Protezione dei segreti di autenticazione in Azure Key Vault
Quando si configurano provider di autenticazione personalizzati, è possibile archiviare i segreti di connessione in Azure Key Vault. Questo articolo illustra come usare un'identità gestita per concedere App Web statiche di Azure l'accesso a Key Vault per i segreti di autenticazione personalizzati.
Nota
Funzioni serverless di Azure non supportano l'integrazione diretta di Key Vault. Se è necessaria l'integrazione di Key Vault con l'app per le funzioni gestite, sarà necessario implementare l'accesso a Key Vault nel codice dell'app.
I segreti di sicurezza richiedono che siano presenti gli elementi seguenti.
- Creare un'identità assegnata dal sistema nell'istanza di App Web statiche.
- Concedere all'identità l'accesso a un segreto di Key Vault.
- Fare riferimento al segreto dell'insieme di credenziali delle chiavi dalle impostazioni dell'applicazione App Web statiche.
Questo articolo illustra come configurare ognuno di questi elementi nell'ambiente di produzione per le applicazioni bring your own functions.
L'integrazione di Key Vault non è disponibile per:
- Versioni di staging dell'app Web statica. L'integrazione di Key Vault è supportata solo nell'ambiente di produzione.
- App Web statiche che usano funzioni gestite.
Nota
L'uso dell'identità gestita è disponibile solo nel piano standard App Web statiche di Azure.
Prerequisiti
- Sito di App Web statiche di Azure esistente tramite le funzioni Bring Your Own.
- Risorsa dell'insieme di credenziali delle chiavi esistente con un valore segreto.
Creare l'identità
Aprire il sito App Web statiche nel portale di Azure.
Nel menu Impostazioni selezionare Identità.
Selezionare la scheda Assegnata dal sistema .
Sotto l'etichetta Stato selezionare Sì.
Seleziona Salva.
Quando viene visualizzata la finestra di dialogo di conferma, selezionare Sì.
È ora possibile aggiungere un criterio di accesso per consentire all'app Web statica di leggere i segreti di Key Vault.
Aggiungere un criterio di accesso di Key Vault
Aprire la risorsa key vault nel portale di Azure.
Nel menu Impostazioni selezionare Criteri di accesso.
Selezionare il collegamento Aggiungi criteri di accesso.
Nell'elenco a discesa Autorizzazioni segrete selezionare Recupera.
Accanto all'etichetta Seleziona entità selezionare il collegamento Nessuno selezionato.
Nella casella di ricerca cercare il nome dell'applicazione App Web statiche.
Selezionare la voce di elenco corrispondente al nome dell'applicazione.
Seleziona Seleziona.
Seleziona Aggiungi.
Seleziona Salva.
I criteri di accesso vengono ora salvati in Key Vault. Accedere quindi all'URI del segreto da usare quando si associa l'app Web statica alla risorsa Key Vault.
Nel menu Impostazioni selezionare Segreti.
Selezionare il segreto desiderato dall'elenco.
Selezionare la versione del segreto desiderata dall'elenco.
Selezionare copia alla fine della casella di testo Identificatore segreto per copiare il valore dell'URI segreto negli Appunti.
Incollare questo valore in un editor di testo per usarlo in un secondo momento.
Aggiungere l'impostazione dell'applicazione
Aprire il sito App Web statiche nel portale di Azure.
Nel menu Impostazioni selezionare Configurazione.
Nella sezione Impostazioni applicazione selezionare Aggiungi.
Immettere un nome nella casella di testo per il campo Nome .
Determinare il valore del segreto nella casella di testo per il campo Valore .
Il valore del segreto è composto da alcuni valori diversi. Il modello seguente illustra come viene compilata la stringa finale.
@Microsoft.KeyVault(SecretUri=<YOUR-KEY-VAULT-SECRET-URI>)Ad esempio, una stringa finale sarà simile all'esempio seguente:
@Microsoft.KeyVault(SecretUri=https://myvault.vault.azure.net/secrets/mysecret/)In alternativa:
@Microsoft.KeyVault(VaultName=myvault;SecretName=mysecret)Usare la procedura seguente per compilare il valore del segreto completo.
Copiare il modello dall'alto e incollarlo in un editor di testo.
Sostituire
<YOUR-KEY-VAULT-SECRET-URI>con il valore dell'URI di Key Vault impostato in precedenza.Copiare il nuovo valore stringa completo.
Incollare il valore nella casella di testo per il campo Valore .
Seleziona OK.
Selezionare Salva nella parte superiore della barra degli strumenti Impostazioni applicazione.
Ora quando la configurazione di autenticazione personalizzata fa riferimento all'impostazione dell'applicazione appena creata, il valore viene estratto da Azure Key Vault usando l'identità dell'app Web statica.