如何自动化轮换Azure应用注册SPN的客户端密钥？

1. 扩展现有Shell脚本实现自动化 #

你当前使用的Shell脚本可以直接扩展，加入密钥创建、验证、旧密钥清理的逻辑，再结合Linux的cron或Windows任务计划定期执行即可。

核心逻辑示例：

• 生成有效期1年的新客户端密钥
• 将新密钥存入安全存储（比如Azure Key Vault，别硬编码在脚本里）
• 验证新密钥能正常获取令牌并调用目标API
• 确认验证通过后，删除旧的客户端密钥

对应的Azure CLI命令片段：

# 替换为你的SPN客户端ID
SPN_CLIENT_ID="xxxx-xxxx-xxxx-xxxx"
# 目标API的资源ID，比如Azure Management API是https://management.azure.com/
TARGET_API_ID="https://management.azure.com/"

# 生成新密钥，有效期1年
NEW_SECRET=$(az ad app credential reset --id $SPN_CLIENT_ID --years 1 --query password -o tsv)
NEW_SECRET_ID=$(az ad app credential reset --id $SPN_CLIENT_ID --years 1 --query keyId -o tsv)

# 验证新密钥可用性
TOKEN=$(az account get-access-token --service-resource-id $TARGET_API_ID --username $SPN_CLIENT_ID --password "$NEW_SECRET" --query accessToken -o tsv)

# 仅当令牌获取成功时，删除旧密钥（需先通过az ad app credential list获取旧密钥ID）
if [ -n "$TOKEN" ]; then
  az ad app credential delete --id $SPN_CLIENT_ID --key-id "<旧密钥ID>"
fi

2. 使用Azure Automation Runbook托管执行 #

Azure Automation提供了托管的运行环境，适合长期运行自动化任务：

• 创建Azure Automation账户，给该账户分配Application Administrator权限（用于管理SPN凭证）
• 编写PowerShell/Python Runbook，实现密钥生成、验证、更新存储、删除旧密钥的完整流程
• 设置Runbook的年度调度，到点自动执行

3. 用Azure Logic Apps可视化实现 #

如果不想写太多代码，可以用Logic Apps的可视化流程完成：

• 添加「Recurrence」触发器，设置每年触发一次
• 调用「Azure AD」连接器的「Add application password」操作生成新密钥
• 用「Azure Key Vault」连接器更新密钥存储
• 添加「HTTP」操作验证新密钥能正常获取令牌并调用API
• 验证通过后，调用「Azure AD」连接器删除旧密钥

关于托管标识的说明 #

应用注册本身没有托管标识选项——托管标识是Azure资源（比如VM、Function、App Service等）的身份特性，用来替代SPN的客户端密钥。如果你的客户端是Azure托管资源，建议迁移到使用系统/用户分配的托管标识，这样Azure会自动管理身份凭证，完全不用手动轮换密钥，安全性更高。

内容的提问来源于stack exchange，提问作者user1574187