portal。在https://github.com/Azure/azure-sdk-for-java/blob/master/azure-mgmt-samples/src/main/java/com/microsoft/azure/samples/authentication/ServicePrincipalExample.java .

有关执行此操作的完整详细信息，请参阅下文。

根据上图，步骤如下:

1. 点击Resource groups .
2. 在过滤项字段中输入资源组名称，然后单击选定的资源组。
3. 点击settings按钮。
4. 点击Users按钮。
5. 点击Add按钮。
6. 点击Select a role并选择Reader角色。
7. 点击Add users按钮，在搜索栏输入广告应用名称，选择广告应用点击 select按钮。
8. 点击OK Add access 中的按钮标签页。

现在，您可以再次运行该示例，它会返回正确的结果，不会出现错误。

除了 Azure PowerShell 之外，您还可以使用 Azure CLI 来执行此操作。

1. 使用您的用户名和密码登录 azure cli，运行 azure login
2. 切换arm模式，运行azure config mode arm
3. 角色分配，运行 azure role assignment create --objectId <objectId> -o Reader -c /subscriptions/<subscriptionId>/> .

Note: For the object Id, you can run azure ad sp show --search <ad-app-name> to show it.

然后，再次运行示例，不会出现错误。