如何实现Azure托管身份访问Azure视频索引器服务及原理咨询

• 给目标Azure资源（如虚拟机、函数应用、逻辑应用等）启用托管身份：
  • 系统分配托管身份：与资源生命周期绑定，删除资源时身份自动删除，适合单一资源的场景
  • 用户分配托管身份：独立的身份资源，可关联多个Azure资源，适合跨资源共享身份的场景
• 为托管身份分配视频索引器权限：在Azure视频索引器的Azure AD权限设置中，给该托管身份分配对应角色（如Reader、Contributor，根据业务需求选择）
• 通过Azure Identity SDK获取托管身份的访问令牌：
  • 以.NET为例，使用DefaultAzureCredential类，指定资源为https://api.videoindexer.ai来获取令牌
  • 以Python为例，同样使用azure.identity.DefaultAzureCredential，调用get_token("https://api.videoindexer.ai")方法获取令牌
• 使用令牌调用视频索引器API：将令牌放入请求头的Authorization字段，格式为Bearer {获取到的令牌}

• 消除手动管理服务主体密钥、证书的开销：不用再处理密钥存储、过期轮换、泄露风险等问题
• 提升安全性：身份与Azure资源绑定，仅限关联资源使用，避免密钥被意外泄露或滥用
• 简化代码逻辑：无需在配置文件或代码中硬编码敏感凭据，直接通过SDK自动获取认证令牌
• 适配多场景：支持Azure内几乎所有计算资源（VM、容器、无服务器等），可与所有支持Azure AD身份验证的服务集成

• 托管身份的凭据由Azure AD完全托管：Azure会定期自动轮换身份的凭据，用户全程不可见，也无需干预
• 令牌获取依赖Azure实例元数据服务（IMDS）：当关联了托管身份的资源需要认证时，会向本地IMDS端点发送请求，IMDS验证资源身份后，代表资源向Azure AD申请对应服务的访问令牌
• 身份绑定机制：只有关联了该托管身份的Azure资源才能通过IMDS获取到对应令牌，其他资源无法冒用，保证了身份的唯一性和安全性
• 基于令牌的认证：调用视频索引器API时，使用Azure AD颁发的短生命周期令牌完成认证，而非长期有效的密钥，进一步降低了安全风险

内容的提问来源于stack exchange，提问作者Mauro del Zingaro