Azure Key Vault / 存储 / 功能集成

Question

我们正在使用 Azure Functions，这需要访问至少 1 个 Azure 存储位置。 Azure 存储位置必须支持表，因此 Azure AD Auth 已失效。存储帐户的连接字符串以及凭据信息必须对环境中的函数可用。良好的安全实践要求我们以某种频率轮换密钥。我们目前将密钥存储在 Key Vault 中，并希望继续这样做，而不是将密钥存储在 Azure 门户中。

Azure AD 身份验证在此处无效，因为它生成的令牌无法用于函数所需的表，我们是否正确？

似乎理想的方法是在Microsoft.Azure.Storage.CloudStorageAccount 中添加一个新设置，

internal const string AccountKeyVaultLocationSettingString = "AccountKeyVaultLocation";

然后向 ParseImpl 添加逻辑，以便可以将表示机密的 KeyVault URL 传递到此方法，并从那里查询密钥。

另一个选项是覆盖 Microsoft.Azure.WebJobs.Script.Scaling.StorageConnectionString（和类似的连接字符串设置），以便查询 KeyVault。

这可以添加到存储库吗？什么是 ETA？您会欢迎对此做出贡献吗？

Answer 1

事实上，使用this way，您可以成功获取您的连接字符串，无需版本号。但是，正如您所说，webapp 将加载 appsettings 一次，即使您的连接字符串在 Key Vault 中旋转，它也不会更新：我们应该重新启动 webapp 以从 KV 加载最新的连接字符串版本。

您可以使用Azure app configuration，这是一个集中配置服务，您可以轻松地从 KV 读取最新的连接字符串，而无需重新启动您的 webapp。但是，您应该关心Azure应用配置连接字符串的安全性，如果您需要经常轮换它，我们就回去。

也许使用 Azure 函数 MSI 从 KV 获取连接字符串是我所知道的最好的方法，试试下面的代码：

using System;
using System.Threading.Tasks;
using Microsoft.AspNetCore.Mvc;
using Microsoft.Azure.WebJobs;
using Microsoft.Azure.WebJobs.Extensions.Http;
using Microsoft.AspNetCore.Http;
using Microsoft.Extensions.Logging;

using Microsoft.Azure.KeyVault;
using Microsoft.Azure.Services.AppAuthentication;
using Microsoft.Azure.KeyVault.Models;

namespace FunctionWithAppConfig
{
    public static class Function1
    {
        [FunctionName("Function1")]
        public static async Task<IActionResult> Run(
    [HttpTrigger(AuthorizationLevel.Anonymous, "get", "post", Route = null)] HttpRequest req, ILogger log)
        {
            log.LogInformation("C# HTTP trigger function processed a request.");

            var azureServiceTokenProvider = new AzureServiceTokenProvider();
            string accessToken = await azureServiceTokenProvider.GetAccessTokenAsync("https://vault.azure.net");

            KeyVaultClient kv = new KeyVaultClient(new KeyVaultClient.AuthenticationCallback(azureServiceTokenProvider.KeyVaultTokenCallback));
            SecretBundle sec = await kv.GetSecretAsync("<your key vault url without version >");
            var StorageConn = sec.Value;

            // connect to your storage ...

            return new OkObjectResult(StorageConn);

        }
    }
}