通过ARM部署的所需状态配置中的凭据安全

Question

如何在与ARM的组合中使用所需状态配置。

范围： - 我们有一个通过ARM模板部署的Azure虚拟机。 - 对于期望状态配置，VM在ARM模板中具有扩展资源 - 我们需要将敏感参数（以安全的方式！）传递到所需状态配置（我们希望使用DSC创建一个额外的本地Windows帐户） - 配置文件用于了解用于加密的公钥，并让VM知道必须使用哪个证书进行解密（通过指纹） - 使用ARM时，需要在单独的属性中定义配置数据文件 - 我注意到DSC服务自动为VM添加文档加密证书。

问题： 如果我想让这个开箱即用，我需要预先创建configurationDataFile，并将其存储在某个地方（如blob或其他东西）。 然而，开箱即用的＆＃39;开箱即用＆＃39;只有在部署ARM模板后才能知道VM上的证书。

我想知道是否有办法在DSC中使用开箱即用的DSC证书进行加密/解密，而不使用不同的增量DSC模板。 那么我怎样才能在部署时知道开箱即用的证书指纹？ （在手臂模板中？） 我是否真的需要为每个部署转换ConfigurationData文件（并找到VM的正确指纹），或者是否有一种开箱即用的方式告诉DSC通过ARM使用开箱即用的创建证书？< / p>

Answer 1

由于目标VM也是创作机器，因此密码可以作为纯文本传递，因为它们永远不会离开虚拟机。 这已得到Microsoft支持部门的验证。