Xamarin.Forms应用通过Azure.Identity访问Azure KeyVault的问题咨询

异常原因说明 #

机密客户端流相关错误 #

ClientSecretCredential、DefaultAzureCredential（默认会尝试机密客户端流）属于服务端可信环境专用的机密类凭证，移动平台、用户侧桌面环境不属于可信安全域，微软官方明确不支持这类环境使用机密客户端流，所以会触发平台不支持的异常。

MSAL关联报错说明 #

MSAL是微软统一身份认证协议的官方实现库，所有Azure服务身份验证、Microsoft Graph、Office 365 API认证都基于同一套OAuth2/OpenID Connect协议，Azure Identity库底层依赖MSAL实现认证逻辑，因此报错会关联MSAL的相关说明。

托管身份报错说明 #

ManagedIdentityCredential仅在Azure云原生环境（如Azure VM、Azure Function、App Service等）中可用，这类环境会内置托管身份的本地端点用于认证，本地设备、移动设备不存在该端点，因此无法使用，也没有配置的必要。

正确实现方案 #

你当前的核心需求可以通过托管身份授权的中间层+细粒度临时凭证的架构实现，完全满足代码无敏感信息、安全访问Azure存储和其他服务的要求：

架构设计 #

• 部署一层轻量中间层（推荐用Azure Function，成本极低），为中间层开启系统分配托管身份，不需要在中间层的代码、配置中写入任何密钥。
• 为该托管身份分配对应权限：
  • Key Vault的机密读取权限，用于读取存储SAS根密钥、SAP服务凭证等敏感信息
  • 存储账号的SAS生成权限，用于生成细粒度临时凭证
• 中间层启用Azure AD身份验证，仅合法请求可以调用接口，匿名用户无法访问。

访问流程 #

• 移动应用端使用MSAL公共客户端流完成用户认证（若应用无需用户登录，可使用Azure Attestation做应用合法性校验），仅需在代码中配置Azure AD公共客户端ID，该ID不属于敏感信息，泄露不会产生安全风险。
• 移动端携带认证令牌调用中间层接口，请求对应资源的访问权限。
• 中间层校验请求合法性后，根据资源类型生成对应凭证：
  • 若请求Blob资源：生成仅针对该Blob、有效期可自定义（通常设为5-15分钟）、仅包含所需操作权限的SAS令牌返回给移动端
  • 若请求SAP等其他服务：可以将请求转发到对应服务，或生成临时访问凭证返回，敏感凭证永远不会暴露给移动端
• 移动端使用拿到的临时凭证访问对应资源即可。

安全优势 #

• 所有全局敏感信息（存储连接字符串、SAP账号密码等）仅存储在Key Vault中，只有中间层的托管身份有权限读取，不会在任何代码、配置、传输报文中泄露
• 移动端仅能拿到细粒度、时效性的临时凭证，就算凭证泄露也不会影响全局资源安全
• 全程没有任何密钥类敏感信息写入移动端或中间层的代码，完全符合需求。

内容的提问来源于stack exchange，提问作者Andres Talavera