azure - 通过 SPN 连接到 Azure KeyVault

Question

我需要通过服务主体访问 Azure KeyVault 的帮助。我当前有两个订阅需要通信并访问另一个订阅的 Key Vault，但为此我需要通过 SPN 进行连接。我查看了 Get-AzureRmKeyVault 的文档，它没有提供通过我能找到的 SPN 进行身份验证的方法。

如果有人有解决方案，我将不胜感激!

Answer 1

不确定你的意思是什么access keyvault ，在 azure keyvault 中，有 Management plane和Data plane ，它们使用不同的访问控制机制。

如果您希望您的服务主体执行 Management plane操作(例如设置 keystore 的标签)，您需要在 Access control (IAM) 中为其赋予角色您在门户中的 key 保管库的信息。如果你想做Data plane操作(例如对 keyvault 中的 key 、 secret 、证书进行操作)，您需要将具有正确权限的服务主体添加到 Access policies keystore 的。

有关keyvault访问控制的更多详细信息，您可以查看 - Secure access to a key vault .

因此，请确保您的服务主体已拥有正确的权限，然后使用以下命令。

$azureAplicationId ="<application-id>"
$azureTenantId= "<tenant-id>"
$azurePassword = ConvertTo-SecureString "<client-secret>" -AsPlainText -Force
$psCred = New-Object System.Management.Automation.PSCredential($azureAplicationId , $azurePassword)
Connect-AzAccount -Credential $psCred -TenantId $azureTenantId -ServicePrincipal 

然后你可以做Management plane类似 Update-AzKeyVault 的操作，或 Data plane类似 Get-AzKeyVaultSecret 的操作.

要访问不同订阅中的 key 保管库，只需使用以下命令选择订阅即可。

Set-AzContext -Subscription <subscription-id>

<小时/>

我注意到您似乎正在使用旧的 AzureRm模块，它已被弃用，不会再更新，我建议您使用新的 Az模块，关注Migrate Azure PowerShell from AzureRM to Az .