Azure 托管存储帐户 key

Question

我正在尝试使用 Azure 托管存储帐户 key 。我成功设置了一个具有 1 天再生期的托管存储帐户以进行测试。我的问题是

1. 我是否可以从任何其他应用程序(例如存储资源管理器、云资源管理器、Power BI Desktop 等)访问此存储帐户。如果可以，如何获取 key ？

2. 我仍然在 Azure 门户中看到此存储帐户的 key 。它们无效吗？或者每次 keyvault 为该存储帐户重新生成 key 时它们都会更改吗？

3. 我设置了-ActiveKeyName Key2 。每次我重新生成 key Key1正在被再生。如果Key1重新生成则为Key2 1 天后仍然有效吗？这个主动键的概念在文档中不是很清楚。谁能解释一下。

4. 是Sas token访问存储帐户资源的唯一方法。我只想在再生期间拥有对存储帐户的完全访问权限。是否可以不使用 Sas token ？

5. 我创建了SAS Definition从 powershell 并创建 SAS token每当我想访问存储帐户时就退出它。我认为SAS Token会失效，但 SAS Definion 不会失效。我假设我不必处理代码中的过期问题，因为我总是得到新的 SAS Token 。我这样做正确吗？

Answer 1

我知道已经过去 11 个月了，您要么放弃了这个，要么自己解决了。如果有人发现这个问题，我会回答你的问题。

1. 是的!您使用的任何应用程序都应与 KeyVault 通信以获取 SAS token 。避免使用存储帐户 key ，它们仍然有效，但可能随时更改。如果您只需要一次访问，您可以使用 powershell 获取可以使用的 sas token 。

2. 它们是有效的，但每当 KeyVault 轮换它们时就会发生变化，因此不要使用它们，也不要自行更改它们。

3. 任何时候都有两个有效 key 。任何时候仅使用一个 key 来发行 SAS token 。这是事件键。当需要轮换时，KeyVault 会重新生成不活动的 key ，然后将新创建的 key 设置为事件的。

   让我们举个例子。假设 key 称为 key1 和 key2。 key1 等于“A”，key2 等于“b”。让 key1 成为事件 key 。

   1. 重新生成 key 2。 key2 现在等于 'c'
   2. 将 key2 设置为事件状态。现在使用 key2 生成新的 sas token 。

   现在 key 已轮换，但 key1 仍然有效。下次轮换 key 时它将更改。这样，只要轮转周期长于 token 的生命周期，任何 token 都不会在过期前失效。

4. 否， key 仍然有效，因此也可以使用，但您不知道它们何时会更改。

5. SAS 定义是声明 token 生命周期的地方。创建它时，会在 KeyVault 中创建一个 secret 。每次你得到这个 secret ，你就会得到一个新的 token 。如果您不存储 token ，但每次都请求一个新 token ，您将始终获得有效的 token 。但您可能想要缓存 token ，因为每次访问 KeyVault 都很慢。

How to create the managed storage account

How create the SAS definition