Azure KeyVault : SPN KeyVault Access Denied

Question

我在 VSTS 中使用以下 Azure Powershell 命令。

(Get-AzureKeyVaultSecret -vaultName "debugkv" -name "CoreConfig-StorageAccount-AccessKey")

在 VSTS 中运行它时，我收到 ##[error]访问被拒绝错误，但在本地它工作正常。

我已在 KV 的访问策略中添加了 SPN，还具有 secret 的 GET 和 SET 权限。

需要帮助解决问题。

Answer 1

要将 VSTS 链接到，您需要向服务主体(构成 VSTS 中的服务端点)授予对 Key Vault 的访问权限；你已经知道了。

令人困惑的是，您可以根据您的用例分配应用程序和服务主体来访问 key 保管库。因此，您必须确保为访问策略分配正确的对象。

确保分配正确对象的最佳方法是通过 Azure Powershell 进行分配。

运行已登录的 Azure Powershell session :

$spObjectId = Get-AzureRmAdServicePrincipal -SearchString <ServicePrincipalName> | Foreach-Object {$_.Id}

Set-AzureRmKeyVaultAccessPolicy -VaultName <VaultName> -ObjectId $spObjectId -PermissionsToSecrets Get,Set

如果您想查看访问策略的更多详细信息(objectid、权限等)，您也可以通过 Powershell 获取这些信息:

Get-AzureRmKeyVault -VaultName <VaultName> | Foreach-Object {$_.AccessPolicies}