azure - 保护通过 ARM 部署的所需状态配置中的凭证

Question

如何将 Desired State Configuration 与 ARM 结合使用。

范围:- 我们有一个通过 ARM 模板部署的 Azure 虚拟机。- VM 在 ARM 模板中具有扩展资源，用于所需状态配置- 我们需要将敏感参数(以安全的方式!)传递到所需状态配置中(我们希望使用 DSC 创建一个额外的本地 Windows 帐户)- 配置文件用于了解使用什么公钥进行加密，并让虚拟机知道必须使用哪个证书进行解密(通过指纹)- 使用ARM时，需要在单独的属性中定义配置数据文件- 我注意到 DSC 服务会自动向虚拟机添加文档加密证书。

问题:如果我想让这个开箱即用，我需要预先创建配置数据文件，并将其存储在某个地方(比如 blob 或其他东西)。但是，虚拟机上的“开箱即用”证书只有在部署 ARM 模板后才能得知。

我想知道是否有一种方法可以在 DSC 中进行加密/解密，使用虚拟机上开箱即用的 DSC 证书，而不使用不同的增量 DSC 模板。那么，我如何才能在部署时知道开箱即用的证书指纹呢？ (在 ARM 模板中？)我实际上是否需要为每个部署转换 ConfigurationData 文件(并找到 VM 的正确指纹)，或者是否有一种开箱即用的方法通过 ARM 告诉 DSC 为此使用开箱即用创建的证书？

Answer 1

由于目标虚拟机也是创作机，因此密码可以以纯文本形式传递，因为它们永远不会离开虚拟机。这已得到 Microsoft 支持人员的验证。