如何安全配置Key Vault以适配Azure Storage Mover？

问题根源 #

本次出现的AZSM1028错误，本质是Azure Storage Mover无法通过预设的私有端点或受限公网策略访问Key Vault。放开全公网访问虽能临时解决问题，但存在安全暴露风险，需从网络架构、Key Vault策略、DNS解析三个层面优化配置，兼顾可用性与安全性。

安全配置步骤 #

1. 对齐网络互通环境 #

• 若使用托管式Storage Mover：将Key Vault私有端点部署至与Storage Mover作业执行节点所在VNet（或对等互联VNet），确保两者网络可达。
• 若使用自托管代理：将代理部署至与Key Vault私有端点同VNet，或通过VNet对等互联、专线打通网络。

2. 精准配置Key Vault网络规则 #

• 保留已创建的Key Vault私有端点，确认其状态为「已批准」且绑定正确子网。
• 在Key Vault「防火墙和虚拟网络」设置中，选择「允许从特定虚拟网络和IP地址进行公网访问」：
  • 添加Storage Mover所在VNet（托管服务对应服务子网，自托管代理对应代理所在子网）至允许列表。
  • 勾选**「允许受信任的Microsoft服务绕过此防火墙」**——Azure Storage Mover属于微软可信托管服务，此设置可确保其合法访问Key Vault，同时避免全公网开放。
  • 移除无关公网IP（如个人办公IP，除非是自托管代理的固定出站IP）。

3. 确保私有DNS解析正常 #

• 为Key Vault私有端点关联Azure私有DNS区域privatelink.vaultcore.azure.net，并将该DNS区域链接至Storage Mover所在VNet，确保Storage Mover能解析Key Vault私有域名，流量走私有端点而非公网。
• 自托管代理场景下，需在代理服务器上配置DNS解析（如绑定私有DNS区域，或手动配置hosts映射Key Vault私有域名与私有IP）。

4. 验证权限配置 #

• 在Key Vault「访问策略」中，为Storage Mover的服务主体（系统分配/用户分配）配置Secrets/Get权限，确保其能读取存储的SMB凭据。
• 确认访问策略的应用范围覆盖目标机密。

验证生效 #

完成配置后重新启动迁移作业：

• 若作业正常运行，说明配置生效。
• 可通过Key Vault「日志」查看访问记录，确认请求来自私有端点IP，验证私有端点是否正常发挥作用。

内容的提问来源于stack exchange，提问作者PhilFancy