web-services - 适用于多个 Web 服务的 Azure Key Vault 最佳实践？

Question

我们有一个项目，其中多个 RESTful Web 服务相互通信。到目前为止，每个 Web 服务都有自己的 Azure Key Vault。它们各自都有一个 powershell 脚本，用于访问存储在其他 Web 服务的 keystore 中的信息。

这是最佳实践，还是我们的项目应该在 Web 服务之间共享一个中央 key 保管库？如果没有明确的答案，该决定可能取决于什么？

Answer 1

我认为这个设计适合您和您的需求。就我个人而言，我更喜欢将所有 secret 集中存放在一个位置，一个事实来源，一个 keystore 。对我来说，这感觉是一个深思熟虑的设计。毕竟， keystore 是为了安全地存储 secret 而设计的，因此拥有多个 keystore 似乎并不是设计要求。

但是，我会通过以下事实来缓和这一点:我遇到了必须创建多个 keystore 的限制。例如，Azure VM 规模集要求 keyvault 与规模集的节点位于同一区域。不知道为什么，而且似乎没有必要。对我来说，这意味着我在 8 个区域部署的应用程序必须有自己的 keyvault，在 8 个位置复制相同的 key 。啊。