Azure REST API (5) Azure创建Service Principal设置Client Secret过期时间100年

　　《Windows Azure Platform 系列文章目录》

　　我们在使用Azure Service Principle，通过应用程序开发API方式部署或修改Azure资源的时候，默认的Client Secret过期时间为2年。

　　很多客户希望Client Secret过期时间大于2年。

　　我们可以通过使用应用管理策略 (App Management Policy)，来设置Client Secret过期时间策略。

　　应用管理策略现在是正式商用阶段(General Available)，可以直接用于生产环境。

　　注意事项：使用应用管理策略 (App Management Policy)：

　　- 无法把之前创建的、老的Client Secret的2年有效期直接延长到100年

　　- 只能新增1个新的Client Secret，新的Client Secret有效期为100年

　　- 老的Client Secret (2年)和新的Client Secret (100年)，同时生效。

　　- 笔者不建议直接删除老的Client Secret (有效期2年)，建议测试新的Client Secret (100年)

　　主要有三个主要步骤：

　　一. 申请API权限

　　二. 申请测试License

　　三. 使用Postman创建新的100年的Client Secret

　　一. 申请API权限

　　1.假设我们已经有一个Azure Service Principle，命名为mysso。Client Secret默认过期时间为2年。如下图2024年12月7日。

　　2.我们首先点击mysso，点击API Permission，点击 + Add Permission

　　3.在右侧窗口中，选择Microsoft APIs，点击Microsoft Graph

　　4.选择Application Permission，搜索并选择以下Permission：Policy.Read.All，Policy.ReadWrite.ApplicationConfiguration，Application.ReadWrite.All

　　5.设置成功后，我们点击下图Grant consent for contoso，允许这些Permission

　　执行成功后，Status都会变成绿色

　　二.申请测试License

　　1.更新App Management Policy，还需要申请额外的License，我们这里使用测试License，不会收取额外的费用

　　2.建议在申请完测试License后，直接使用Postman进行测试。针对整个Tenant启用密码有效期100年

　　3.启用完毕后，后续就不再需要使用Azure测试License。测试License到期不需要续费。

　　4.我们搜索Azure Entra ID，点击下图的Licenses

　　5.页面跳转后，点击下图的All Production, Try/Buy，然后点击Purchase services

　　6.页面跳转后，我们进行登录，步骤略。

　　7.在Purchase Service页面里，搜素关键字：Microsoft Entra Workload ID

　　8.鼠标往下拉，在Security and Identity里找到相关信息，点击下图的Details

　　9.页面跳转后，点击下图的Start Free Trial

　　10.后面的步骤略。

　　三.使用Postman进行测试

　　1.首先我们先获得Service Principle的Token信息：

　　 Response Body会返回Access Token

　　2.然后我们查看默认的App Management Policy

　　这里的{token}就是我们在步骤1里返回的Access Token

　　返回的Response Body会显示默认的App Management Policy

　　3.我们修改这个默认的App Management Policy为100年

　　这里的{token}就是我们在步骤6里返回的Access Token

　　如果成功，此方法会返回204 No Content响应代码

　　4.最后，我们新增一个Key，过期时间为100年。我们先查看之前的应用注册mysso的Object ID为0c0开头。如下图：

　　调用的API信息：

　　执行成功后，会在POSTMAN里获得新的，过期时间为100年的Access Key。请保存这个Access Key后续使用。如下图：

{
    "@odata.context": "https://graph.microsoft.com/v1.0/$metadata#microsoft.graph.passwordCredential",
    "customKeyIdentifier": null,
    "displayName": "Password100Years",
    "endDateTime": "2122-01-09T00:00:00Z",
    "hint": "r6i",
    "keyId": "6b059f6d-7959-4727-80d9-f54336180438",
    "secretText": "r6i8Q~fw7v5Zn1MYjbEuTtNkcy7_PBs4eabcdefg",
    "startDateTime": "2023-01-10T00:00:00Z"
}

　　并且我们在Azure Active Directory中，可以查看到这个过期时间为100年的Access Key

　　5.执行完毕后，我们之前创建的2年内过期的key和100年过期的key会同时生效。

　　这里的{token}就是我们在步骤6里返回的Access Token