azure - 通过 MSI token 获取访问权限时出现 Key Vault 403

Question

我需要通过 MSI 从我的 keyvault 获取访问 token 。

1. 我关注 guide启用 MSI。 MSI 已启用并且必要扩展已安装。
2. 我执行此guide为我的虚拟机添加 Key Vault 的访问控制。 VM 是 KeyVault 的贡献者
3. 我尝试根据此获取 AC guide当我尝试访问 Key Vault 时，收到 403。

第 3 步详细信息:

1. curl http://localhost:50342/oauth2/token --data "resource=https://vault.azure.net" -H Metadata:true
2. curl https://<YOUR-KEY-VAULT-URL>/secrets/<secret-name>?api-version=2016-10-01 -H "Authorization: Bearer <ACCESS TOKEN>"

当我运行步骤 2 时，出现 403 错误。

我尝试替换 ' https://vault.azure.net ' 到 'https://' 但我收到另一个错误:

{"error":"invalid_resource","error_description":"AADSTS50001: The application named https://<YOUR-KEY-VAULT-URL> was not found in the tenant named <A tenant ID>.This can happen if the application has not been installed by the administrator of the tenant or consented to by any user in the tenant. You might have sent your authentication request to the wrong tenant.\r\nTrace ID: 7365f8f5-791f-4131-88f8-9466cadc4d00\r\nCorrelation ID: e18e0e5e-966e-460b-9b61-16decf97dff4\r\nTimestamp: 2017-12-12 11:18:01Z","error_codes":[50001],"timestamp":"2017-12-12 11:18:01Z","trace_id":"7365f8f5-791f-4131-88f8-9466cadc4d00","correlation_id":"e18e0e5e-966e-460b-9b61-16decf97dff4"}

出了什么问题？

Answer 1

您必须在 Key Vault 的策略中添加 VM 服务主体。在 Key Vault 上拥有 Contributor 允许主体通过 ARM API 执行操作，但它需要访问的是 Key Vault API。这需要您在“策略”选项卡上向主体添加一些权限。