Доступ к хранилищу Azure с помощью учетных данных субъекта-службы на основе сертификата; azure.identity против azure.common.credentials

Question

Я экспериментировал, пытаясь получить доступ к хранилищу BLOB-объектов Azure с использованием учетных данных субъекта-службы через Python SDK, и у меня возникли некоторые затруднения, с которыми, как я думал, сообщество могло бы помочь.

# 1 azure.common.credentials против azure.identity-------------------------------------------------

Я заметил два разных пакета python в Azure с классами учетных данных.

 - azure.common.credentials
 - azure.identity

В чем разница между ними и когда следует использовать одно против другого? В частности, при попытке работать с субъектами служб Azure

• **azure.identity** обеспечивает как **ClientSecretCredential & CertificateCredential**поэтому мы можем использовать либо общий секрет, либо сертификат SSL.

• **azure.common.credentials** пакет предоставляет только **ServicePrincipalCredentials**класс, которому нужен общий секрет, и нет аналога для работы с учетными данными сертификата.

Я что-то пропустил? Я хочу использовать принципала службы на основе сертификата.

# 2 ServicePrincipalCredentials работает, но ClientSecretCredential не работает ------------------------------------------ ------

Мой тестовый код для доступа к хранилищу Azure успешно работает с классом ServicePrincipalCredentials. Но не работает с классом ClientSecretCredential с сообщением об исключении:'ClientSecretCredential' object has no attribute 'signed_session'"

Цените любую помощь с пониманием почему. В коде нет никакой разницы, кроме создания экземпляра учетных данных для одного из двух классов, указанных выше.

Проблема №2 выше важна в основном из-за №1. Я хочу использовать аутентификацию на основе сертификатов, но не могу найти поддерживающий класс в azure.common.credentials.

Подробности Python Environ:

>python3 --version
Python 3.6.9

>pip3 freeze | grep -i azure
azure-common==1.1.25
azure-core==1.5.0
azure-identity==1.3.1
azure-mgmt-resource==9.0.0
azure-mgmt-storage==10.0.0
azure-storage-blob==12.3.1
msrestazure==0.6.3

фрагменты из моего кода:

# for credential classes
from azure.identity import ClientSecretCredential
from azure.identity import CertificateCredential

# for storage & other resource mgmt classes
from azure.mgmt.resource import ResourceManagementClient
from azure.mgmt.storage import StorageManagementClient

tenant_id = params['tenant-id']
client_id = params['client-id']
client_secret = params['secret']
subscription_id = params['subscription-id']

creds = ClientSecretCredential(tenant_id=tenant_id, client_id=client_id, client_secret=client_secret)

# create resource group
resource_client = ResourceManagementClient(creds, subscription_id)

# create storage group, access keys etc
storage_client = StorageManagementClient(creds, subscription_id)

При попытке использовать сертификат, а не секрет, вот фрагмент кода для создания экземпляра учетных данных; остальной код такой же.

    client_keycert_path = params['cert-path']
    creds = CertificateCredential(tenant_id =tenant_id, client_id = client_id, certificate_path = client_keycert_path)

Answer 1

Я признаю, что текущая ситуация вводит в заблуждение, вот несколько деталей на сегодняшний день (отслеживайте ситуацию здесь https://github.com/Azure/azure-sdk-for-python/issues/9310):

• За azure-storage-blob, azure.common используется для хранилища SDK <= 2.x, и azure-identity используется для хранения SDK >= v12.x.
• Для любого пакета начиная с azure-mgmt-xxx, azure-commonпо-прежнему официальный путь. Проверьте эту проблему, чтобы узнать, как написать код управления, который используетazure-identity(https://github.com/Azure/azure-sdk-for-python/issues/9310)

Это скоро изменится, к лету 2020 года SDK MGMT должны поддерживать azure-identity из коробки.

Надеюсь, это поможет, не стесняйтесь открывать проблему и на Github, если есть дополнительные вопросы:https://github.com/Azure/azure-sdk-for-python/issues

(Я работаю в команде Azure SDK в MS)