Azure Key Vault 日志：禁止 ResultSignature 成功

Question

我正在分析 Azure Key Vault 日志，发现了一个有趣的情况。我的查询是寻找任何禁止的 对 Key Vault 的访问尝试，我试图理解为什么某些条目显示

结果类型：成功 但也有

结果签名：禁止 这是我使用的查询：

Azure 诊断 |其中 ResourceProvider == "MICROSOFT.KEYVAULT" |其中 ResultSignature == "禁止" |按时间生成的 desc | 排序拿300 尽管有这些日志，网络应用程序似乎仍能很好地检索秘密。谁能解释一下为什么禁止 结果也会被标记为成功？这是日志分析的错误示例

租户ID xxxxx-xxxxxx-xxxxxx-xxxxxx

生成时间 [UTC] 2024-03-20T20:04:53.0973838Z

资源ID /订阅/xxxxx-xxxxxx-xxxxxx/RESOURCEGROUPS/RG-1/PROVIDERS/MICROSOFT.KEYVAULT/VAULTS/KEYVAULT001

类别 审核事件

资源组 RG-1

订阅ID xxxxx-xxxxxx-xxxxxx

资源提供者 微软.KEYVault

资源 KEYVAULT001

资源类型 避难所

操作名称 秘密获取

结果类型 成功

相关 ID xxxxx-xxxxxx-xxxxxx-xxxxxx

结果描述 客户端地址未经授权，调用者不是受信任的服务。 客户端地址：20.100.100.1 呼叫者：appid=xxxxx-xxxxxx-xxxxxx-xxxxxx;oid=xxxxx-xxxxxx-xxxxxx-xxxxxx;iss=https://sts.windows.net/xxxxx-xxxxxx-xxxxxx-xxxxxx/;xms_mirid=/subscriptions/xxxxx- xxxxxx-xxxxxx-xxxxxx/resourcegroups/rg-1/providers/Microsoft.ManagedIdentity/userAssignedIdentities/id-management;xms_az_rid=/subscriptions/xxxxx-xxxxxx-xxxxxx-xxxxxx/resourcegroups/rg-1/providers/Microsoft.ManagedIdentity/userAssignedIdentities /id 管理 保险库：KEYVAULT001；位置=西欧

requestUri_s https://KEYVAULT001.vault.azure.net/secrets/GitlabContainerRegistryUsername/?api-version=7.0

持续时间女士 17

来电IP地址 20.100.100.1

操作版本 7.0

结果签名 禁止

id_s https://KEYVAULT001.vault.azure.net/secrets/GitlabContainerRegistry用户名

httpStatusCode_d 403

identity_claim_appid_g xxxx-xxxxxxx-xxxxxxxxx

isAccessPolicyMatch_b 正确

源系统 天蓝色

identity_claim_xms_az_nwperimid_s []

identity_claim_appidacr_s 2

tlsVersion_s TLS1_2

identity_claim_oid_g xxxx-xxxxxxx-xxxxxxxxx

identity_claim_xms_mirid_s /subscriptions/xxxx-xxxxxxx-xxxxxxxxx/resourcegroups/rg-1/providers/Microsoft.ManagedIdentity/userAssignedIdentities/id-management

起初我认为这可能是网络问题，但 keyvault 和 webapp 都在同一个子网中，并且由于 webapp 可以检索机密，所以它不是网络问题，仍然因为我在所有涉及的环境的日志分析中都遇到了这个错误。

Answer 1

我正在分析 Azure Key Vault 日志，发现了一个有趣的情况。我的查询正在查找对 Key Vault 的任何禁止访问尝试，我试图理解为什么某些条目显示 ResultType: 成功但也有 结果签名：禁止

Log Analytics条目中的

ResultType: Success

的原因表示检索日志的操作已成功完成，与错误无关，而ResultSignature: Forbidden表示该操作未经授权。这意味着操作已完成，但未获得访问资源的授权。

输出：

上述错误消息表明客户端地址49.37.154.218无权访问Key Vault。

要解决此问题，请确保导航到以下步骤，在 Azure key 保险库中添加客户端地址：

49.37.154.218

。

1. 转到 Azure Key Vault > 网络 > 防火墙和虚拟网络 > 防火墙

注意：如果您选择第二个选项，请在防火墙设置下包含您的公共 IP，以便使用相同的 IP 访问Key Vault。

将客户端的 IP 地址 49.37.154.218 添加到

Key Vault

后，将从该 IP 授予访问权限。