Как использовать Azure Key Vault и Azure Active Directory B2C в разных каталогах?

Question

Я пытаюсь следовать этим инструкциям , чтобы настроить хранилище ключей Azure, и я нахожусь на этапе "Зарегистрировать приложение в Azure Active Directory".

В инструкции есть эта инструкция:

Важное замечание. Для завершения учебника ваша учетная запись, хранилище и приложение, которое вы зарегистрируете на этом шаге, должны находиться в одном каталоге Azure.

Три важных элемента информации о моей конфигурации:

1. Поскольку наша команда использует Azure Active Directory B2C, а не Azure AD, экземпляр AAD B2C находится в другом каталоге, как показано в правом верхнем углу снимка экрана ниже.
2. Наше веб-приложение (имя MyApp) зарегистрировано в AAD B2C в пределах Directory2, как показано кружком в середине скриншота ниже.
3. Однако фактический ресурс веб-приложения находится в Directory1, как показано на скриншоте ниже.

Как мне двигаться вперед? Должен ли я переместить KeyVault & MyApp в Directory2 или переместить экземпляр AAD B2C в Directory1?

Answer 1

К сожалению, вы не можете использовать Azure KeyVault для приложения Azure AD B2C.

Почему?

1. Как правило, для вашего sceanrio мы можем защитить веб-приложение Azure с помощью Azure AD и Azure AD B2C. Однако для приложения Azure AD B2C ключ может быть создан только Azure. Вы не можете использовать пользовательский ключ для приложения AAD.

2.AAD B2C-приложение не имеет субъекта обслуживания. Если вы хотите разрешить приложению использовать ключ или секрет, вы можете использовать следующие сценарии powershell:

Set-AzureRmKeyVaultAccessPolicy -VaultName 'ContosoKeyVault' -ServicePrincipalName 8f8c4bbd-485b-45fd-98f7-ec6300b7b4ed -PermissionsToKeys decrypt,sign

Однако этот командлет powershell должен указать один Serviceprincipal Name. AAD B2C не с принципалом обслуживания. Таким образом, вы не можете использовать этот PowerShell для приложения AAD B2C.

Таким образом, даже вы можете позволить хранилищу ключей и приложению AAD B2C находиться в одном клиенте, но вы все равно не можете использовать хранилище ключей для AAD B2C.

Мои предложения:

Хотя вы можете интегрировать AAD B2C для выполнения аутентификации / авторизации для своего веб-приложения Azure, но эта функция предназначена для AAD, а НЕ Azure AD B2C. Однако вы все равно можете интегрировать AAD B2C с вашим веб-приложением, но вы не можете использовать keyvault для своего приложения B2C. Я прошу прощения за это приспособление, но B2C для разработки среды, это не нравится AAD.

Если вы возражаете против использования сгенерированного ключа Azure и вам нужна эта функция, вы можете опубликовать свою идею в на этом форуме обратной связи , команда Azure рассмотрит его.

Надеюсь, это поможет!