使用托管标识从 Azure 应用服务连接到 Key Vault

Question

如果我设置一个天蓝色应用程序服务来使用托管身份，例如

builder.Configuration.AddAzureKeyVault(new Uri($"https://{keyVaultName}.vault.azure.net/"), new DefaultAzureCredential())

从 Azure 应用服务到密钥保管库的连接是否通过公共 Internet 进行？我读到诸如“通信通常保留在 Azure 的内部网络内，而不通过公共互联网”之类的内容！这是什么意思？

或

我需要对 keyvault 使用“私有端点连接”吗？

Answer 1

“通信通常保留在 Azure 的内部网络内，而不通过公共互联网”！

• 它明确表示Azure服务（Key Vault/托管身份/应用服务）之间的通信将在内部网络内完成。

• Azure Key Vault 和应用服务之间的数据传输通过 TLS 加密。

• 应用程序必须通过 Azure Key Vault 进行身份验证才能获得访问权限。

我需要对 keyvault 使用“私有端点连接”吗？

正如我在评论中已经提到的，使用专用端点连接不是强制性的。它完全基于您的要求和配置。

• 有时有必要避免使用公共端点的 Key Vault。

使用私有端点：

• 我们需要创建

  Virtual Network

  和

  Subnet

  ，我们可以用它们来放置 Key Vault 的私有端点。

• 在

  Azure App Service

  =>

  Networking

  =>

  Outbound traffic configuration

  中，配置虚拟网络集成。