阻止租户用户登录Azure应用注册及Blob存储安全访问方案咨询

一、应用注册的配置与用户登录限制 #

你完全可以通过正确配置应用注册来避免租户用户登录该应用，应用注册是这个场景下的合理方案，具体说明如下：

• 创建应用注册时，选择「仅限此组织目录中的账户」类型，之后在身份验证设置中删除所有重定向URI，并且不启用任何交互式登录流程（比如授权码流、隐式流）。这样用户没有任何入口可以通过该应用注册发起登录请求，完全符合你不让租户用户访问Blob或Key Vault的需求。
• 应用本身是通过客户端密钥或客户端证书向Entra ID验证身份，获取访问Key Vault的令牌，这个过程是服务对服务的非交互式验证，和用户无关。你给应用分配的Key Vault RBAC权限仅属于应用的服务主体，不会传递给任何租户用户，用户无法通过该应用获得任何访问权限。

二、Key Vault对比基于访问策略的SAS的核心优势 #

虽然两者都支持撤销，但Key Vault在安全性、可维护性上有明显优势：

• 最小权限原则落地：你不需要在服务器上存储Blob的SAS令牌或存储账户密钥，只需要存储用于访问Key Vault的客户端凭证（密钥/证书），而这个凭证的权限仅局限于读取Key Vault中指定的Blob访问机密，即使泄露，攻击者也无法直接访问Blob数据，风险范围更小。
• 自动化与审计能力：Key Vault支持自动轮换存储的账户密钥或SAS令牌，无需手动更新应用配置；所有访问Key Vault的操作都会被记录到Azure Monitor，便于追踪审计谁在什么时候访问了什么机密，而直接使用SAS的话，密钥轮换需要手动操作，Blob访问审计也需要单独配置，成本更高。
• 细粒度访问控制：可以通过Key Vault的访问策略或RBAC，限制应用访问Key Vault的IP范围、时间窗口，甚至指定只能读取某一个具体的机密；同时如果需要撤销权限，直接禁用应用的Key Vault权限或删除存储的机密即可立即生效，无需重新生成SAS并修改应用配置（只要应用是动态从Key Vault拉取凭证）。
• 机密生命周期管理：Key Vault提供了机密的版本管理、过期提醒等功能，能更好地管控Blob访问凭证的生命周期，避免出现过期或未及时轮换的风险。

内容的提问来源于stack exchange，提问作者Sandroid