azure - PowerApp 用户无法从 azure key Vault 获取 secret (通过 Power Automate)

Question

对于 Power Automate 中的 azure keyvault 连接，我使用应用注册。我制作的 PowerApp 的用户似乎无法从 azure key 保管库获取 secret ，除非我授予他们访问 key 保管库的权限。我希望将用户添加到 keyvault 中的访问策略中就足够了。有没有办法让用户在 PowerApp 中获取 secret (通过 Power Automate)，而不授予他们对 keyvault 的完全访问权限？

我正在尝试做类似this的事情

Answer 1

您可以授予他们仅对 secret 的“获取”权限:

az keyvault set-policy --name myvault --secret-permissions get --upn <user ID/email>

但是，更好的方法可能是将您的应用程序作为服务主体运行(或者拥有中间件服务 - 实际上取决于为什么用户需要访问 secret )，并且它直接联系 Key Vault 。该服务主体应该被赋予最小的权限 - 基本上与上面相同的命令，除了使用 --spn 而不是 --upn。