azure - 如何在不存储凭据的情况下连接到 KeyVault？

Question

我的 Web 应用程序在 KeyVault 中存储了许多安全配置元素。为了连接到它，我们有一些使用应用程序 ID 和 key 的代码，而这些代码又是安全凭据，因为它们允许访问 Key Vault。

我可以使用应用程序的身份作为凭据，以某种集成安全方式连接到 KeyVault 吗？或者有其他方法来保护这些凭据吗？

我考虑过通过加密来保护配置元素，但是还有另一个 Assets ( key )需要维护、保护和部署。这比纯文本配置更好，但我试图在这里找出最好的解决方案。

Answer 1

如果您想使用 Azure Active Directory 从 Web 应用程序访问 Key Vault，您可以执行以下操作

1. 转到您的网络应用程序

2. 转到托管服务身份并向 Azure Active Directory 注册 Web 应用(单击开启 按钮并稍后保存)，这将创建托管服务服务身份。

3. 现在转到 key 保管库并打开访问策略选项卡

4. 点击“新增”
5. 选择Secret Management作为从模板配置

6. 在“选择主体”选项中，选择托管服务身份为您的网络应用程序创建(应命名为您的应用程序)

7. 现在转到“关键权限”并至少选择获取，以获取对您的 key ( secret 和证书的过程相同)。

完成所有这些步骤后，您可以转到您的网络应用程序代码并获取例如如下所示的 secret :

AzureServiceTokenProvider azureServiceTokenProvider = new AzureServiceTokenProvider();

 var keyVaultClient = new KeyVaultClient(new KeyVaultClient.AuthenticationCallback(azureServiceTokenProvider.KeyVaultTokenCallback));

 var secret = await keyVaultClient.GetSecretAsync("https://keyvaultname.vault.azure.net/secrets/secret").ConfigureAwait(false);

您需要将 Microsoft.Azure.Services.AppAuthentication 和 Microsoft.Azure.KeyVault NuGet 包安装到您的应用程序。