Azure Identity Rust

Azure Identity SDK for Rust

使用 Microsoft Entra ID（原 Azure AD）的 Azure SDK 客户端身份认证库。

安装

cargo add azure_identity

环境变量

# Service Principal（用于生产/CI 环境）
AZURE_TENANT_ID=<your-tenant-id>
AZURE_CLIENT_ID=<your-client-id>
AZURE_CLIENT_SECRET=<your-client-secret>

# 用户分配的托管标识（可选）
AZURE_CLIENT_ID=<managed-identity-client-id>

DeveloperToolsCredential

本地开发推荐的凭据。按顺序尝试开发者工具（Azure CLI、Azure Developer CLI）：

use azure_identity::DeveloperToolsCredential;
use azure_security_keyvault_secrets::SecretClient;

let credential = DeveloperToolsCredential::new(None)?;
let client = SecretClient::new(
    "https://my-vault.vault.azure.net/",
    credential.clone(),
    None,
)?;

凭据链顺序

凭据类型

ManagedIdentityCredential

用于 Azure 托管资源：

use azure_identity::ManagedIdentityCredential;

// 系统分配的托管标识
let credential = ManagedIdentityCredential::new(None)?;

// 用户分配的托管标识
let options = ManagedIdentityCredentialOptions {
    client_id: Some("<user-assigned-mi-client-id>".into()),
    ..Default::default()
};
let credential = ManagedIdentityCredential::new(Some(options))?;

ClientSecretCredential

用于带密钥的服务主体：

use azure_identity::ClientSecretCredential;

let credential = ClientSecretCredential::new(
    "<tenant-id>".into(),
    "<client-id>".into(),
    "<client-secret>".into(),
    None,
)?;

最佳实践

1. 本地开发使用 DeveloperToolsCredential — 自动获取 Azure CLI 凭据
2. 生产环境使用 ManagedIdentityCredential — 无需管理密钥
3. 克隆凭据 — 凭据使用 Arc 包装，克隆开销极低
4. 复用凭据实例 — 同一凭据可用于多个客户端
5. 使用 tokio 特性 — cargo add azure_identity --features tokio

参考链接

适用场景

本技能适用于执行概述中描述的工作流或操作。

限制

• 仅当任务明确匹配上述范围时使用本技能。
• 不要将输出视为环境特定验证、测试或专家审查的替代方案。
• 如果缺少必要的输入、权限、安全边界或成功标准，请停下来请求澄清。