ADF中Blob链接服务：Azure Key Vault与托管标识选择及实操疑问

一、理想实现方案：结合Azure Key Vault存储凭据 #

Git模式下ADF禁止将敏感信息存入仓库，因此Azure Key Vault（AKV）是存储链接服务凭据的标准方案——既能保证安全，又能符合DevOps协作流程，避免直接发布对主分支的影响。具体步骤如下：

• 配置AKV权限：确保AKV已创建，在AKV的「访问策略」中，为ADF的系统分配托管标识添加「获取」机密的权限（无需额外密钥，托管标识自动完成认证）。
• 创建AKV链接服务：在ADF中新建链接服务，类型选择「Azure Key Vault」，选择对应AKV的订阅和名称，认证方式选「系统分配托管标识」，完成后测试连接。
• 存入Blob连接字符串：在AKV的「机密」页面新建机密，将Blob存储的连接字符串作为值填入，可设置合理的过期时间。
• 创建Blob链接服务：选择「Azure Key Vault」作为认证类型，关联已创建的AKV链接服务，然后选中AKV中存储的Blob连接字符串机密。
• 正常Git流程操作：该链接服务的配置不含敏感信息，可安全提交到功能分支，后续通过PR合并到主分支，再通过ADF发布管道正式发布，不会触发立即发布。

二、直接使用连接字符串认证的链接服务：运行与测试流程 #

如果暂时选择直接使用连接字符串，可按以下流程操作，同时需注意安全风险：

• 确认立即发布：创建时系统提示该链接服务会直接发布到ADF服务（不会进入Git仓库），确认后完成创建。
• 验证连接有效性：在链接服务页面点击「测试连接」，确认能正常访问Blob存储。
• 关联管道活动：将该链接服务作为数据源或目标，添加到管道的复制活动等组件中。
• 调试与运行管道：
  • 点击管道页面的「调试」按钮，直接启动运行（调试会调用已发布的链接服务，因为该资源已直接发布到ADF服务）。
  • 进入「监控」页面查看运行日志，确认每个活动的执行状态和输出。
• 协作注意事项：该链接服务不会被同步到Git仓库，其他开发者若需使用，需自行创建并发布（不建议共享连接字符串，存在泄露风险）。

三、最佳实践建议 #

• 敏感凭据必存AKV：所有包含敏感信息的连接字符串、密钥、密码都应存入Azure Key Vault，这是ADF Git模式下的强制安全规范。
• 严格遵循Git分支策略：开发工作在独立功能分支完成，提交PR后合并到主分支，再通过正式发布流程部署到ADF服务，避免直接发布操作破坏主分支的稳定性。
• 禁止Git存储敏感信息：ADF会自动拦截包含敏感字段的资源提交，直接发布的资源无法进入版本控制，不利于协作和问题回溯。
• 最小权限原则：给ADF分配AKV的权限仅保留「获取」机密的必要权限，避免过度授权带来的安全风险。

内容的提问来源于stack exchange，提问作者Techchamp Pgm