如何利用Azure Key Vault实现Power Automate存储账户密钥轮换及连接器兼容？

一、避免手动编辑连接的密钥轮换方案 #

• 托管标识替代访问密钥
  为Power Automate逻辑应用分配系统/用户托管标识，在存储账户的IAM权限设置中，给该标识分配存储Blob数据参与者等所需权限。此方式完全摆脱访问密钥依赖，从根源上消除密钥轮换的手动操作需求。
• Key Vault自动轮换+动态获取
  将存储账户访问密钥存入Azure Key Vault机密并开启自动轮换，通过Power Automate的Key Vault连接器实时获取最新密钥，再通过API调用或连接引用的方式更新Blob存储的访问配置，无需手动编辑连接。

二、通过Azure Key Vault配置Blob存储连接的可行性 #

完全可以，具体实现路径：

1. 在Key Vault中创建存储账户访问密钥的机密项，开启机密自动轮换（可自定义轮换周期）。
2. 为Power Automate逻辑应用分配托管标识，在Key Vault的IAM中为该标识添加机密读取者权限。
3. 在逻辑应用中使用Azure Key Vault - 获取机密操作读取最新密钥，后续通过HTTP调用Blob存储REST API的方式完成Blob操作——将获取的密钥用于生成Shared Key授权头，实现动态密钥的使用，无需依赖固定的Blob存储连接器配置。

三、Blob存储连接器密码字段不支持变量的解决办法 #

• 连接引用+环境变量
  在Power Platform环境中创建环境变量，通过定时逻辑应用将Key Vault中的最新密钥同步至该变量。创建Blob存储的连接引用，将连接的密码字段绑定到这个环境变量。密钥轮换时，只需更新环境变量值，所有关联的逻辑应用连接会自动生效。
• 标准逻辑应用托管连接配置
  若使用标准型Logic Apps，可在connections.json配置文件中直接引用Key Vault机密，示例配置如下：

  {
    "connections": {
      "azureblob": {
        "connectionId": "/subscriptions/{订阅ID}/resourceGroups/{资源组}/providers/Microsoft.Web/connections/azureblob",
        "connectionName": "azureblob",
        "properties": {
          "parameters": {
            "accountKey": "@Microsoft.KeyVault(SecretUri='https://{密钥库名称}.vault.azure.net/secrets/{机密名称}')"
          },
          "authentication": {
            "type": "Custom"
          }
        }
      }
    }
  }
  

  配置完成后，逻辑应用会自动从Key Vault拉取最新密钥，无需手动维护连接密码。

内容的提问来源于stack exchange，提问作者Tinju