Azure Keyvault 从不同的 azure 订阅访问资源答案

【问题标题】：Azure Keyvault to access resources from different azure subscriptionsAzure Keyvault 从不同的 azure 订阅访问资源
【发布时间】：2018-04-18 11:46:45
【问题描述】：

我正在尝试在我的 MVC 应用程序中使用 azure keyvault 来获取存储帐户密钥。此 MVC 应用程序托管在不同的 Azure 订阅中，存储帐户属于这些订阅。是否可以在任何订阅中拥有一个 Azure Keyvault 资源并为驻留在不同订阅中的存储帐户提供密钥？

【问题讨论】：

这些订阅是否链接到同一个 Azure AD 租户？
暂时没有。这些订阅中很少有共享共同的 AD 租户。但很少有其他人拥有不同的广告主旨。

标签： azure azure-storage azure-keyvault

【解决方案1】：

是的，这是可能的。

您需要在 Key Vault 订阅所在的 Azure AD 租户中使用 Key Vault 为应用创建身份。然后将访问保管库的权限分配给这些服务主体。

然后您可以将客户端 ID、客户端密码和租户 ID 放入需要访问 Key Vault 的应用程序中。然后他们应该能够调用它，因为他们有一个允许访问的身份。 Key Vault 使用 HTTP API，因此应用程序和保管库是否在同一个订阅/数据中心/云提供商中无关紧要。

【讨论】：

感谢 Juunas.. KeyVault 是否应该在 Azure AD 租户中才能正常工作？
嗯，保管库将在某些 Azure AD 租户中。重要的是您在同一个租户中创建应用程序标识，以便您可以为它们分配访问保险库的权限。
因此，如果您在订阅 A 中创建保管库，并且该订阅链接到租户 ABC，那么您必须在租户 ABC 中创建应用程序身份。
你试过了吗？这是不可能的，例如，您不能使用 kv 跨订阅部署 webapp 证书。
嗯，这可能是真的 :) 但如果它只是在秘密中存储连接字符串，那么它并没有真正不起作用的原因。

【解决方案2】：

您好，您可以在下面通过 azure CLI 进行操作

 az webapp config ssl import -n 'webappname' -g 'webappresourcegroup' --key-vault "/subscriptions/[provide subscriptionID]/resourceGroups/[Provide resource group Name]/providers/Microsoft.KeyVault/vaults/[Provide Vault Name] --key-vault-certificate 'Provide certificate Name'

【讨论】：