Azure KeyVault密钥更新最佳实践及DevOps流水线部署咨询

1. 流水线是否应该负责更新KeyVault中的密钥？ #

是，推荐由流水线统一承担KeyVault密钥的写入、更新职责，从根源上避免人工操作带来的配置不一致、操作失误、权限泄露等问题。

关于密钥的存储方案：

• 安全要求中等的场景，使用加锁的Azure DevOps变量组是可行方案：需开启变量组的机密变量功能，密钥不会明文输出到部署日志；同时给变量组配置最小访问权限，仅开放给部署流水线服务主体、极少数核心运维人员，其余团队成员无读取权限即可。
• 安全要求更高的场景，不推荐将密钥导入DevOps变量组，可采用更安全的实现方式：
  • 给Azure DevOps流水线的服务账号授予KeyVault的机密设置者最小权限（不要分配所有者、机密管理者这类过高权限），密钥仅在首次配置、需要轮转的场景下，由有权限的人员直接操作更新到KeyVault，流水线部署时仅需要将KeyVault的机密引用写入Function App配置即可，全程不会将密钥明文暴露在DevOps侧。
  • 如果使用Bicep定义基础设施，可以直接在Bicep代码中配置Function App的应用设置直接引用KeyVault机密，不需要在流水线、Bicep参数中传入明文密钥，示例配置如下：

    resource functionApp 'Microsoft.Web/sites@2022-03-01' = {
      name: functionAppName
      properties: {
        siteConfig: {
          appSettings: [
            {
              name: 'BACKEND_API_KEY'
              value: '@Microsoft.KeyVault(SecretUri=${keyVault.properties.secretUri}secrets/backend-api-key/)'
            }
          ]
        }
      }
    }
    

  • 有自动轮转密钥需求的场景，可以直接启用KeyVault自带的密钥自动轮转功能，搭配Function App的系统托管身份直接读取KeyVault机密，全程不需要流水线、人工介入处理密钥明文。

2. KeyVault中的密钥是否应当手动更新维护？ #

不推荐全手动更新维护，仅极小规模团队、极低频率密钥变更的场景可以临时采用该方案。

手动更新确实存在你提到的所有问题：会拉低流水线成熟度，引入不可控的人工干预环节，不符合不可变部署的原则；遇到灾备恢复、新环境搭建的场景时，手动维护的密钥很容易出现遗漏、配置不一致的问题，拉长环境恢复的时间。

推荐的密钥更新实践：

• 密钥生成、轮转、更新到KeyVault的全流程都通过流水线自动化实现，仅在需要触发变更时由人工操作触发流水线即可，不需要人工直接登录Azure操作KeyVault。
• 如果有合规要求必须人工审核密钥变更，可以在密钥更新流水线中加入人工审批节点，审批通过后流水线自动执行更新操作，既满足合规要求，又规避了人工直接操作的风险。
• 所有密钥的元数据（名称、轮转周期、适用环境）都统一记录在基础设施代码仓库中，环境重建时直接运行部署流水线即可自动完成所有密钥相关配置，不需要人工介入。

内容的提问来源于stack exchange，提问作者user527614