c# - 使用应用程序客户端 key 访问 Azure Key Vault key

Question

问题陈述:在 Web/控制台 C# 应用程序中以编程方式检索并使用存储在 Azure Key Vault 中的敏感值(例如数据库连接字符串)。

据我所知，您可以在 AAD 中注册应用，并使用其客户端 ID 和客户端 key 以编程方式生成广告 token ，该 token 可用于调用/访问 Azure Key Vault key 。

我的困惑是，客户端 key 本身是一个敏感的“密码”，您希望将其存储在 key 保管库中。一旦有人知道客户端 secret ，他们就可以访问 key 保管库中的所有 secret 。那么创建一个新的 key (客户端 key )来存储和访问原始 key 有何意义呢？ (有人可以解释一下这背后的逻辑吗？谢谢!

Answer 1

这是引导的问题。如何在不使用 secret 的情况下访问 secret 存储？

如果您在 Azure 中运行应用程序，答案非常简单。使用Managed identities .

如果不在 Azure 中运行，交互式应用程序可以代表当前用户访问 Key Vault。这确实要求用户有权访问 Key Vault secret 。

另一种方法是使用证书而不是客户端 key 。