ACR密钥自动化管理（基于Key Vault）及权限、兼容性问询

1. Key Vault配置分步指引 #

• 创建Key Vault实例：在对应云平台控制台完成资源创建，设置区域、定价层等基础参数，同时启用软删除和Purge Protection来提升密钥安全性。
• 配置机密存储：进入Key Vault的「机密」模块，创建用于存放ACR访问密钥的机密条目，根据ACR密钥的属性设置合适的过期时间与轮换策略。
• 关联ACR权限：通过云平台身份管理工具，为ACR的服务主体授予Key Vault的机密读取权限，确保ACR可以正常获取存储的密钥。
• 启用自动轮换：在机密配置中开启自动轮换功能，设置轮换周期（如90天），同时配置轮换通知，保证依赖服务能及时适配新密钥。

2. 使用Key Vault所需的权限及认证流程 #

权限要求 #

• 管理类权限：需拥有Key Vault的Contributor或Key Vault Administrator角色，用于创建Vault、配置权限及调整轮换规则；仅需读取/使用密钥的场景，分配Key Vault Secrets User角色即可。
• ACR关联权限：需为ACR的服务主体授予Key Vault的Get和List机密权限，确保ACR能拉取存储的访问密钥完成身份验证。

认证流程 #

• 托管身份认证：云平台内的服务（如ACR）可通过系统分配或用户分配的托管身份直接完成认证，无需手动管理凭据，依赖云平台内置的身份验证机制验证权限。
• 客户端认证：本地或第三方服务访问Key Vault时，可通过服务主体密钥、证书或云平台CLI登录凭据完成认证，认证通过后根据分配的权限执行对应操作。

3. ACR访问密钥密码是否支持dSMS生成的密钥 #

ACR访问密钥本质是用于容器注册表身份验证的字符串凭据，只要dSMS生成的密钥符合ACR对访问密钥的格式要求（无特殊字符限制的随机字符串即可），就可以直接导入到Key Vault中进行管理，且ACR完全支持使用这类导入的密钥完成身份验证。

内容的提问来源于stack exchange，提问作者user23556637