从Azure Service Fabric中承载的ASP.NET Core应用程序访问Azure密钥库

Question

在我当前的ASP.NET Core项目中，我使用Azure Active Directory身份验证和X509Certificate来访问密钥库。证书需要安装在计算机上，以允许应用程序访问它，并最终从密钥库读取值。现在我正在将这个应用程序迁移到Azure Service Fabric。我已将证书上载到密钥库，通过添加以下内容修改了ARM模板：

"osProfile": {
    "secrets": [
        {
          "sourceVault": {
            "id": "{KeyVaultIdHere}"
          },
          "vaultCertificates": [
            {
              "certificateUrl": "{CertificateUrlHere}",
              "certificateStore": "My"
            }
          ]
        }
      ]
},

但当我将应用程序部署到Azure Service Fabric时，它似乎没有访问证书的权限。当我使用这样的ARM模板创建集群时，证书正在localmachine\my存储区中安装，我理解得正确吗？如果是，有没有可能，运行应用程序的操作系统用户没有访问证书私钥的权限？当我在我的本地计算机上运行集群时，我必须给ASF本地集群用户特殊的权限来读取私钥。也许Azure上的ASF也需要这样做？怎么能做到？提前道谢。

Answer 1

好的，所以解决方案是修改ARM模板，使其能够访问network service用户的证书私钥。为此，需要编写适当的powershell（如此处:https://social.technet.microsoft.com/forums/windowsserver/en-us/1557e379-26a8-46d0-bf26-d32176395085/how-to-grant-permission-to-private-key-from-PowerShell？forum=WinServerPowerShell)并在ARM模板(CustomScriptExtension)中附加CustomScriptExtension)。这只能在ARM部署期间完成，因为出于某种原因，管理员对通过ARM模板安装的证书只有读取访问权限。