如何在本地和托管环境（Azure和内部部署）中使用DefaultAzureCredential访问Azure密钥库？

Question

我们有一个web api（.NET 5），可以访问Azure KeyVault中的一些秘密
在local machine for development中，由于我是新创建的vault的所有者，因此我的电子邮件具有访问keyvault的权限。

因此我选择了我的账户--

我有下面的代码从Keyvault获取机密，并通过配置访问，就像访问appsettings值一样。

public static IHostBuilder CreateHostBuilder(string[] args) =>
        Host.CreateDefaultBuilder(args)
        .ConfigureAppConfiguration((context, config) =>
        {
            var appSettings = config.Build();
            var credentialOptions = new DefaultAzureCredentialOptions();
            var credential = new DefaultAzureCredential(credentialOptions);
            config.AddAzureKeyVault(new Uri(appSettings["Url:KeyVault"]), credential);
        })
       .ConfigureWebHostDefaults(webBuilder =>
            {
                webBuilder.UseStartup<Startup>();
            });
}

我们在服务层和控制器层访问像_configuration[“secret”]这样的秘密值。

我的疑问是

1、如果我将此代码部署到内部服务器，它将如何工作（开发环境是内部服务器）？

2、如果我将此Web API部署到Azure，如何使用标识AD应用程序访问密钥保管库而无需更改任何代码。

我希望代码能够无缝地适用于本地和Azure。

Answer 1

DefaultAzureCredential是从Azure Active Directory连接和检索令牌的新的统一方式，可以与需要它们的资源一起使用

DefaultAzureCredential根据应用程序运行的环境获取令牌

如果启用，将按顺序尝试以下凭据类型-EnvironmentCredential、ManagedEntityCredential、SharedTokenCacheCredential、InteractiveBrowserCredential

1. 如果我将此代码部署到本地服务器，它将如何工作（dev env是本地服务器）

在开发计算机（本地服务器）中执行此操作时，需要首先配置环境，将变量AZURE_CLIENT_ID、AZURE_TENANT_ID和AZURE_CLIENT_SECRET设置为服务主体的适当值（在Azure AD中注册的应用）

可以为Web应用启用系统分配托管标识。在Azure密钥保管库中添加此标识的访问策略以读取机密。现在，无需对代码进行任何更改，Web应用就可以读取密钥保管库机密