从另一个 Azure ActiveDirectory 租户中的应用访问 Azure KeyVault

Question

我有一个 Azure 订阅，其中包含我的 Web 应用程序的所有资源。我创建了另一个 ActiveDirectory 租户，在租户中定义了一个 AD 应用程序，并将其设置为我的 AppService 的身份验证提供程序。现在，我想在我的订阅中创建一个 KeyVault 资源并授予我的 AD 应用程序对 KeyVault 的访问权限。

Azure KeyVault 文档说要运行以下 PS 命令：

Set-AzureRmKeyVaultAccessPolicy -VaultName <KVName> -ObjectId <ClientId> -PermissionsToKeys get

但是，这会返回以下错误：

Cannot find the Active Directory object '<ClientId>' in tenant '<MyDefaultTenantId>'

问题似乎是我的 KV 与我的 AD 应用程序不在同一个 AD 租户中，但 Set-AzureRmKeyVaultAccessPolicy 命令似乎没有 TenatId 参数。

有什么方法可以实现我想要的吗？ 我是否必须将我的 AD 应用程序移动到我的默认 AD 租户？

Answer 1

没有。密钥保管库将仅接受其所在租户的身份。

Answer 2

我也有同样的情况和要求（这 8 个小时永远不会回来 :-) 但您可以通过调用特定 URL 并继续授予应用程序身份在密钥保管库中的必要权限来轻松获得此同意

总之……

GET https://login.microsoftonline.com/{tenant}/adminconsent?
client_id=6731de76-14a6-49ae-97bc-6eba6914391e
&state=12345
&redirect_uri=http://localhost/myapp/permissions

始终在私人浏览器窗口中运行，以免在浏览器的日常使用中陷入不同的身份。

在这里阅读更多： https://docs.microsoft.com/en-us/azure/active-directory/develop/active-directory-v2-scopes#using-the-admin-consent-endpoint

Answer 3

您当然可以将您的应用程序设为multi-tenant，同意将应用程序放入包含 Key Vault 的订阅中的 Azure AD 目录，然后将应用程序添加为有权访问门户中的 Key Vault 的主体。

然后，您的应用程序可以代表该目录中的用户或使用客户端凭据以自己的名义访问 Key Vault。