本地脚本Azure认证：安全存储ClientId与ClientSecret的替代方案

好问题！在本地脚本里避免明文存储Azure服务主体密钥确实是个常见的安全需求，除了你提到的加密SecureString存文件的方式，还有几个更简洁的方案，适合不同的场景：

1. 复用Azure CLI的登录上下文 #

如果你已经安装了Azure CLI，可以先通过CLI安全完成服务主体登录（比如把密钥存在仅自己可读的文件里），然后让PowerShell复用这个登录状态，脚本里完全不需要写凭据：

步骤： #

1. 先通过CLI登录（密钥存在文件中，避免明文输入）：

az login --service-principal -u "my_client_id" --password @./secret.key --tenant "my_tenant_id"

（记得给secret.key设置严格的权限，比如Windows下执行icacls secret.key /inheritance:r /grant %USERNAME%:R，确保只有你能读取）

2. PowerShell脚本里直接复用CLI的登录上下文：

Connect-AzAccount -AzureCli

这种方式的好处是脚本完全干净，不需要任何凭据相关的代码，CLI的登录状态会自动被PowerShell识别。

2. 使用Windows凭据管理器存储凭据 #

把服务主体的凭据存在Windows系统的凭据管理器中，脚本里直接读取，不需要明文：

步骤： #

1. 先手动存储凭据（只需执行一次）：

# 先安装CredentialManager模块：Install-Module -Name CredentialManager
Set-StoredCredential -Target "Azure_SP_MyApp" -UserName "my_client_id" -Password "my_secret"

2. 脚本中读取并登录：

$credential = Get-StoredCredential -Target "Azure_SP_MyApp"
Connect-AzAccount -ServicePrincipal -Credential $credential -Tenant "my_tenant_id"

凭据会被系统加密存储，只有当前用户可以访问，脚本里看不到任何明文信息，非常安全。

3. 利用环境变量自动加载凭据 #

Azure PowerShell支持从特定环境变量中自动读取服务主体的凭据，你可以把凭据设置为系统/用户环境变量，脚本里只需一行登录命令：

步骤： #

1. 设置环境变量（Windows下可以在「系统属性-高级-环境变量」中添加，或者临时设置）：

• AZURE_CLIENT_ID：你的服务主体客户端ID
• AZURE_CLIENT_SECRET：你的服务主体密钥
• AZURE_TENANT_ID：你的租户ID

2. 脚本里直接登录：

Connect-AzAccount -ServicePrincipal

PowerShell会自动读取这些环境变量完成认证，脚本里完全没有凭据信息。如果是临时运行脚本，也可以在脚本开头通过安全方式加载环境变量（比如从加密文件读取后设置）。

4. 保存并复用Azure登录上下文 #

手动完成一次服务主体登录后，把加密的登录上下文保存到文件，后续脚本直接加载即可：

步骤： #

1. 手动登录并保存上下文（只需执行一次）：

$Password = ConvertTo-SecureString -AsPlainText "my_secret" -Force
$Credential = New-Object System.Management.Automation.PSCredential ("my_client_id", $Password)
Connect-AzAccount -ServicePrincipal -Credential $Credential -Tenant "my_tenant_id"

# 保存加密的上下文到文件，路径选一个安全的位置
Save-AzContext -Path "C:\Users\YourName\SecureFiles\AzContext.json"

2. 脚本里加载上下文：

Import-AzContext -Path "C:\Users\YourName\SecureFiles\AzContext.json"

这个上下文文件是加密的，只有当前用户能够解密和使用，脚本里不需要任何凭据相关的代码，是最简洁的方式之一。

内容的提问来源于stack exchange，提问作者FidelCasto