从基于 VM 的 AD 到 Azure SQL DB 的集成身份验证

Question

我正在寻找一些关于我正在尝试解决的问题的指导。现在，我们的 web.config 连接字符串包含纯文本密码和用户名。由于合规性原因，我们必须删除那些纯文本凭据并用集成身份验证替换它们。过去，这是通过将纯文本凭据替换为“trusted_connection=yes”来完成的。

进一步说明我们的设置 - 我们正在迁移到 Azure。设置如下所示：我们有一对运行 Active Directory 的 VM，我们的 Web VM 运行标准 IIS，并且正在与 Azure SQL DB 通信。不幸的是，我们无法迁移到 Azure AD，因为我们还有其他要求需要保留它。任何帮助或想法将不胜感激。提前谢谢！

tl;dr - 在具有基于 VM 的 AD 和 Azure SQL DB 的环境中，我们如何从 web.config 文件中获取纯文本凭据。

• Web.config 文件位于运行 IIS 的 Windows Server 2016 上
• AD 在一对 2016 虚拟机上
• Azure SQL DB 是 PaaS

Web.config:

<add key="Persist Security Info=False;User ID=XXXXX;Password=XXXXXX;MultipleActiveResultSets=False;Encrypt=True;TrustServerCertificate=False;Connection Timeout=30;" />

<add key="Persist Security Info=False;trusted_connection=yes;MultipleActiveResultSets=False;Encrypt=True;TrustServerCertificate=False;Connection Timeout=30;" />

Answer 1

在具有基于 VM 的 AD 和 Azure SQL DB 的环境中，我们如何从 web.config 文件中获取纯文本凭据。

在 Azure 中执行此操作的正确方法是为您的 VM 配置 Managed Service Identity，并使用该身份获取 SQL Server 的访问令牌。你可以按照教程here.

在这种情况下，您的连接字符串不需要任何安全信息。就像这样：

"Data Source = someInstance.database.windows.net; Initial Catalog = someDatabase;Connection Timeout=30;" 

或者，您可以使用 MSI 访问 Azure Key Vault 并检索 SQL Auth 凭据以进行连接，而不是将它们存储在配置文件中，按照教程 here。

您还可以尝试将您的应用程序池配置为在为Seamless Signon with AAD 配置的域帐户下运行，就像 您 在登录时应该访问 Azure SQL 数据库一样加入域的工作站。但这条道路有很多潜在的复杂性。