Zabezpieczanie wpisów tajnych uwierzytelniania w usłudze Azure Key Vault
Podczas konfigurowania niestandardowych dostawców uwierzytelniania warto przechowywać wpisy tajne połączeń w usłudze Azure Key Vault. W tym artykule pokazano, jak przy użyciu tożsamości zarządzanej udzielić usłudze Azure Static Web Apps dostępu do usługi Key Vault na potrzeby niestandardowych wpisów tajnych uwierzytelniania.
Uwaga
Funkcje bezserwerowe platformy Azure nie obsługują bezpośredniej integracji z usługą Key Vault. Jeśli potrzebujesz integracji usługi Key Vault z aplikacją funkcji zarządzanej, musisz zaimplementować dostęp usługi Key Vault do kodu aplikacji.
Wpisy tajne zabezpieczeń wymagają wprowadzenia następujących elementów.
- Utwórz tożsamość przypisaną przez system w wystąpieniu usługi Static Web Apps.
- Udziel tożsamości dostępu do wpisu tajnego usługi Key Vault.
- Odwołuj się do wpisu tajnego usługi Key Vault z ustawień aplikacji Static Web Apps.
W tym artykule pokazano, jak skonfigurować każdy z tych elementów w środowisku produkcyjnym na potrzeby tworzenia własnych aplikacji funkcji.
Integracja z usługą Key Vault nie jest dostępna dla następujących elementów:
- Przejściowe wersje statycznej aplikacji internetowej. Integracja usługi Key Vault jest obsługiwana tylko w środowisku produkcyjnym.
- Statyczne aplikacje internetowe korzystające z funkcji zarządzanych.
Uwaga
Korzystanie z tożsamości zarządzanej jest dostępne tylko w planie usługi Azure Static Web Apps w warstwie Standardowa.
Wymagania wstępne
- Istniejąca witryna usługi Azure Static Web Apps korzystająca z funkcji bring your own functions.
- Istniejący zasób usługi Key Vault z wartością wpisu tajnego.
Tworzenie tożsamości
Otwórz witrynę Static Web Apps w witrynie Azure Portal.
W menu Ustawienia wybierz pozycję Tożsamość.
Wybierz kartę Przypisane przez system.
W obszarze Etykieta stanu wybierz pozycję Włączone.
Wybierz pozycję Zapisz.
Po wyświetleniu okna dialogowego potwierdzenia wybierz pozycję Tak.
Teraz możesz dodać zasady dostępu, aby umożliwić statycznej aplikacji internetowej odczytywanie wpisów tajnych usługi Key Vault.
Dodawanie zasad dostępu usługi Key Vault
Otwórz zasób usługi Key Vault w witrynie Azure Portal.
W menu Ustawienia wybierz pozycję Zasady dostępu.
Wybierz link Dodaj zasady dostępu.
Z listy rozwijanej Uprawnienia wpisu tajnego wybierz pozycję Pobierz.
Obok etykiety Wybierz nazwę główną wybierz link Brak wybrany.
W polu wyszukiwania wyszukaj nazwę aplikacji Static Web Apps.
Wybierz element listy zgodny z nazwą aplikacji.
Wybierz pozycję Wybierz.
Wybierz opcję Dodaj.
Wybierz pozycję Zapisz.
Zasady dostępu są teraz zapisywane w usłudze Key Vault. Następnie uzyskaj dostęp do identyfikatora URI wpisu tajnego, który ma być używany podczas kojarzenia statycznej aplikacji internetowej z zasobem usługi Key Vault.
W menu Ustawienia wybierz pozycję Wpisy tajne.
Wybierz odpowiedni wpis tajny z listy.
Wybierz odpowiednią wersję wpisu tajnego z listy.
Wybierz pozycję Kopiuj na końcu pola tekstowego Identyfikator wpisu tajnego, aby skopiować wartość identyfikatora URI wpisu tajnego do schowka.
Wklej tę wartość do edytora tekstów do późniejszego użycia.
Dodawanie ustawienia aplikacji
Otwórz witrynę Static Web Apps w witrynie Azure Portal.
W menu Ustawienia wybierz pozycję Konfiguracja.
W sekcji Ustawienia aplikacji wybierz pozycję Dodaj.
Wprowadź nazwę w polu tekstowym w polu Nazwa .
Określ wartość wpisu tajnego w polu tekstowym dla pola Wartość .
Wartość wpisu tajnego jest złożona z kilku różnych wartości. Poniższy szablon przedstawia sposób tworzenia końcowego ciągu.
@Microsoft.KeyVault(SecretUri=<YOUR-KEY-VAULT-SECRET-URI>)Na przykład końcowy ciąg będzie wyglądać podobnie do następującego przykładu:
@Microsoft.KeyVault(SecretUri=https://myvault.vault.azure.net/secrets/mysecret/)Inna możliwość:
@Microsoft.KeyVault(VaultName=myvault;SecretName=mysecret)Aby utworzyć pełną wartość wpisu tajnego, wykonaj następujące kroki.
Skopiuj szablon z góry i wklej go do edytora tekstów.
Zastąp
<YOUR-KEY-VAULT-SECRET-URI>element wartością identyfikatora URI usługi Key Vault, którą wcześniej odłożysz.Skopiuj nową wartość pełnego ciągu.
Wklej wartość w polu tekstowym pola Wartość .
Wybierz przycisk OK.
Wybierz pozycję Zapisz w górnej części paska narzędzi Ustawienia aplikacji.
Teraz, gdy konfiguracja uwierzytelniania niestandardowego odwołuje się do nowo utworzonego ustawienia aplikacji, wartość zostanie wyodrębniona z usługi Azure Key Vault przy użyciu tożsamości statycznej aplikacji internetowej.