如何通过服务主体借助Azure Key Vault访问Azure存储账户

基础配置校验 #

• 确认服务主体核心参数有效性：核对使用的租户ID(Tenant ID)、应用程序ID(Client ID)、客户端密钥(Client Secret) 与AAD应用注册信息、Key Vault中存储的内容完全一致，重点检查客户端密钥是否超出设置的有效期。
• 区分ARM权限与数据权限：你配置的存储账户Contributor角色属于Azure资源管理层面权限，不包含存储数据访问权限，需要单独给服务主体分配容器级别的Storage Blob Data Contributor（或适配业务需求的最小数据权限，比如Storage Blob Data Reader）角色，该权限需在存储账户或对应容器的「访问控制(IAM)」中配置。

权限配置遗漏排查 #

• Key Vault访问规则校验：
  • 若Key Vault使用访问策略模型，确认授予服务主体的权限包含「机密-获取(Get)」权限，仅配置列表权限无法读取具体机密内容
  • 若Key Vault使用RBAC模型，确认服务主体被授予Key Vault Secrets User角色
• 存储账户网络限制校验：如果存储账户开启了IP防火墙、VNet访问限制，需要将外部Web应用的出口IP添加到存储账户防火墙白名单；若应用部署在Azure服务内，需确认是否开启了「允许受信任的Azure服务访问该存储账户」例外规则
• 存储账户认证方式校验：确认存储账户未禁用Azure AD身份验证，部分合规配置会仅开放存储密钥访问，此时服务主体的AAD鉴权逻辑会直接失效

连接逻辑校验 #

• 先单独验证服务主体的权限有效性：可以通过Azure CLI执行如下命令验证权限是否正常：
  1. 用服务主体登录：az login --service-principal -u <替换为ClientID> -p <替换为ClientSecret> --tenant <替换为TenantID>
  2. 验证Key Vault读取权限：az keyvault secret show --name <替换为存储密钥的机密名称> --vault-name <替换为Key Vault名称>
  3. 验证存储访问权限：az storage blob list --account-name <替换为存储账户名> --container-name <替换为容器名> --auth-mode login
• 确认访问路径合法性：访问Blob/ADLS Gen2的路径不要出现拼写错误、大小写错误，存储账户默认对路径大小写敏感。

内容的提问来源于stack exchange，提问作者Promo