如何在Python中通过服务主体认证Azure邮件通信服务？

问题分析 #

你遇到的两个错误分别源于权限范围配置错误和服务主体凭据获取逻辑问题，以下是具体解决方案：

必要前提 #

首先确保完成两项配置：

• 给你的服务主体在Azure通信服务资源的IAM中分配Communication Mail Sender角色，确保其具备发送邮件的权限。
• 在Azure静态Web应用的「配置」中添加服务主体的环境变量：
  • AZURE_CLIENT_ID：服务主体的客户端ID
  • AZURE_CLIENT_SECRET：服务主体的客户端密钥
  • AZURE_TENANT_ID：服务主体所属的租户ID

正确认证代码实现 #

方式一：直接使用DefaultAzureCredential（推荐） #

无需手动获取令牌，直接传入DefaultAzureCredential即可，确保endpoint格式正确（末尾带/）：

from azure.communication.email import EmailClient
from azure.identity import DefaultAzureCredential

# 替换为你的通信服务endpoint
endpoint = "https://<your-communication-service-name>.communication.azure.com/"
credential = DefaultAzureCredential()
email_client = EmailClient(endpoint=endpoint, credential=credential)

方式二：手动获取令牌（不推荐，仅作参考） #

若需手动生成令牌，必须使用通信服务的全局资源范围，而非服务主体的客户端ID：

from azure.communication.email import EmailClient
from azure.identity import DefaultAzureCredential

credential = DefaultAzureCredential()
# 正确的权限范围是通信服务的全局默认范围
token = credential.get_token(scopes="https://communication.azure.com/.default").token
email_client = EmailClient(endpoint=endpoint, credential=token)

错误原因说明 #

• expected bytes or ASCII：大概率是endpoint格式错误（如缺少末尾的/），或静态Web应用未正确配置服务主体环境变量，导致DefaultAzureCredential无法获取有效凭据。
• "get_token" requires at least one scope：你使用了服务主体的客户端ID作为scopes参数，这是错误的，必须使用通信服务的全局资源范围https://communication.azure.com/.default。

内容的提问来源于stack exchange，提问作者Solo