Azure VM에서 Azure 리소스에 대한 관리 ID를 사용하여 액세스 토큰을 획득하는 방법

Azure 리소스의 관리 ID는 Microsoft Entra ID에서 자동으로 관리되는 ID를 Azure 서비스에 제공합니다. 이 ID를 사용하면 코드에 자격 증명이 없어도 Microsoft Entra 인증을 지원하는 모든 서비스에 인증할 수 있습니다.

이 문서에서는 토큰 획득을 위한 다양한 코드 및 스크립트 예제를 제공합니다. 토큰 만료 및 HTTP 오류 처리에 대한 지침도 포함되어 있습니다.

필수 조건

• Azure 리소스에 대한 관리 ID 기능이 익숙하지 않은 경우 개요를 참조하세요. Azure 계정이 없으면 계속하기 전에 체험 계정에 등록합니다.

이 문서에서 Azure PowerShell 예제를 사용하려는 경우 최신 버전의 Azure PowerShell을 설치해야 합니다.

개요

클라이언트 애플리케이션은 지정된 리소스에 액세스하기 위해 관리 ID 앱 전용 액세스 토큰 을 요청할 수 있습니다. 토큰은 Azure 리소스 서비스 주체에 대한 관리 ID를 기반으로 합니다. 따라서 클라이언트가 자체 서비스 주체에 따라 액세스 토큰을 가져올 필요가 없습니다. 이 토큰은 클라이언트 자격 증명이 필요한 서비스 간 호출에서 전달자 토큰으로 사용하기에 적합합니다.

HTTP를 사용하여 토큰 가져오기

액세스 토큰을 획득하기 위한 기본 인터페이스는 REST를 기반으로 하므로 HTTP REST 호출을 수행할 수 있는 VM에서 실행되는 모든 클라이언트 애플리케이션에 액세스할 수 있습니다. 이 방법은 클라이언트가 가상 머신에서 엔드포인트를 사용한다는 점을 제외하고 Microsoft Entra 프로그래밍 모델과 유사합니다(Microsoft Entra 엔드포인트와 비교).

AZURE IMDS(Instance Metadata Service) 엔드포인트를 사용하는 샘플 요청 (권장):

GET 'http://169.254.169.254/metadata/identity/oauth2/token?api-version=2018-02-01&resource=https://management.azure.com/' HTTP/1.1 Metadata: true

샘플 응답:

HTTP/1.1 200 OK
Content-Type: application/json
{
  "access_token": "eyJ0eXAi...",
  "refresh_token": "",
  "expires_in": "3599",
  "expires_on": "1506484173",
  "not_before": "1506480273",
  "resource": "https://management.azure.com/",
  "token_type": "Bearer"
}

Azure ID 클라이언트 라이브러리를 사용하여 토큰 가져오기

Azure ID 클라이언트 라이브러리를 사용하는 것이 관리 ID를 사용하는 권장 방법입니다. 모든 Azure SDK는 DefaultAzureCredential에 대한 지원을 제공하는 라이브러리와 Azure.Identity 통합됩니다. 이 클래스를 사용하면 Azure SDK에서 관리 ID를 쉽게 사용할 수 있습니다.자세한 정보

1. Azure.Identity 패키지 및 기타 필수 Azure SDK 라이브러리 패키지(예: Azure.Security.KeyVault.Secrets)를 설치합니다.

2. 아래 샘플 코드를 사용합니다. 토큰을 가져오는 것에 대해 걱정할 필요가 없습니다. Azure SDK 클라이언트를 직접 사용할 수 있습니다. 이 코드는 필요한 경우 토큰을 가져오는 방법을 보여주기 위한 것입니다.

   using Azure.Core;
   using Azure.Identity;
   
   string managedIdentityClientId = "<your managed identity client Id>";
   var credential = new ManagedIdentityCredential(managedIdentityClientId);
   var accessToken = await credential.GetTokenAsync(new TokenRequestContext(["https://vault.azure.net"]));
   // To print the token, you can convert it to string 
   var accessTokenString = accessToken.Token;
   
   // You can use the credential object directly with Key Vault client.     
   var client = new SecretClient(new Uri("https://myvault.vault.azure.net/"), credential);
   

C를 사용하여 토큰 가져오기#

using System;
using System.Net.Http;
using Newtonsoft.Json.Linq;

// Construct HttpClient
var httpClient = new HttpClient
{
    DefaultRequestHeaders =
    {
        { "Metadata", Boolean.TrueString }
    }
};

// Construct URI to call
var resource = "https://management.azure.com/";
var uri = $"http://169.254.169.254/metadata/identity/oauth2/token?api-version=2018-02-01&resource={resource}";

// Make call
var response = await httpClient.GetAsync(uri);
try
{
    response.EnsureSuccessStatusCode();
}
catch (HttpRequestException)
{
    var error = await response.Content.ReadAsStringAsync();
    Console.WriteLine(error);
    throw;
}

// Parse response using Newtonsoft.Json
var content = await response.Content.ReadAsStringAsync();
var obj = JObject.Parse(content);
var accessToken = obj["access_token"];

Console.WriteLine(accessToken);

Java를 사용하여 토큰 가져오기

이 JSON 라이브러리 를 사용하여 Java를 사용하여 토큰을 검색합니다.

import java.io.*;
import java.net.*;
import com.fasterxml.jackson.core.*;
 
class GetMSIToken {
    public static void main(String[] args) throws Exception {
 
        URL msiEndpoint = new URL("http://169.254.169.254/metadata/identity/oauth2/token?api-version=2018-02-01&resource=https://management.azure.com/");
        HttpURLConnection con = (HttpURLConnection) msiEndpoint.openConnection();
        con.setRequestMethod("GET");
        con.setRequestProperty("Metadata", "true");
 
        if (con.getResponseCode()!=200) {
            throw new Exception("Error calling managed identity token endpoint.");
        }
 
        InputStream responseStream = con.getInputStream();
 
        JsonFactory factory = new JsonFactory();
        JsonParser parser = factory.createParser(responseStream);
 
        while(!parser.isClosed()){
            JsonToken jsonToken = parser.nextToken();
 
            if(JsonToken.FIELD_NAME.equals(jsonToken)){
                String fieldName = parser.getCurrentName();
                jsonToken = parser.nextToken();
 
                if("access_token".equals(fieldName)){
                    String accesstoken = parser.getValueAsString();
                    System.out.println("Access Token: " + accesstoken.substring(0,5)+ "..." + accesstoken.substring(accesstoken.length()-5));
                    return;
                }
            }
        }
    }
}

Go를 사용하여 토큰 가져오기

package main

import (
  "fmt"
  "io/ioutil"
  "net/http"
  "net/url"
  "encoding/json"
)

type responseJson struct {
  AccessToken string `json:"access_token"`
  RefreshToken string `json:"refresh_token"`
  ExpiresIn string `json:"expires_in"`
  ExpiresOn string `json:"expires_on"`
  NotBefore string `json:"not_before"`
  Resource string `json:"resource"`
  TokenType string `json:"token_type"`
}

func main() {
    
    // Create HTTP request for a managed services for Azure resources token to access Azure Resource Manager
    var msi_endpoint *url.___URL
    msi_endpoint, err := url.Parse("http://169.254.169.254/metadata/identity/oauth2/token?api-version=2018-02-01")
    if err != nil {
      fmt.Println("Error creating URL: ", err)
      return 
    }
    msi_parameters := msi_endpoint.Query()
    msi_parameters.Add("resource", "https://management.azure.com/")
    msi_endpoint.RawQuery = msi_parameters.Encode()
    req, err := http.NewRequest("GET", msi_endpoint.String(), nil)
    if err != nil {
      fmt.Println("Error creating HTTP request: ", err)
      return 
    }
    req.Header.Add("Metadata", "true")

    // Call managed services for Azure resources token endpoint
    client := &http.Client{}
    resp, err := client.Do(req) 
    if err != nil{
      fmt.Println("Error calling token endpoint: ", err)
      return
    }

    // Pull out response body
    responseBytes,err := ioutil.ReadAll(resp.Body)
    defer resp.Body.Close()
    if err != nil {
      fmt.Println("Error reading response body : ", err)
      return
    }

    // Unmarshall response body into struct
    var r responseJson
    err = json.Unmarshal(responseBytes, &r)
    if err != nil {
      fmt.Println("Error unmarshalling the response:", err)
      return
    }

    // Print HTTP response and marshalled response body elements to console
    fmt.Println("Response status:", resp.Status)
    fmt.Println("access_token: ", r.AccessToken)
    fmt.Println("refresh_token: ", r.RefreshToken)
    fmt.Println("expires_in: ", r.ExpiresIn)
    fmt.Println("expires_on: ", r.ExpiresOn)
    fmt.Println("not_before: ", r.NotBefore)
    fmt.Println("resource: ", r.Resource)
    fmt.Println("token_type: ", r.TokenType)
}

PowerShell을 사용하여 토큰 가져오기

다음 예제에서는 PowerShell 클라이언트에서 Azure 리소스 REST 엔드포인트에 대한 관리 ID를 사용하는 방법을 보여 줍니다.

1. 액세스 토큰을 획득합니다.
2. 액세스 토큰을 사용하여 Azure Resource Manager REST API를 호출하고 VM에 대한 정보를 가져옵니다. 구독 ID, 리소스 그룹 이름 및 가상 머신 이름을 각각 <SUBSCRIPTION-ID>, <RESOURCE-GROUP>, <VM-NAME>로 대체해야 합니다.

Invoke-RestMeth -Method GET -Uri 'http://169.254.169.254/metadata/identity/oauth2/token?api-version=2018-02-01&resource=https%3A%2F%2Fmanagement.azure.com%2F' -Headers @{Metadata="true"}

응답에서 액세스 토큰을 구문 분석하는 방법의 예시는 다음과 같습니다:

# Get an access token for managed identities for Azure resources
$resource = 'https://management.azure.com'
$response = Invoke-RestMeth -Method GET `
                            -Uri 'http://169.254.169.254/metadata/identity/oauth2/token?api-version=2018-02-01&resource=$resource' `
                            -Headers @{ Metadata="true" }
$content = $response.Content | ConvertFrom-Json
$accessToken = $content.access_token
Write-Host "Access token using a User-Assigned Managed Identity is $accessToken"

# Use the access token to get resource information for the VM
$secureToken = $accessToken | ConvertTo-SecureString -AsPlainText
$vmInfoRest = Invoke-RestMeth -Method GET `
                              -Uri 'https://management.azure.com/subscriptions/<SUBSCRIPTION-ID>/resourceGroups/<RESOURCE-GROUP>/providers/Microsoft.Compute/virtualMachines/<VM-NAME>?api-version=2017-12-01' `
                              -ContentType 'application/json' `
                              -Authentication Bearer `
                              -Token $secureToken
Write-Host "JSON returned from call to get VM info: $($vmInfoRest.content)"

CURL을 사용하여 토큰 가져오기

curl 'http://169.254.169.254/metadata/identity/oauth2/token?api-version=2018-02-01&resource=https%3A%2F%2Fmanagement.azure.com%2F' -H Metadata:true -s

응답에서 액세스 토큰을 구문 분석하는 방법의 예시는 다음과 같습니다:

response=$(curl 'http://169.254.169.254/metadata/identity/oauth2/token?api-version=2018-02-01&resource=https%3A%2F%2Fmanagement.azure.com%2F' -H Metadata:true -s)
access_token=$(echo $response | python -c 'import sys, json; print (json.load(sys.stdin)["access_token"])')
echo Access token using a User-Assigned Managed Identity is $access_token

토큰 캐싱

관리 ID 하위 시스템은 토큰을 캐시하지만 코드에서 토큰 캐싱을 구현하는 것이 좋습니다. 리소스가 토큰이 만료되었음을 나타내는 시나리오를 준비해야 합니다.

Microsoft Entra ID에 대한 온-더-와이어 호출은 다음 경우에만 결과를 생성합니다.

• Azure 리소스 하위 시스템 캐시의 관리 ID에 토큰이 없기 때문에 캐시 누락이 발생합니다.
• 캐시된 토큰이 만료되었습니다.

오류 처리

관리 ID 엔드포인트는 HTTP 응답 메시지 헤더의 상태 코드 필드를 통해 오류를 4xx 또는 5xx 오류로 신호합니다.

오류가 발생하면 해당 HTTP 응답 본문에 오류 세부 정보가 포함된 JSON이 포함됩니다.

HTTP 응답 참조

이 섹션에서는 가능한 오류 응답을 문서화합니다. "200 OK" 상태는 성공적인 응답이며 액세스 토큰은 access_token 요소의 응답 본문 JSON에 포함됩니다.

다시 시도 지침

404, 429 또는 5xx 오류 코드가 표시되면 다시 시도합니다( 오류 처리 참조). 410 오류가 발생하면 IMDS가 업데이트를 거치고 있으며 최대 70초 안에 사용할 수 있음을 나타냅니다.

제한 제한은 IMDS 엔드포인트에 대한 호출 수에 적용됩니다. 스로틀링 임계값을 초과하면 IMDS 엔드포인트는 스로틀링이 진행되는 동안 추가 요청을 제한합니다. 이 기간 동안 IMDS 엔드포인트는 HTTP 상태 코드 429("너무 많은 요청")를 반환하고 요청이 실패합니다.

다시 시도하려면 다음 전략을 사용하는 것이 좋습니다.

Azure 서비스의 리소스 ID

Azure 리소스에 대한 관리 ID를 지원하는 리소스 목록은 관리 ID 지원이 있는 Azure 서비스를 참조하세요.

다음 단계

• Azure VM에서 Azure 리소스에 대한 관리 ID를 사용하도록 설정하려면 Azure Portal을 사용하여 VM에서 Azure 리소스에 대한 관리 ID 구성을 참조하세요.