如何配置Service Fabric服务从Key Vault读取密钥替代硬编码配置？

下面提供两种可行方案，分别适配不同场景需求：

方案一：Azure Pipeline部署阶段注入密钥（无需修改应用代码） #

适合不想改动应用逻辑，仅在CI/CD流程中替换硬编码密钥的场景：

• 配置Key Vault访问权限：找到Azure Pipeline对应的服务主体（可在Pipeline的服务连接中查看），在Key Vault的「访问策略」中添加该主体，授予机密权限-获取的权限。
• Pipeline中引入Key Vault任务：在部署前添加Azure Key Vault任务，填入你的Key Vault名称，勾选需要拉取的机密（比如DbConnectionString），任务会自动将机密加载为Pipeline变量。
• 将Settings.xml改为模板格式：把原来硬编码的参数替换为占位符，示例：

  <Parameters>
    <Parameter Name="DbConnectionString" Value="#{DbConnectionString}#" />
  </Parameters>
  

• 添加文件替换任务：使用Replace Tokens任务，指定Settings.xml的路径，设置令牌前缀为#{，后缀为}#，任务会自动用Pipeline变量中的密钥值替换占位符。
• 正常执行后续部署流程：替换完成后，继续执行Service Fabric打包、部署任务即可。

方案二：Service Fabric应用直接从Key Vault读取（更安全） #

此方案密钥不会经过CI/CD管道，直接由应用在运行时从Key Vault获取，安全性更高：

• 配置Service Fabric集群的托管身份：
  • 如果是Azure托管的Service Fabric集群，启用系统分配托管身份或创建用户分配托管身份并关联到集群。
  • 自管集群可使用Azure AD应用注册作为身份，将证书或客户端凭据配置到集群节点。
• 给托管身份分配Key Vault权限：在Key Vault的「访问策略」中添加集群的托管身份，授予机密权限-获取的权限。如果Key Vault启用了防火墙，需允许集群的IP范围或托管身份访问。
• 修改应用代码读取机密：使用Azure Key Vault SDK（比如Azure.Security.KeyVault.Secrets）在应用启动时获取密钥，示例代码：

  var client = new SecretClient(new Uri(Environment.GetEnvironmentVariable("KeyVaultUrl")), new DefaultAzureCredential());
  KeyVaultSecret secret = await client.GetSecretAsync("DbConnectionString");
  string dbConnStr = secret.Value;
  // 后续使用连接字符串初始化数据库
  

• 配置应用参数：在Settings.xml中添加Key Vault的URL（无需硬编码密钥）：

  <Parameters>
    <Parameter Name="KeyVaultUrl" Value="https://your-keyvault-name.vault.azure.net/" />
  </Parameters>
  

  同时在ServiceManifest.xml中声明环境变量，将参数映射到应用可读取的环境变量：

  <CodePackage Name="Code" Version="1.0.0">
    <EnvironmentVariables>
      <EnvironmentVariable Name="KeyVaultUrl" Value="[KeyVaultUrl]" />
    </EnvironmentVariables>
  </CodePackage>
  

• 部署应用：确保托管身份已正确关联到集群，部署后应用即可通过托管身份访问Key Vault获取密钥。

注意事项 #

• 遵循最小权限原则：无论哪种方案，仅给需要的主体分配必要的Key Vault权限，避免过度授权。
• 密钥轮换：使用Key Vault的密钥轮换功能时，方案二无需重新部署应用，应用会自动获取最新密钥；方案一需要重新触发部署流程。
• 错误处理：方案二中需添加异常处理逻辑，应对Key Vault不可访问或密钥不存在的情况，避免应用启动失败。

内容的提问来源于stack exchange，提问作者korn