2.4. 创建服务主体

流程

1. 注册您的环境：

   $ az cloud register -n AzureStackCloud --endpoint-resource-manager <endpoint> 

   1

   1

   指定 Azure Resource Manager 端点 'https://management.<region>.<fqdn>/'。

   详情请查看 Microsoft 文档。

2. 设置活跃环境：

   $ az cloud set -n AzureStackCloud

3. 更新您的环境配置，以使用 Azure Stack Hub 的特定 API 版本：

   $ az cloud update --profile 2019-03-01-hybrid

4. 登录 Azure CLI：

   $ az login

   如果您在多租户环境中，还必须提供租户 ID。

5. 如果您的 Azure 帐户使用订阅，请确定您使用正确的订阅：

   1. 查看可用帐户列表并记录您要用于集群的订阅的 tenantId 值：

      $ az account list --refresh

      输出示例

      [
        {
          "cloudName": AzureStackCloud",
          "id": "9bab1460-96d5-40b3-a78e-17b15e978a80",
          "isDefault": true,
          "name": "Subscription Name",
          "state": "Enabled",
          "tenantId": "6057c7e9-b3ae-489d-a54e-de3f6bf6a8ee",
          "user": {
            "name": "you@example.com",
            "type": "user"
          }
        }
      ]

   2. 查看您的活跃帐户详情，确认 tenantId 值与您要使用的订阅匹配：

      $ az account show

      输出示例

      {
        "environmentName": AzureStackCloud",
        "id": "9bab1460-96d5-40b3-a78e-17b15e978a80",
        "isDefault": true,
        "name": "Subscription Name",
        "state": "Enabled",
        "tenantId": "6057c7e9-b3ae-489d-a54e-de3f6bf6a8ee", 

      1

      
        "user": {
          "name": "you@example.com",
          "type": "user"
        }
      }

      1

      确保 tenantId 参数的值是正确的订阅 ID。

   3. 如果您使用的订阅不正确，请更改活跃的订阅：

      $ az account set -s <subscription_id> 

      1

      1

      指定订阅 ID。

   4. 验证订阅 ID 更新：

      $ az account show

      输出示例

      {
        "environmentName": AzureStackCloud",
        "id": "33212d16-bdf6-45cb-b038-f6565b61edda",
        "isDefault": true,
        "name": "Subscription Name",
        "state": "Enabled",
        "tenantId": "8049c7e9-c3de-762d-a54e-dc3f6be6a7ee",
        "user": {
          "name": "you@example.com",
          "type": "user"
        }
      }

6. 记录输出中的 tenantId 和 id 参数值。OpenShift Container Platform 安装过程中需要这些值。

7. 为您的帐户创建服务主体：

   $ az ad sp create-for-rbac --role Contributor --name <service_principal> \ 

   1

   
     --scopes /subscriptions/<subscription_id> 

   2

   
     --years <years> 

   3

   1

   指定服务主体名称。

   2

   指定订阅 ID。

   3

   指定年数。默认情况下，服务主体在一年后过期。通过使用 --years 选项，您可以扩展服务主体的有效性。

   输出示例

   Creating 'Contributor' role assignment under scope '/subscriptions/<subscription_id>'
   The output includes credentials that you must protect. Be sure that you do not
   include these credentials in your code or check the credentials into your source
   control. For more information, see https://aka.ms/azadsp-cli
   {
     "appId": "ac461d78-bf4b-4387-ad16-7e32e328aec6",
     "displayName": <service_principal>",
     "password": "00000000-0000-0000-0000-000000000000",
     "tenantId": "8049c7e9-c3de-762d-a54e-dc3f6be6a7ee"
   }

8. 记录前面输出中 appId 和 password 参数的值。OpenShift Container Platform 安装过程中需要这些值。