使用ACS的Azure服务总线主题订阅安全性

Question

我需要为以下场景设置哪些权限：

我想使用Azure服务总线，以便能够连接在本地运行的Windows服务代理和在azure中运行的辅助角色。代理本身是一种软件，它将在不同的客户端运行，并通过服务总线与我的工作者角色进行通信。每天一次的工作角色将向内部特定（可能是全部，可能只有少数）客户代理发送消息，要求提供一些数据。代理将通过服务总线将数据返回给辅助角色。为了向特定客户代理发送自定义消息，我将使用主题和订阅，其中每个客户代理将减少其特定订阅。

现在为了构建代理和访问服务总线，我必须使用namesapece，issuer name，issuer key，默认情况下它是owner。井主在该服务总线上到处都有完全控制权，因此我不想为每个客户代理服务提供owner凭证和secret key。这意味着我必须为每个客户建立自定义标识，或者为所有客户建立一个共同标识。

我的问题：您的建议是什么：

• 所有代理的一个公共服务标识或为每个代理服务生成一个标识？
• 我应该给他们的最小访问权限是什么？我想Listen和Send对吗？

Answer 1

我们使用服务总线中继向第三方公开内部服务。我们使用SAS保护服务，并为每个客户端创建具有适当权限（通常为Send，Listen）的新共享访问策略。在＆＃34;配置＆＃34;在门户网站中添加一个＆＃34;新策略名称＆＃34;然后＆＃34;保存＆＃34;。然后，您可以在门户网站的底部检索共享访问密钥。

我们发现这种方法比在ACS下生成ID更容易。