外部托管Web应用访问Azure Key Vault的成本最优方案咨询

完全可以仅通过Key Vault实现你的需求，整体成本极低，无需额外采购其他Azure服务。
你找不到访问策略配置入口的核心原因是：Key Vault的访问策略仅绑定Azure AD身份实体，托管在非Azure平台的外部Web应用没有默认对应的Azure AD身份标识，所以无法直接在访问策略的可选主体列表中找到，只需先为该外部应用创建一个Azure AD服务主体即可解决。

具体实现步骤 #

• 注册Azure AD应用身份
  进入Azure Portal的Azure Active Directory服务，选择「应用注册」-「新注册」，填写应用名称，重定向URL若无特殊OAuth需求可留空，注册完成后记录三个关键参数：客户端ID(Application ID)、租户ID(Tenant ID)；再进入「证书和密码」板块生成一个客户端密码(Client Secret)，该密码仅生成时可见，请妥善保存。
• 配置Key Vault访问策略
  进入Key Vault的Access Policies配置页，选择「创建」，根据业务需求分配对应权限（比如仅需要读取机密就只勾选机密的Get权限即可），在「主体」步骤的搜索框输入刚才注册的Azure AD应用的名称或客户端ID，选中后完成访问策略创建即可。
• 适配外部Web应用调用逻辑
  在你的外部Web应用中引入对应开发语言的Azure Key Vault官方SDK，使用之前记录的客户端ID、租户ID、客户端密码做服务主体认证，即可正常调用Key Vault接口存取密钥、机密等内容。
• 加固网络访问规则
  你已经在Key vault -> Networking配置页放开了外部Web应用的IP访问权限，建议同时关闭Key Vault的公网默认访问权限，仅保留你配置的IP白名单，避免公网恶意扫描和未授权访问尝试。

成本优化建议 #

• Azure AD应用注册使用免费层即可满足需求，无额外成本
• Key Vault按实际请求量计费，建议在外部Web应用侧添加本地缓存，缓存已获取的机密内容，不要每次使用都发起Key Vault调用，既降低请求延迟，也可以进一步减少计费请求次数
• 无极高安全等级要求的前提下，不需要配置私有链路等付费增值功能，仅使用IP白名单的公网访问模式即可达到成本最优。

内容的提问来源于stack exchange，提问作者Filip