本地机密存储是否为敏感数据最佳实践？Azure应用配置连接串存储咨询

开发环境最佳实践（无需本地存储敏感信息） #

针对你不需要每个开发人员在本地secret store存储连接串的需求，最优方案是走身份认证链路绕开连接串使用：

• 给所有开发人员分配开发环境Azure App Configuration实例的App Configuration Data Reader权限，开发人员本地只需通过Azure CLI登录自己的企业Azure AD账号即可，应用代码层面直接使用Azure AD身份验证拉取配置，全程不需要任何连接串存储在本地。
• 若暂时无法适配AAD认证，可将开发环境连接串统一存储在团队共享的Azure Key Vault实例中，给开发人员分配Key Vault的密钥读取权限，应用启动时先通过本地AAD身份从Key Vault拉取连接串，再对接App Configuration，同样不需要开发人员本地存储任何敏感值。
• 所有配置文件模板中仅保留连接串占位符，禁止将任何真实敏感值提交到代码仓库。

生产环境存储在Azure Web App环境变量的合理性 #

这属于合规的良好实践，还可以进一步优化安全性：

• Azure Web App的应用设置（会自动注入为应用运行时的环境变量）默认是静态加密存储的，只有持有Web App管理权限的账号可以查看明文，能够满足绝大多数场景的安全要求。
• 更推荐的最优方案是给Web App分配系统托管标识，给该标识分配App Configuration的读取权限，应用直接通过托管标识拉取配置，完全不需要在环境变量中存储任何连接串，从根源上避免连接串泄露的风险。

内容的提问来源于stack exchange，提问作者mummy