使用ARM模板结合Key Vault创建Azure SQL的安全问题及最佳实践咨询

核心误区纠正 #

你之前的问题根源是走入了「必须在模板内创建KV且从参数文件传入明文存为机密」的误区，实际有两种完全不暴露明文的实现方式，均符合Azure安全规范： #

方案1：预创建Key Vault + 机密引用传参（推荐生产环境使用） #

这是Azure官方推荐的生产级部署方案，全程不会在任何配置文件中出现明文密码：

• 提前单独创建Key Vault，完成以下配置：
  • 开启允许Azure资源管理器访问以获取机密的部署权限
  • 给执行ARM部署的身份（用户账号/服务主体/托管标识）授予Key Vault的机密读取权限
  • 由管理员提前将SQL管理员密码手动存入Key Vault作为机密，不需要写入任何代码或配置文件
• 部署ARM模板时，在parameter.json中直接使用Key Vault引用语法传值，ARM部署时会自动拉取机密值，不会明文暴露：

{
  "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentParameters.json#",
  "contentVersion": "1.0.0.0",
  "parameters": {
    "sqlAdminUsername": {
      "value": "你的管理员用户名"
    },
    "sqlAdminPassword": {
      "reference": {
        "keyVault": {
          "id": "/subscriptions/<订阅ID>/resourceGroups/<KV所属资源组>/providers/Microsoft.KeyVault/vaults/<KV名称>"
        },
        "secretName": "<存储SQL密码的机密名称>"
      }
    }
  }
}

方案2：ARM模板内动态生成密码并存入Key Vault（适合测试/自动化部署场景） #

如果不需要预定义密码，可以直接在ARM模板中生成符合复杂度要求的随机密码，直接同步赋值给SQL管理员和存入Key Vault，全程不需要在参数文件中配置任何密码相关值：

• 首先在ARM模板中配置Key Vault的资源定义，开启软删除、清除保护，同时授予部署身份机密写入权限
• 用ARM内置函数生成符合SQL复杂度要求的随机密码，示例变量定义：

"variables": {
  "sqlAdminPassword": "[concat(uniqueString(resourceGroup().id, newGuid()), 'R@nd0mSuffix')]"
}

• 部署时将该变量同时赋值给SQL服务器的管理员密码参数、以及Key Vault的机密值即可，部署完成后直接从Key Vault中获取生成的管理员密码使用

注意事项 #

• 不要在ARM模板的outputs段输出任何密码相关的敏感值，避免部署日志泄露凭证
• Key Vault的访问权限需要最小化，仅给必要的身份开放机密读写权限

内容的提问来源于stack exchange，提问作者Avilon