应用程序资源密钥轮换自动化：其他可行方案咨询

1. 复用Azure自动化账户的预建Runbook #

Azure自动化账户里有现成的社区或官方维护的Runbook，针对CosmosDB、OpenAI这类服务的密钥轮换场景，不用从零开发调试函数。你可以直接导入对应Runbook，给自动化账户配置好托管标识权限（让它能访问Key Vault和目标服务），再设置定时触发即可。比如CosmosDB的轮换Runbook，能自动生成新密钥、更新Key Vault中的对应秘密，还会验证新密钥可用后再废弃旧密钥，大幅减少手动操作。

2. Key Vault自动轮换策略+服务API调用 #

对于支持API密钥轮换的服务（CosmosDB、OpenAI都支持），可以给Key Vault里的对应秘密设置自动轮换策略，再结合事件网格触发服务API完成密钥更新：

• 给Key Vault配置事件规则，当秘密即将过期时触发事件网格
• 事件网格调用服务的密钥生成API（比如CosmosDB的RegenerateKey接口）
• 将新生成的密钥更新回Key Vault的对应秘密中
  这种方式无需额外搭建函数应用，核心是配置权限和API参数，步骤比写函数简单得多。

3. 改用托管标识直接访问服务（彻底淘汰密钥） #

CosmosDB、OpenAI都支持托管标识认证，你可以让函数应用直接用自身托管标识访问这些服务：

• 给函数应用的托管标识分配CosmosDB的「Cosmos DB Built-in Data Contributor」角色
• 给函数应用的托管标识分配OpenAI的「Cognitive Services OpenAI User」角色
  之后函数应用可以通过Azure AD认证直接访问服务，不用在Key Vault里存储任何密钥，彻底省去密钥轮换的运维工作。只要你的应用代码支持Azure AD认证方式对接这些服务，这就是最省心的方案。

4. Azure Policy告警强制轮换周期 #

如果暂时没时间搞自动化，可配置Azure Policy，当服务密钥超过指定周期未轮换时触发告警，提醒你手动操作。虽然不是完全自动化，但能避免遗漏轮换，降低密钥长期不更新的风险，适合临时过渡场景。

内容的提问来源于stack exchange，提问作者Gabriel Kelly