azure - 我可以为每个服务主体配置 Azure key 保管库 secret 吗？

Question

我习惯使用 GCP 的 secret 管理器。在那里，我们可以创建一个 secret 并为一个特定的服务帐户授予特定的读取权限。我的意思是，假设我们创建一个 secret ABC 和一个服务帐户“getsecretaccount”，我可以为这个名为 getsecretaccount 的 SA 授予读取权限，以访问 ABC secret 。此 getsecretaccount 将无法访问那里的任何其他 secret 。

我可以在 Azure Key Vault 中实现此场景吗？

谢谢!!

Answer 1

授权

Key Vault 提供两种不同的授权:较旧的保管库访问策略和较新的Azure 基于角色的访问控制

保险柜访问政策

BrunoLucasAzure 已经解释了它是如何工作的。就我个人而言，我不建议使用保管库访问策略，除非您有某些特定原因要使用它:

• 资源重新部署将重置 Key Vault 属性中定义的现有授权。引用:https://learn.microsoft.com/en-us/azure/templates/microsoft.keyvault/vaults?pivots=deployment-language-bicep#resource-format
  • 将 [] 传递给 accessPolicies 将清除访问策略列表
  • 在模板中传递 null 或不使用 accessPolicies 将会生成错误
  • 当然，您可以在重新部署之前读取accessPolicies的值，然后在重新部署资源时重新使用现有值。说实话，资源不应该需要这种黑客攻击。

了解更多信息:https://docs.microsoft.com/azure/key-vault/general/assign-access-policy-portal

Azure 基于角色的访问控制

基于 Azure 角色的访问控制的 Key Vault 授权使用 Azure RBAC 分配进行 Key Vault 数据层访问控制。

key 保管库数据层有多个现成的 RBAC 角色:

• key 保管库管理员
• keystore secret 官员
• key 保管库 secret 用户
• keystore 读取器
• 等等

文档仅提到了一些内容用于 key 保管库的 Azure RBAC 还提供了对各个 key 、 secret 和证书拥有单独权限的能力=>您可以将 RBAC 角色添加到单独的 key / secret /证书中

请注意，必须先创建 key / secret /证书，然后才能向其添加 RBAC。

了解更多信息:https://learn.microsoft.com/en-us/azure/key-vault/general/rbac-guide?tabs=azure-cli

答案

您可以使用这两种方法:

• 如果您使用较旧的保管库访问策略，则需要为每个服务主体创建一个 key 保管库
• 如果您使用基于 RBAC 的访问控制，则可以在单独的 secret 级别上管理访问控制