Proteggere i segreti di autenticazione in Azure Key Vault per App Web statiche di Azure
Quando si configurano provider di autenticazione personalizzati, è possibile archiviare i segreti di connessione in Azure Key Vault. Questo articolo illustra come usare un'identità gestita per concedere ad App Web statiche di Azure l'accesso a Key Vault per segreti di autenticazione personalizzati.
Nota
Le Funzioni serverless di Azure non supportano l'integrazione diretta di Key Vault. Se è necessaria l'integrazione di Key Vault con l'App per le funzioni gestite, sarà necessario implementare l'accesso a Key Vault nel codice dell'app.
I segreti di sicurezza richiedono che siano presenti gli elementi seguenti.
- Creare un'identità assegnata dal sistema nell'app Web statica.
- Concedere all'identità l'accesso a un segreto di Key Vault.
- Fare riferimento al segreto di Key Vault dalle impostazioni dell'applicazione app Web statica.
Questo articolo mostra come configurare ognuno di questi elementi nell'ambiente di produzione per applicazioni di funzioni personalizzate.
L'integrazione di Key Vault non è disponibile per:
- Versioni di gestione temporanea dell'app Web statica. L'integrazione di Key Vault è supportata solo nell'ambiente di produzione.
- App Web statiche che usano funzioni gestite.
Nota
L'uso dell'identità gestita è disponibile solo nel piano Standard di App Web statiche di Azure.
Prerequisiti
- Sito di App Web statiche di Azure esistente con funzioni personalizzate.
- Risorsa Key Vault esistente con un valore segreto.
Creare l'identità
Aprire l'app Web statica nel portale di Azure.
In Impostazioni selezionare Identità.
Selezionare la scheda Assegnata dal sistema.
Sotto l'etichetta Stato, selezionare Attiva.
Seleziona Salva.
Quando compare la finestra di dialogo di conferma, selezionare Sì.
È ora possibile aggiungere un criterio di accesso per consentire all'app Web statica di leggere i segreti di Key Vault.
Aggiungere un criterio di accesso Key Vault
Aprire la risorsa Key Vault nel portale di Azure.
Nel menù Impostazioni, selezionare Criteri di accesso.
Selezionare il collegamento Aggiungi criteri di accesso.
Nell'elenco a discesa Autorizzazioni segrete selezionare Ottieni.
Accanto all'etichetta Seleziona entità di sicurezza, selezionare il collegamento Nessuno selezionato.
Nella casella di ricerca, cercare il nome dell'app Web statica.
Selezionare la voce di elenco corrispondente al nome dell'applicazione.
Seleziona Seleziona.
Seleziona Aggiungi.
Seleziona Salva.
I criteri di accesso vengono ora salvati in Key Vault. Accedere quindi all'URI del segreto da usare quando si associa l'app Web statica alla risorsa Key Vault.
Nel menù Impostazioni, selezionare Segreti.
Selezionare il segreto che si desidera dall'elenco.
Selezionare la versione del segreto che si desidera dall'elenco.
Selezionare copia alla fine della casella di testo Identificatore segreto, per copiare il valore dell'URI segreto negli Appunti.
Incollare questo valore in un editor di testo per usarlo in un secondo momento.
Aggiungi impostazione applicazione
Aprire il sito dell'app Web statica nel portale di Azure.
Nel menù Impostazioni, selezionare Configurazione.
Nella sezione Impostazioni applicazione, selezionare Aggiungi.
Immettere un nome nella casella di testo per il campo Nome.
Determinare il valore del segreto nella casella di testo per il campo Valore.
Il valore del segreto è composto da alcuni valori diversi. Il modello seguente illustra come viene compilata la stringa finale.
@Microsoft.KeyVault(SecretUri=<YOUR_KEY_VAULT_SECRET_URI>)Ad esempio, una stringa finale sarà simile all'esempio seguente:
@Microsoft.KeyVault(SecretUri=https://myvault.vault.azure.net/secrets/mysecret/)In alternativa:
@Microsoft.KeyVault(VaultName=myvault;SecretName=mysecret)Usare la procedura seguente per compilare il valore del segreto completo.
Copiare il modello dall'alto e incollarlo in un editor di testo.
Sostituire
<YOUR_KEY_VAULT_SECRET_URI>con il valore URI di Key Vault salvato in precedenza.Copiare il nuovo valore stringa completo.
Incollare il valore nella casella di testo per il campo Valore.
Seleziona OK.
Selezionare Salva nella parte superiore della barra degli strumenti Impostazioni applicazione.
Ora quando la configurazione di autenticazione personalizzata fa riferimento all'impostazione dell'applicazione appena creata, il valore viene estratto da Azure Key Vault usando l'identità dell'app Web statica.