Почему портал Azure не поддерживает функцию хранилища ключей Azure при предоставлении разрешений приложению AD?

Question

Я пытаюсь предоставить разрешения моему приложению типа Web App / API в каталоге Azure для использования хранилища ключей Azure.

Когда мне требуются разрешения> Добавить доступ к API> Выберите API, тогда я не могу найти хранилище ключей Azure. Я помню, что это было раньше, но не сейчас. Где я могу найти это?

Изображение: https://ibb.co/dswdXq

Answer 1

Поведение, отображаемое на вашем изображении - хранилище ключей Azure отсутствует в блейде «Выберите API»

Я видел поведение, которое ваше изображение демонстрирует для новой подписки Azure, только когда в подписке Azure, связанной с этим Azure Active Directory, пока не было ключевых хранилищ.

Как только вы создаете новое хранилище ключей (вам даже не нужно добавлять ключи), «хранилище ключей Azure» появляется при добавлении разрешений для регистрации приложений в Azure AD (те же действия, что и для вашего изображения). По крайней мере, так оно и было в моем случае.

Особый случай, о котором стоит упомянуть

Вы можете создать несколько AD Azure в своей подписке Azure и зарегистрировать свои приложения в любом из них. Хранилище ключей Azure работает особым образом и связано только с одним Azure AD, но это Azure AD, которому доверяет ваша подписка Azure (подписка Azure также доверяет только одному Azure AD). Таким образом, вы также можете столкнуться с поведением, показанным на вашем изображении, если вы регистрируете приложение в Azure AD, отличном от того, которому доверяет ваша подписка Azure.

Предоставление разрешений вашему веб-приложению / API для использования Key Vault

В большинстве случаев даже не требуется выполнять шаги, которые вы показываете на своем изображении, просто для того, чтобы веб-приложение могло получить доступ к хранилищу ключей, поскольку оно контролируется политиками доступа Azure Key Vault. @junnas уже очень хорошо объяснил эту часть, так что вы можете сослаться на это.

Answer 2

Вы можете перейти в хранилище ключей -> Политики доступа -> Добавить и создать новую политику для приложения. Выберите приложение в качестве принципала и предоставьте ему необходимый доступ. Вам не нужно трогать опцию Авторизованное приложение .

После этого вы сможете получить токены для хранилища ключей, используя идентификатор клиента и секрет (или сертификат). Key Vault не требует назначения его приложению, если вы не хотите делегировать доступ. Фактически любое приложение может получить токен для любого API, который существует в качестве участника службы в вашем клиенте (и Key Vault делает). Конечно, сам токен не будет содержать никаких разрешений, но Key Vault имеет собственное управление доступом (политики доступа).