Azure Blueprint-从Key Vault secret创建Web证书提供拒绝访问错误

Question

我们得到了一个很大的azure blueprint模板，它为我们创建了很多工件。其中一个工件是Azure密钥库。密钥库被创建，所需的秘密就在里面。

他试图创建的其他工件之一是Microsoft.Web/Certificates。我们尝试用下面的json创建它

 {
    "name": "create-certificate",
    "kind": "template",
    "properties": {
        "template": {
            "$schema": "http://schema.management.azure.com/schemas/2015-01-01/deploymentTemplate.json#",
            "contentVersion": "1.0.0.0",
            "parameters": {
                "name": {
                    "type": "string"
                },
                "location": {
                    "type": "string"
                },
                "vaultName": {
                    "type": "string"
                },
                "serverFarmId": {
                    "type": "string"
                }
            },
            "resources": [
                {
                    "type": "Microsoft.Web/certificates",
                    "name": "[parameters('name')]",
                    "apiVersion": "2016-03-01",
                    "location": "[parameters('location')]",
                    "properties": {
                        "keyVaultId": "[resourceId('Microsoft.KeyVault/vaults', parameters('vaultName'))]",
                        "keyVaultSecretName": "Origin-Certificate",
                        "serverFarmId": "[parameters('serverFarmId')]"
                    }
                }
            ]
        },
        "resourceGroup": "TD-RG",
        "parameters": {
            "name": {
                "value": "[concat(parameters('environmentSuffix'), '-Orgin')]"
            },
            "location": {
                "value": "[parameters('location')]"
            },
            "vaultName": {
                "value":"[concat(parameters('environmentSuffix'), '-Vault')]"
            },
            "ServerFarmId": {
                "value": "[artifacts('create-service-plan').outputs.ServerFarmId]"
            }
        },
        "dependsOn": ["create-service-plan", "create-key-vault"]
    }   
}

因此，它很好地等待我们首先创建一个服务计划和密钥库，然后尝试从密钥库秘密中读取orgin证书。我们得到的错误是：

服务无权访问“{密钥存储库路径}”密钥存储库。请确保已授予服务执行请求操作所需的权限。

Set-AzureRmKeyVaultAccessPolicy -VaultName KEYVAULTNAME -PermissionsToSecrets get `
   -ServicePrincipalName abfa0a7c-a6b6-4736-8310-5855508787cd

此脚本的来源：ARM模板中的KeyVault引用问题

但这样做的问题是，权限被创建密钥库的工件定义覆盖，因此无法通过Power Shell设置。但我不能在蓝图中完成这一点。对于其他用户，在我们创建密钥库时，我已经设置了权限，这是有效的。但是像下面这样加上这个是行不通的。

{
   "objectId": "abfa0a7c-a6b6-4736-8310-5855508787cd",
   "tenantId": "[parameters('tenantId')]",
   "permissions": {
     "secrets": [
       "get"
     ]
   }
 }

因此，现在仍然是一个谜语，如何创建一个密钥库，并在下一个工件中使用一个秘密。

Answer 1

我注意到您在powershellSet-AzurermKeyVaultAccessPolicy和ARM模板中使用了相同的guidABFA0A7C-A6B6-4736-8310-5855508787CD，这就是原因。

在Set-AzurermKeyVaultAccessPolicy中，我们需要传递-ServicePrincipalName的应用程序ID（即客户机ID)，此处说明。但是在ARM模板中，我们需要传递服务主体的对象ID（而不是应用程序注册），它不同于应用程序ID。

要获取服务主体的对象ID，您可以使用powershellget-AzurermadServicePrincipal，在我的屏幕截图中，我使用新的az命令，在您的示例中，直接使用get-AzurermadServicePrincipal，ID就是您需要的对象ID。

注意：确保您登录到powershell的帐户有权获取AAD租户中的服务主体。

Get-AzureRmADServicePrincipal -ApplicationId abfa0a7c-a6b6-4736-8310-5855508787cd

然后，在ARM模板中，使用对象ID而不是应用程序ID，它会很好地工作。

{
   "objectId": "<Object ID>",
   "tenantId": "[parameters('tenantId')]",
   "permissions": {
     "secrets": [
       "get"
     ]
   }
 }