Azure：通过证书从cloud worker连接到密钥库

Question

我有一个工作进程作为Azure中的经典云服务运行。这个过程需要从Azure密钥存储库中检索一个值，并且我需要在源树之外对存储库身份验证保密。

托管身份似乎不适用于传统的云工作人员，所以我转而考虑证书。通过创建一个证书，然后在Azure Active Directory中上传应用程序注册，我已经通过证书获得了本地工作的身份验证：

New-SelfSignedCertificate -Subject "CN=MyFineCertificate" -CertStoreLocation "Cert:\CurrentUser\My" -KeyExportPolicy Exportable -KeySpec Signature

private static KeyVaultClient GetClient()
{
    var certificate = GetCertificate();
    var assertion = new ClientAssertionCertificate(clientId, certificate);
    var client = new KeyVaultClient(new KeyVaultClient.AuthenticationCallback((a, r, s) => GetAccessTokenUsingCert(a, r, s, assertion)));
    return client;
}

private static X509Certificate2 GetCertificate()
{
    var certStore = new X509Store(StoreName.My, StoreLocation.CurrentUser);
    certStore.Open(OpenFlags.ReadOnly);
    var results = certStore.Certificates.Find(/* criteria */);
    return results[0];
}

private static async Task<string> GetAccessToken(string authority, string resource, string scope, ClientAssertionCertificate cert)
{
    var authContext = new AuthenticationContext(authority, TokenCache.DefaultShared);
    var result = await authContext.AcquireTokenAsync(resource, cert);
    return result.AccessToken;
}

不幸的是，我的云工作人员找不到它。如果我在Azure上运行这个，在上传证书后，它不会出现：

foreach (StoreName name in Enum.GetValues(typeof(StoreName)))
{
    foreach (StoreLocation location in Enum.GetValues(typeof(StoreLocation)))
    {
        var certStore = new X509Store(name, location);
        certStore.Open(OpenFlags.ReadOnly);
        foreach (var res in certStore.Certificates)
        {
            /* log certificate */
        }
    }
}

为什么不出现？我是在正确的轨道上，还是完全误解了这是如何工作的？

Answer 1

你的问题有两个部分：

>

方法-由于托管服务标识不能用于云服务，如何使用Azure密钥库进行工作/身份验证？

你在正确的轨道上。我已经描述了在Azure Cloud Service配置中处理密钥存储库的类似问题的方法

 <Certificates>
     <Certificate name="MyFineCertificate" thumbprint="<my_thumbprint>" thumbprintAlgorithm="<my_thumbprint_algo e.g. sha1>" />
 </Certificates>

 <Certificates>
      <Certificate name="MyFineCertificate" storeLocation="LocalMachine" storeName="My" />
 </Certificates> 

注意，我提到的存储位置是localmachine。现在，您应该能够通过指定正确的位置从代码访问证书。

var certStore = new X509Store(StoreName.My, StoreLocation.LocalMachine);