Azure密钥保险库：如何验证用户是否具有访问权限

Question

当用户调用我的API时，我想验证该用户是否有权访问我的Azure Key Vault。

该API正在应用服务中运行，并且该应用服务已被授予对密钥库的访问权限，但我想确定调用API的用户也已被授予对密钥库的访问权限。

Azure SDK是否提供一种获取密钥库访问策略的方法？

谢谢！

Answer 1

如果您使用on behalf access，则只有有权访问KeyVault的用户才能通过您的API获得访问权限。在这种情况下，您将只向API提供“授权”对KeyVault的访问权限，因此它仅适用于用户。

用户和应用程序访问权限：应用程序代表已登录用户访问Key Vault。此类访问的示例包括Azure PowerShell和Azure门户。通过两种方式授予用户访问权限。用户可以从任何应用程序访问Key Vault，或者他们必须使用特定的应用程序（称为复合身份）。

理想情况下，您将授予访问AD组的权限，并将用户添加到该组。授予单个用户访问权限为discouraged。

This tutorial还会触动您的需求。

这是针对“授权授权”方案的，这意味着仅通过特定应用程序将授权授予特定用户。没有其他访问策略，没有该应用程序，用户将无法访问Key Vault，没有该应用程序，该应用程序将无法访问Key Vault。大多数组织不会使用此功能，但我知道有些组织会使用。

（图片取自Azure Key Vault incorrectly creating Compound Identity）