2.6. 创建服务主体

流程

1. 登录 Azure CLI：

   $ az login

2. 如果您的 Azure 帐户使用订阅，请确定您使用正确的订阅：

   1. 查看可用帐户列表并记录您要用于集群的订阅的 tenantId 值：

      $ az account list --refresh

      输出示例

      [
        {
          "cloudName": "AzureCloud",
          "id": "9bab1460-96d5-40b3-a78e-17b15e978a80",
          "isDefault": true,
          "name": "Subscription Name",
          "state": "Enabled",
          "tenantId": "6057c7e9-b3ae-489d-a54e-de3f6bf6a8ee",
          "user": {
            "name": "you@example.com",
            "type": "user"
          }
        }
      ]

   2. 查看您的活跃帐户详情，确认 tenantId 值与您要使用的订阅匹配：

      $ az account show

      输出示例

      {
        "environmentName": "AzureCloud",
        "id": "9bab1460-96d5-40b3-a78e-17b15e978a80",
        "isDefault": true,
        "name": "Subscription Name",
        "state": "Enabled",
        "tenantId": "6057c7e9-b3ae-489d-a54e-de3f6bf6a8ee", 

      1

      
        "user": {
          "name": "you@example.com",
          "type": "user"
        }
      }

      1

      确保 tenantId 参数的值是正确的订阅 ID。

   3. 如果您使用的订阅不正确，请更改活跃的订阅：

      $ az account set -s <subscription_id> 

      1

      1

      指定订阅 ID。

   4. 验证订阅 ID 更新：

      $ az account show

      输出示例

      {
        "environmentName": "AzureCloud",
        "id": "33212d16-bdf6-45cb-b038-f6565b61edda",
        "isDefault": true,
        "name": "Subscription Name",
        "state": "Enabled",
        "tenantId": "8049c7e9-c3de-762d-a54e-dc3f6be6a7ee",
        "user": {
          "name": "you@example.com",
          "type": "user"
        }
      }

3. 记录输出中的 tenantId 和 id 参数值。OpenShift Container Platform 安装过程中需要这些值。

4. 为您的帐户创建服务主体：

   $ az ad sp create-for-rbac --role <role_name> \

   1

   
        --name <service_principal> \

   2

   
        --scopes /subscriptions/<subscription_id> 

   3

   1

   定义角色名称。您可以使用 Contributor 角色，或者指定包含所需权限的自定义角色。

   2

   定义服务主体名称。

   3

   指定订阅 ID。

   输出示例

   Creating 'Contributor' role assignment under scope '/subscriptions/<subscription_id>'
   The output includes credentials that you must protect. Be sure that you do not
   include these credentials in your code or check the credentials into your source
   control. For more information, see https://aka.ms/azadsp-cli
   {
     "appId": "ac461d78-bf4b-4387-ad16-7e32e328aec6",
     "displayName": <service_principal>",
     "password": "00000000-0000-0000-0000-000000000000",
     "tenantId": "8049c7e9-c3de-762d-a54e-dc3f6be6a7ee"
   }

5. 记录前面输出中 appId 和 password 参数的值。OpenShift Container Platform 安装过程中需要这些值。

6. 如果您将 Contributor 角色应用到服务主体，请运行以下命令来分配 User Administrator Access 角色：

   $ az role assignment create --role "User Access Administrator" \
     --assignee-object-id $(az ad sp show --id <appId> --query id -o tsv) 

   1

   1

   为您的服务主体指定 appId 参数值。