c# - 如何安全地检索存储帐户 key ？

Question

我正在尝试以编程方式设置存储帐户内容器的访问策略。理想情况下，我想使用托管身份来执行此操作，但目前似乎不支持(请参阅 here )。

所以目前看来我需要使用存储帐户 key ，以便容器客户端可以创建访问策略。这引出了我问题的主要部分。最佳实践是将这些 key 存储在 key 保管库中并使用托管标识检索它们还是直接检索它们？像这样将 key 保存在 key 保管库中的说明为 legacy不过(或者可能只是那些特定的方法，因为 Azure CLI 也是遗留的)。所以看起来这已经被遗漏了，在一个地方它被声明为遗留，但在另一个地方它还不受支持。

如果我选择直接路线，最好的方法是什么？在这种情况下我仍然可以使用托管身份吗？寻找here看起来我可以，因为它使用 Azure Active Directory，我相信这是支持托管身份的。

目前，我非常困惑如何以编程方式设置容器的访问策略，但希望其他人已经遇到了这种需求，并提供了一个很好的示例。

Answer 1

If I opt for the direct route, what is the best way to do this?

正如您在问题中提到的，Storage Accounts - List Keys是获取存储帐户访问 key 的方法。

Can I still use the managed identity in this case?

是的，你当然可以。请确保您的托管标识有权对存储帐户执行列表 key 操作。 Owner 和 Contributor 角色肯定拥有该权限，但您也可以选择 Storage Account Contributor或Storage Account Key Operator Service Role如果您不想为托管身份分配更强大的角色，例如 Owner 或 Contributor。