来自不同 Azure 订阅的 Azure Key Vault 可访问性答案

【问题标题】：Azure Key Vault Accessibility from different Azure subscriptions来自不同 Azure 订阅的 Azure Key Vault 可访问性
【发布时间】：2021-12-17 20:02:21
【问题描述】：

假设我分别有 2 个不同的 azure 订阅，我创建了一个 azure vault 并将私钥存储在它的第一个订阅的 HSM 支持的 azure key vault 容器中，并且我想从不同的 azure 订阅访问私钥以签署一个应用..

这可能吗？

简而言之，在一个 azure 订阅中管理和存储 HSM 支持的密钥，并使用来自另一个 azure 订阅的该私钥对应用程序进行签名或验证......这可能吗？

【问题讨论】：

您好@raggie，我想如果两个订阅都存在于同一个租户中是可能的，因此当您使用托管标识访问另一个订阅中的密钥库时，可以提供密钥库 RBAC角色根据要求。你可以参考这个文档：docs.microsoft.com/en-us/azure/key-vault/managed-hsm/…
如果回答对您有帮助，请Accept it as an Answer，以便遇到相同问题的其他人可以找到此解决方案并解决他们的问题。

标签： azure azure-keyvault

【解决方案1】：

是的，当两个订阅都存在于单个租户时是可能的。这样您就可以为用户或托管身份分配管理平面和数据平面所需的权限。由于 Managed HSM 使用 Azure AD authentication 两个订阅需要在同一个 AzureAD 租户。

参考：

【讨论】：