Azure CLI 2.74版本中身份联合凭证创建命令的重大变更解析

背景介绍

Azure CLI作为微软Azure云平台的重要命令行工具，在2.74版本中对az identity federated-credential create命令进行了重要变更。这一变更影响了使用托管身份(Managed Identity)和联合凭证(Federated Credential)的用户，特别是那些依赖默认参数值的自动化脚本和基础设施配置。

变更详情

在Azure CLI 2.68及更早版本中，az identity federated-credential create命令的--audience参数有一个默认值api://AzureADTokenExchange。这意味着用户在执行命令时可以不指定该参数，系统会自动使用这个默认值。

然而在2.74版本中，这一默认值被移除，导致所有不显式指定--audience参数的命令都会失败，并返回错误信息："Federated identity credentials must have exactly 1 audience"（联合身份凭证必须有且仅有一个受众）。

技术影响分析

这一变更对现有系统产生了多方面影响：

1. 自动化脚本失效：所有依赖默认值的自动化部署脚本和CI/CD流程都需要更新
2. 文档不匹配：现有的教程和文档示例需要修订
3. 基础设施即代码(IaC)问题：使用Terraform、ARM模板等工具定义的基础设施可能需要调整

解决方案

对于遇到此问题的用户，有以下几种解决方案：

1. 显式指定audience参数：

   az identity federated-credential create --name my-fci --identity-name my-uai --resource-group my-rg --issuer https://issuer-url --subject system:serviceaccount:namespace:sa --audience api://AzureADTokenExchange
   

2. 降级Azure CLI版本： 可以暂时降级到2.68或更早版本，但这只是临时解决方案

3. 更新基础设施代码： 对于使用基础设施即代码的项目，需要更新所有相关定义文件

最佳实践建议

1. 避免依赖默认值：即使是看似稳定的默认参数，也建议在关键脚本中显式指定
2. 版本兼容性测试：在升级Azure CLI前，应在测试环境中验证关键命令
3. 错误处理：脚本中应加入对命令返回值的检查，及时发现类似问题

技术原理深入

联合身份凭证是Azure AD中一种特殊的凭据类型，允许外部身份提供商(如Kubernetes、GitHub等)直接向Azure AD请求令牌。audience参数指定了令牌的目标服务，api://AzureADTokenExchange是Azure AD令牌交换的标准受众值。

移除默认值可能是出于安全考虑，强制用户明确指定令牌的受众范围，避免潜在的错误配置。这种变更也符合最小权限原则，要求管理员更谨慎地配置安全凭证。

总结

Azure CLI 2.74版本的这一变更虽然带来了短期的不便，但从长远看有助于提高配置的明确性和安全性。用户应及时更新脚本和文档，采用显式参数指定的方式，确保系统的稳定性和安全性。对于关键业务系统，建议建立完善的变更管理流程，及时跟踪和适应这类接口变更。