UWP/WinUI桌面应用程序访问Azure Key Vault秘密

Question

Microsoft提供了几种方法来获得对Azure密钥存储库机密的安全访问，特别是使用托管身份或服务主体作为身份提供者。然而，这些方法被明确地设计用于处理基于Azure的资源，如web应用程序和微服务。它们不能与UWP/WINUI桌面应用程序一起工作。

到目前为止，我发现的允许UWP/WINUI桌面应用程序访问Key Vault的唯一方法是加载应用程序的Azure注册信息(TenentId、ClientId和ClientSecret--秘密本身！）在创建新的SecretClient对象（Azure.Security.KeyVault.Secrets）时，DefaultAzureCredential（）方法会获取这些环境变量。

但这意味着我需要将这些秘密存储在代码或配置文件中，以便在运行时读取。绝对不是最佳做法！我一定是漏掉了什么。

在2020年，UWP/WINUI桌面应用程序有哪些最佳实践可以安全地访问密钥库秘密--在此过程中不暴露其他秘密？

Answer 1

在一天结束时，应用程序必须存储某种类型的秘密--因为它需要将该秘密提供给您的密钥存储库实例，以证明应用程序确实被允许访问存储在该存储库中的秘密。这类似于从数据库中检索值--在获取值之前，您必须存储并提供连接字符串。

如果不了解您打算如何部署应用程序的特定用例，就不可能建议您应该或不应该做什么。在我们的例子中，我们有一个WinForms应用程序，它是由我们的支持团队显式地安装到我们客户的机器上的，这意味着我们到现在为止一直使用旧的、黄金的客户证书标准--显然，还有一个自定义的验证步骤。

值得庆幸的是，Key Vault显式支持客户端证书（以下步骤从链接的MSDN中复制）：

null

我们目前正在用Key Vault替换我们的自定义客户端证书验证器，因为它将使所有事情都变得更加容易--从Azure Portal而不是我们的自定义管理应用程序中管理证书和撤销。