从HashiCorp Vault向Azure Key Vault填充密钥的最优实现方案及示例请求

我来给你分享两种实际工作中常用的实现方案，分别用PowerShell和Terraform，都是迁移HashiCorp Vault密钥到Azure Key Vault的靠谱路子：

这种方式适合一次性批量迁移，灵活度高，能快速处理大量密钥。

准备工作 #

• 安装必要的PowerShell模块：
  • Azure模块：Install-Module -Name Az.KeyVault -Force -AllowClobber
  • HashiCorp Vault模块：Install-Module -Name Vault -Force -AllowClobber
• 分别完成Azure和HashiCorp Vault的登录：
  • 登录Azure：Connect-AzAccount（如果用服务主体，用Connect-AzAccount -ServicePrincipal -ApplicationId <你的应用ID> -TenantId <租户ID> -CertificateThumbprint <证书指纹>）
  • 登录Vault：vault login（输入你的Vault token，或者用AppRole等其他认证方式）

示例迁移脚本 #

# 配置基础参数
$vaultAddress = "https://你的Vault服务器地址:8200"
$azureKeyVaultName = "你的Azure Key Vault名称"
$vaultSecretRootPath = "secret/app/prod" # 替换成你Vault中密钥的根路径

# 设置Vault环境变量
$env:VAULT_ADDR = $vaultAddress

# 获取Vault中指定路径下的所有密钥名称
$secretNames = vault kv list -format=json $vaultSecretRootPath | ConvertFrom-Json

# 遍历每个密钥，迁移到Azure Key Vault
foreach ($secretName in $secretNames) {
    # 读取Vault中单个密钥的详细数据（KV v2版本）
    $secretData = vault kv get -format=json "$vaultSecretRootPath/$secretName" | ConvertFrom-Json
    $secretKeyValuePairs = $secretData.data.data

    # 遍历密钥中的每个键值对，写入Azure Key Vault
    foreach ($key in $secretKeyValuePairs.Keys) {
        # 自定义Azure机密名称，可根据你的规则调整
        $azureSecretName = "$secretName-$key"
        $secretValue = $secretKeyValuePairs[$key]

        try {
            # 写入Azure Key Vault
            Set-AzKeyVaultSecret -VaultName $azureKeyVaultName -Name $azureSecretName -SecretValue (ConvertTo-SecureString $secretValue -AsPlainText -Force)
            Write-Host "✅ 成功迁移机密：$azureSecretName"
        }
        catch {
            Write-Host "❌ 迁移机密$azureSecretName失败：$_"
        }
    }
}

注意事项 #

• 如果你的Vault用的是KV v1版本，vault kv get的输出结构会不同，需要调整脚本中读取数据的逻辑
• 可以根据需求添加分页处理、过滤特定密钥等逻辑
• 建议先在测试环境验证脚本，避免影响生产数据

这种方式适合需要将密钥迁移纳入**基础设施即代码（IaC）**管理的场景，可重复执行，且能追踪状态变化。

示例Terraform配置 #

# 配置所需Provider版本
terraform {
  required_providers {
    azurerm = {
      source  = "hashicorp/azurerm"
      version = "~> 3.0"
    }
    vault = {
      source  = "hashicorp/vault"
      version = "~> 3.0"
    }
  }
}

# 初始化AzureRM Provider
provider "azurerm" {
  features {}
  # 可以通过环境变量或变量传递认证信息，比如AZURE_CLIENT_ID、AZURE_TENANT_ID等
}

# 初始化HashiCorp Vault Provider
provider "vault" {
  address = "https://你的Vault服务器地址:8200"
  # 认证方式：可通过环境变量VAULT_TOKEN传递，或配置token变量
  # token = var.vault_token
}

# 读取HashiCorp Vault中的目标密钥（KV v2版本）
data "vault_kv_secret_v2" "app_secrets" {
  mount_point = "secret"
  name        = "app/prod" # 替换成你的密钥路径
}

# 读取已存在的Azure Key Vault
data "azurerm_key_vault" "target_kv" {
  name                = "你的Azure Key Vault名称"
  resource_group_name = "你的资源组名称"
}

# 遍历Vault中的键值对，批量创建Azure Key Vault机密
resource "azurerm_key_vault_secret" "imported_secrets" {
  for_each = data.vault_kv_secret_v2.app_secrets.data

  name         = each.key
  value        = each.value
  key_vault_id = data.azurerm_key_vault.target_kv.id
}

注意事项 #

• 如果需要迁移多个路径的密钥，可以使用data "vault_kv_secrets_list_v2"获取密钥列表，再通过for_each遍历
• 若你的Vault是KV v1版本，改用data "vault_kv_secret_v1"数据源
• 执行前记得先运行terraform init初始化Provider，terraform plan预览变更，确认无误后再terraform apply

补充：两种方案各有侧重，PowerShell适合快速一次性迁移，Terraform适合需要长期维护、可重复执行的场景，你可以根据自己的需求选择。

内容的提问来源于stack exchange，提问作者Mukteswar Patnaik