Azure密钥库/存储/功能集成

Question

理想的方法似乎是在microsoft.azure.storage.CloudStorageAccount中添加一个新的设置,

internal const string AccountKeyVaultLocationSettingString = "AccountKeyVaultLocation";

然后将逻辑添加到ParseImpl中,以便将表示秘密的KeyVault URL传递到该方法中,然后它将从那里查询密钥。

另一个选项是覆盖microsoft.azure.webjobs.script.scaling.StorageConnectionString（以及类似的连接字符串设置），以便它查询KeyVault。

Answer 1

事实上，使用这种方式，您可以在没有版本号的情况下成功地获得您的连接字符串。但是，正如您所说，webapp将加载appsettings一次，即使连接字符串在Key vault中旋转，它也不会被更新：我们应该重新启动webapp从KV加载最新的连接字符串版本。

您可以使用Azure app configuration，这是一个集中配置服务，您可以轻松地从KV读取最新的连接字符串，而无需重新启动您的WebApp。但是，你应该关心Azure app配置连接字符串的安全性，如果你需要经常旋转它，我们回去。

也许使用Azure函数MSI从KV获取连接字符串是我这里知道的最好的方法，试试下面的代码：

using System;
using System.Threading.Tasks;
using Microsoft.AspNetCore.Mvc;
using Microsoft.Azure.WebJobs;
using Microsoft.Azure.WebJobs.Extensions.Http;
using Microsoft.AspNetCore.Http;
using Microsoft.Extensions.Logging;

using Microsoft.Azure.KeyVault;
using Microsoft.Azure.Services.AppAuthentication;
using Microsoft.Azure.KeyVault.Models;

namespace FunctionWithAppConfig
{
    public static class Function1
    {
        [FunctionName("Function1")]
        public static async Task<IActionResult> Run(
    [HttpTrigger(AuthorizationLevel.Anonymous, "get", "post", Route = null)] HttpRequest req, ILogger log)
        {
            log.LogInformation("C# HTTP trigger function processed a request.");

            var azureServiceTokenProvider = new AzureServiceTokenProvider();
            string accessToken = await azureServiceTokenProvider.GetAccessTokenAsync("https://vault.azure.net");

            KeyVaultClient kv = new KeyVaultClient(new KeyVaultClient.AuthenticationCallback(azureServiceTokenProvider.KeyVaultTokenCallback));
            SecretBundle sec = await kv.GetSecretAsync("<your key vault url without version >");
            var StorageConn = sec.Value;

            // connect to your storage ...

            return new OkObjectResult(StorageConn);

        }
    }
}