Azure Go SDK无需服务主体创建虚拟机的技术疑问

两个示例的核心差异在于认证方式的不同，而非创建VM本身是否需要服务主体，具体细节如下：

为什么两个示例的认证要求不一样？ #

• 第一个示例（通过ARM模板创建VM）：采用显式服务主体认证（客户端凭据授权流）。这种方式专为无人值守的自动化场景设计（比如CI/CD流水线），需要手动提供服务主体的clientId和clientSecret，让代码以该服务主体的身份完成ARM模板部署操作。
• 第二个示例（直接用Go SDK创建VM）：使用Azure Identity SDK的DefaultAzureCredential机制。它会自动在本地环境中查找可用的认证凭据，优先级包括：
  • 本地Azure CLI已登录的用户账户凭据（比如你执行过az login）
  • VS Code/Visual Studio中已配置的Azure账户
  • 环境变量中设置的服务主体信息（如果存在）
  • Azure托管标识（若代码运行在Azure内部服务，比如App Service、VM）
    所以在本地开发场景下，只要你已经通过CLI或IDE登录过Azure账户，代码会自动复用这个身份，无需手动指定服务主体信息，仅需订阅ID确定操作的目标订阅。

创建VM是否必须使用服务主体？ #

不是必须的。创建VM的操作可由多种身份发起：

• 用户身份：即你自己的Azure AD账户，通过CLI、IDE登录后，以个人身份执行创建操作（第二个示例就属于这种情况）。
• 服务主体身份：适合自动化、无人值守场景，比如定时脚本、CI/CD流程，需提前在Azure AD中注册服务主体并分配对应权限（比如虚拟机创建权限）。
• 托管标识：如果代码运行在Azure资源内部（比如另一个VM、App Service），可使用资源的托管标识认证，无需手动管理凭据。

服务主体与虚拟机的关系 #

服务主体是发起创建VM操作的身份凭证，并非VM本身的组成部分。VM本身可配置托管标识（系统分配或用户分配），但那是给VM自身用来访问其他Azure资源（比如存储账户、密钥保管库）的身份，和创建VM时使用的身份是完全独立的两个概念。

内容的提问来源于stack exchange，提问作者Dean Schulze