如何为Logic App配置接入Key Vault的专用终结点？

前置校验 #

先确认以下条件全部满足，再开始后续配置：

• 你的XXXXX标识对应的Logic App实例支持VNet集成（标准版原生支持，消费版需为2022年后上线的支持出站VNet集成的实例，老版ISE实例也可支持）
• Key Vault侧已创建完成专用终结点，该终结点所在VNet和Logic App规划集成的VNet为同一VNet，或两个VNet已完成对等互联、路由规则配置正确，无网络ACL阻断
• 已为Logic App开启托管身份（系统分配/用户分配均可），后续会给该身份分配Key Vault的机密读取权限
• Key Vault已配置为拒绝所有公网访问，仅允许通过专用终结点连接

步骤1：为Logic App配置VNet出站集成 #

要让Logic App流量走专用通道访问Key Vault，必须先配置VNet集成：

• 进入Logic App资源页，左侧菜单找到「网络」选项
• 在出站流量配置区选择「VNet集成」，点击添加
• 选择和Key Vault专用终结点网络连通的VNet，分配一个未被其他服务（比如其他专用终结点、App Service计划实例）占用的空子网，完成集成部署
• 部署完成后做基础连通性校验：在同VNet同子网的测试虚拟机上解析你的Key Vault域名，确认返回的是专用IP段地址，而非公网IP，证明专用DNS解析生效

步骤2：配置Key Vault访问权限 #

• 进入Key Vault资源页，找到访问配置入口，先确认当前Key Vault用的是访问策略模式还是Azure RBAC模式
• 若为访问策略模式：新增访问策略，机密权限仅勾选「获取」，主体选择你之前为Logic App开启的托管身份，保存策略
• 若为Azure RBAC模式：给Logic App的托管身份分配「Key Vault 机密用户」内置角色，作用域限定为当前Key Vault即可，不要给更高权限
• 回到Key Vault的「专用终结点连接」页，确认之前创建的专用终结点连接状态为「已批准」，关联的专用DNS区域记录已正常生成

步骤3：Logic App侧安全拉取密钥（替代硬编码KeyVault引用串的方案） #

你提到不想在应用设置中直接写@Microsoft.KeyVault(VaultName=XXXXXXXXXXXXX;SecretName=XXXXXXXXXXXXX)格式的引用串，可通过工作流内动态拉取的方式实现，全程流量走专用终结点，不会在静态配置中存储密钥关联信息：

• 进入Logic App设计器，在需要使用密钥的步骤之前，新增Azure Key Vault连接器的「获取机密」操作
• 新建该操作的服务连接，认证方式选择「托管身份」，选中你之前配置好权限的Logic App托管身份，选择目标Key Vault完成连接创建——该连接的所有出站流量会自动走之前配置的VNet集成通道，通过Key Vault的专用终结点访问，不会走公网
• 在后续需要使用密钥的参数位置，直接引用「获取机密」操作返回的value字段即可
• 如果你确实需要在应用设置中留存参数，仅需在应用设置中存储机密名称即可，不要存储完整引用串或密钥值，运行时通过Key Vault操作结合存储的机密名称动态拉取值

步骤4：安全校验与加固 #

• 手动触发一次Logic App测试运行，确认「获取机密」操作执行成功，无403权限错误、无网络超时问题
• 查看Key Vault的诊断日志，确认本次访问的来源IP为VNet内的专用地址，无公网IP访问记录
• 在Logic App的工作流设置中，将引用密钥值的字段标记为敏感内容，开启日志模糊处理，避免密钥被记录到运行日志中造成泄露

注意：不要为了方便给Logic App分配Key Vault的全量权限，遵循最小权限原则，仅给机密获取权限即可。

内容的提问来源于stack exchange，提问作者Filipa