用途：为 Azure SDK 客户端提供基于 Microsoft Entra ID（原 Azure AD）的身份验证，让本地开发与 Azure 生产环境使用同一套认证代码。安装命令：pip install azure-identity。
主要能力与用法：推荐使用 DefaultAzureCredential，它按顺序尝试多种认证方式（EnvironmentCredential、WorkloadIdentityCredential、ManagedIdentityCredential、SharedTokenCacheCredential、VisualStudioCodeCredential、AzureCliCredential、AzurePowerShellCredential、AzureDeveloperCliCredential），可通过 exclude_* 参数排除不需要的方式，并设置 managed_identity_client_id 以使用用户分配的托管标识；交互式浏览器凭证默认关闭，需排除对应排除项才启用。也可直接使用具体凭证类型，如 ManagedIdentityCredential（系统分配或用户分配托管标识）、ClientSecretCredential（服务主体密钥）、AzureCliCredential、AzureDeveloperCliCredential、ClientCertificateCredential、InteractiveBrowserCredential、DeviceCodeCredential，以及自定义顺序的 ChainedTokenCredential。可用 get_token 按 scope 获取令牌，例如 https://management.azure.com/.default 或 https://ossrdbms-aad.database.windows.net/.default，并查看 token.expires_on。异步场景使用 azure.identity.aio 下的同类客户端，并显式调用 close() 或使用上下文管理器。
环境变量：服务主体使用 AZURE_TENANT_ID、AZURE_CLIENT_ID、AZURE_CLIENT_SECRET；用户分配托管标识可设置 AZURE_CLIENT_ID。
最佳实践：本地与 Azure 均优先使用 DefaultAzureCredential；不要硬编码凭证；生产环境优先托管标识；需要自定义顺序时用 ChainedTokenCredential；及时关闭异步凭证；排除未使用凭证以加速认证。
限制：仅适用于与上述身份验证范围明确匹配的任务；输出不能替代针对具体环境的验证、测试或专家审查；缺少必要输入、权限、安全边界或成功标准时应暂停并请求澄清。其他细节暂未提供。