如何为本地K8s集群中的Discord Bot配置Azure永久认证方式？

由于你的机器人运行在本地K8s集群，无法直接使用Azure托管标识（托管标识仅适配Azure内部资源），但可以通过以下两种方案实现无需手动频繁刷新令牌的长期认证：

方案一：使用Azure服务主体（Service Principal） #

这是适配本地/非Azure环境的轻量化长期认证方案，操作步骤如下：

1. 创建服务主体并授权：
   执行az ad sp create-for-rbac --name "Discord-VM-Bot-SP" --role "Virtual Machine Contributor" --scopes /subscriptions/<你的订阅ID>/resourceGroups/<目标资源组>
   命令会返回appId、password、tenant三个核心参数，务必妥善保存（password仅会显示一次）。
2. 在K8s中存储凭据：
   将上述参数存入K8s Secret，示例命令：

   kubectl create secret generic azure-sp-creds --from-literal=client-id=<appId> --from-literal=client-secret=<password> --from-literal=tenant-id=<tenant>
   

3. 修改机器人代码适配自动认证：
   使用Azure SDK（如Python的azure-identity库）自动获取并刷新令牌，无需手动干预。核心代码示例：

   from azure.identity import ClientSecretCredential
   from azure.mgmt.compute import ComputeManagementClient
   import os
   
   credential = ClientSecretCredential(
       tenant_id=os.environ["TENANT_ID"],
       client_id=os.environ["CLIENT_ID"],
       client_secret=os.environ["CLIENT_SECRET"]
   )
   compute_client = ComputeManagementClient(credential, os.environ["SUBSCRIPTION_ID"])
   # 后续直接调用VM启停接口即可
   

   机器人启动时从K8s Secret注入的环境变量读取凭据，SDK会自动处理令牌的获取与刷新，全程无需手动操作。

方案二：Azure Arc接入本地K8s + 托管标识 #

若偏好使用托管标识体系，可将本地K8s集群接入Azure Arc后为Pod分配托管标识：

1. 将本地K8s接入Azure Arc：
   完成集群注册后，该集群会成为Azure可管理的资源。
2. 为机器人Pod绑定托管标识并授权：
   通过Azure Arc扩展，给运行Discord机器人的Pod绑定系统分配或用户分配的托管标识，同时为该标识授予Virtual Machine Contributor角色权限。
3. 代码适配托管标识认证：
   使用Azure SDK的ManagedIdentityCredential，SDK会自动从Pod绑定的标识获取令牌，无需配置任何凭据，彻底避免令牌过期的手动维护问题。

两种方案均能实现永久认证需求：服务主体方案更轻量化，适合快速落地；Azure Arc+托管标识方案更贴合Azure身份管理体系，适合需要统一身份管控的场景。

内容的提问来源于stack exchange，提问作者ROODAY