Pulumi Azure 经典版安装与配置指南

前言

Pulumi Azure 经典版提供程序是用于管理 Azure 资源的强大工具。本文将详细介绍如何安装和配置该提供程序，包括多种身份验证方法的选择与实现。无论您是初学者还是有经验的开发者，都能通过本指南快速上手。

安装方法

Pulumi Azure 经典版提供程序支持多种编程语言，您可以根据项目需求选择合适的安装方式：

• JavaScript/TypeScript：通过 npm 安装 @pulumi/azure 包
• Python：使用 pip 安装 pulumi-azure 包
• Go：导入 github.com/pulumi/pulumi-azure/sdk/v6/go/azure 包
• .NET：通过 NuGet 安装 Pulumi.Azure 包
• Java：使用 Maven 添加 com.pulumi.azure 依赖

安装完成后，您需要配置 Azure 凭据才能开始使用。

身份验证方法详解

Pulumi 支持多种 Azure 身份验证方式，每种方式适用于不同的使用场景：

1. Azure CLI 认证（推荐本地开发使用）

这是最简单的认证方式，适合个人开发者本地环境：

1. 首先安装 Azure CLI
2. 运行 az login 命令登录
3. 登录完成后，Pulumi 会自动使用您的 Azure CLI 凭据

注意事项：

• 如果您使用 Azure 政府云或中国云，需要先运行 az cloud set --name <Cloud> 命令切换云环境
• 默认使用当前订阅，可通过 az account set --subscription=<id> 切换订阅

2. OpenID Connect (OIDC) 认证（推荐团队/CI环境）

OIDC 是一种无需存储密钥的安全认证方式，特别适合持续集成环境：

配置步骤：

1. Azure端配置：

   • 在 Azure AD 中创建应用注册
   • 配置身份提供者信任关系（如 GitHub Actions）

2. Pulumi端配置：

   • 设置 useOidc 为 true（通过配置或环境变量）
   • 提供 ID 令牌（不同 CI 平台获取方式不同）
   • 配置客户端ID和租户ID

常见问题：

• 如果遇到 "No matching federated identity record" 错误，请检查 Azure 中的实体类型和环境名称配置

使用 Pulumi ESC 管理动态凭证

Pulumi ESC (Environments, Secrets, and Configuration) 提供了集中管理配置的能力：

1. 配置 OIDC 信任关系
2. 创建 ESC 环境文件，定义 Azure 登录和必要的环境变量
3. 在项目堆栈设置文件中导入 ESC 环境

这种方式避免了在本地存储凭据，提高了安全性。

3. 服务主体认证（传统 CI/CD 方式）

服务主体是 Azure AD 中的应用程序身份，适合自动化场景：

创建服务主体：

1. 使用 Azure CLI、Azure 门户或 Cloud Shell 创建服务主体
2. 获取三个关键信息：
   • 客户端ID (appId)
   • 客户端密钥 (password)
   • 租户ID (tenant)

配置 Pulumi：

可以通过两种方式提供凭据：

1. Pulumi 配置：

   pulumi config set azure:clientId <clientID>
   pulumi config set azure:clientSecret <clientSecret> --secret
   pulumi config set azure:tenantId <tenantID>
   pulumi config set azure:subscriptionId <subscriptionId>
   

2. 环境变量：

   export ARM_CLIENT_ID=<clientID>
   export ARM_CLIENT_SECRET=<clientSecret>
   export ARM_TENANT_ID=<tenantID>
   export ARM_SUBSCRIPTION_ID=<subscriptionId>
   

4. 托管服务身份 (MSI) 认证

适用于 Azure 资源（如 VM）需要访问其他 Azure 资源的场景：

1. 在 Azure 资源上启用托管身份
2. 配置 Pulumi 使用 MSI：
   • 设置 useMsi 为 true
   • 可选指定 msiEndpoint

配置选项参考

Pulumi Azure 提供程序支持多种配置选项，可以通过 pulumi config 或环境变量设置：

选项	必选	描述
environment	是	云环境类型：public(默认)、usgovernment、china
location	否	默认资源位置
clientId	可选	客户端ID
clientSecret	可选	客户端密钥
subscriptionId	可选	订阅ID
tenantId	可选	租户ID
useMsi	可选	是否使用托管服务身份
useOidc	可选	是否使用OIDC认证
skipCredentialsValidation	可选	跳过凭据验证
skipProviderRegistration	可选	跳过提供程序注册

最佳实践建议

1. 开发环境：使用 Azure CLI 认证，简单方便
2. 团队协作：考虑使用 OIDC 或服务主体认证
3. CI/CD 管道：
   • 优先选择 OIDC 认证，安全性更高
   • 次选服务主体认证，但需妥善保管密钥
4. 生产环境：使用 Pulumi ESC 管理动态凭证，避免硬编码

总结

Pulumi Azure 经典版提供程序提供了灵活多样的认证和配置方式，可以满足从个人开发到企业级部署的各种需求。通过本文的详细指南，您应该能够根据自身场景选择最适合的配置方案，安全高效地管理您的 Azure 资源。