Azure 解决方案：KeyVault的安全访问场景和实现方案

51CTO 博客地址：https://blog.51cto.com/14669127
博客园博客地址：https://www.cnblogs.com/Nancy1983

需求：假如你所使用的Azure 订阅新建了一个名为KeyVault1的Azure Key Vault以及2个如下表的虚拟机：

KeyVault1有一个访问策略，为多个用户提供Key Permissions，如果需要确保用户只能从VM1在KeyVault1中注册secret permissions，该如何操作？

解决方案分析：

通过在Key Vault中设置访问策略授权数据访问权限，可以将VM分配的managed Identities访问权限授权给key Vault.

1. 在Access Policy界面，点击“Add Access Poicy”
2. 在Configure from template的下拉菜单中选择“Key Management”
3. Select Principal界面，在搜索字段中输入创建的VM名称
4. 完成新的Access Policy创建

Key Vault的访问通过Management plane和Data plane两个接口进行控制，Management Plane是用来管理Key Vault的，包括新建、删除Key Vault、检索Key Vault属性，更新访问策略等；Data Plane是用来处理存储在Key Vault中的数据，可以添加、删除和修改Key，Secrets和Certificates。

通过分析后，如果需要确保用户只能从VM1在keyVault1中注册secret permissions，那么只需要编辑Key Vault，修改Access Policy就可以。

相关资料：
• About Azure Key Vault
• Secure access to a key vault
• Assign a Key Vault Access Policy using the Azure Portal
• Provide access to key vault keys, certificates and secrets with an Azure Role-based access control