如何妥善保护密钥保管库机密？本地部署认证存核心疑问

• 本地认证的安全凭据存储方式
  你不需要把访问Key Vault的凭据硬编码到代码或配置文件里，而是利用操作系统的原生安全存储来保存：

  • Windows：将服务主体的凭据存入Credential Manager，这是系统级加密存储，只有当前用户或授权进程能访问。
  • macOS：用Keychain Access存储凭据，同样是加密且绑定用户身份的。
  • Linux：借助libsecret这类工具，将凭据存入系统密钥环，避免明文暴露。
    开发场景下还可以直接用Azure CLI的本地登录状态，应用能自动获取CLI缓存的临时令牌，无需额外存储凭据。

• 这不是“用一个秘密换另一个”的原因

  • 集中管控机密：所有应用的敏感信息都统一存放在Key Vault中，你可以批量轮换权限、设置过期时间、审计访问日志，而不是让机密分散在各个本地应用的配置里，降低了泄露风险。
  • 权限最小化：访问Key Vault的凭据（比如服务主体）可以被配置为仅能访问特定的机密，就算这个凭据不慎泄露，攻击者也只能拿到授权范围内的内容，而不是所有应用的敏感数据。同时，你可以快速轮换这个凭据，不会影响其他应用的正常运行。
  • 身份与机密分离：本地存储的是身份凭据，而非应用业务机密。身份凭据的生命周期可以独立于业务机密管理，比如开发者用个人Azure身份访问Key Vault，退出登录后令牌自动失效，安全性远高于硬编码业务机密。

• 其他适合本地场景的认证方式

  • 设备代码流：让本地应用引导用户通过浏览器登录Azure AD，获取临时访问令牌，全程不需要存储任何长期凭据，适合有用户交互的应用。
  • 证书认证：给服务主体绑定证书，将证书存入本地系统的证书存储（而非明文文件），应用通过读取证书存储来完成认证，证书本身是加密的，只有授权进程能访问。

内容的提问来源于stack exchange，提问作者Owen