在不存储客户端机密的情况下与Azure AD OAuth交互

Question

这要求我使用客户机id和客户机秘密，并且我要求在Azure VM中运行时不将秘密存储在系统上。

是否有方法使用托管标识获取应用程序机密或生成可用于login.microsoftonline.com OAuth终结点的令牌？

Answer 1

当您说“Web应用程序”时,我假设您使用的是Azure应用程序服务,

如果问题是在机器上本地存储客户端机密，那么更安全的方法是将机密存储在Azure KeyVault中。

这篇stackoverflow文章讲述了为什么KeyVault是安全的：为什么Azure Key Vault是安全的？

官方文档提供了一个很好的关于Azure KeyVault入门的概述/快速入门。https://docs.microsoft.com/en-us/azure/key-vault/quick-create-portal

这是关于在Azure Web应用程序中使用KeyVault的教程：https://docs.microsoft.com/en-us/Azure/key-vault/tutorial-net-create-vault-azure-web-app

本质上，秘密保留在Azure中，因此它们永远不会在代码或开发机器上公开。通过使用MSI，您将不需要跟踪访问keyvault的凭据。将所有重要信息保存在Azure中。