如何在Power Automate的SharePoint环境中安全存储API授权令牌？

以下是几种安全合规的存储方案，适配SharePoint+Power Automate的场景：

1. 使用Power Platform机密环境变量 #

这是最推荐的原生闭环方案，无需额外工具：

• 进入Power Platform管理员中心，找到对应环境，创建机密类型的环境变量，输入令牌值后系统会自动加密存储，全程不会明文显示。
• 在Power Automate的HTTP操作中，直接通过@{variables('你的机密环境变量名称')}引用该变量，流运行时会自动解密并传入请求头。
• 权限控制：仅环境管理员或被授权用户能修改变量，流运行依赖系统托管身份，无需额外权限配置。

2. 基于SharePoint站点的加密列表存储 #

如果依赖SharePoint原生能力，可采用此方式：

• 在目标SharePoint站点创建隐藏列表（创建后修改列表设置，将“导航”设为不显示在站点导航中），添加一个单行文本字段（命名为AuthToken）。
• 严格配置列表权限：仅给Power Automate流的运行账户（通常是「Flow Service Account」或配置的托管身份）开放读取权限，移除所有其他用户的权限。
• 在Power Automate中添加「获取项目」操作，读取该列表的唯一项，提取AuthToken字段值后传入HTTP请求头。
• 可选增强：存入列表前用Power Automate的「加密」操作对令牌加密，读取时再解密，进一步提升安全性。

3. 集成Azure Key Vault（适用于有Azure权限的场景） #

若组织使用Azure生态，可借助Key Vault的专业加密能力：

• 在Azure Key Vault中创建机密项，存入API授权令牌。
• 在Power Automate中添加「Azure Key Vault - 获取机密」连接器，配置好Key Vault的连接信息（使用托管身份或服务主体）。
• 调用该连接器获取令牌值，再传入HTTP请求头。
• 优势：Key Vault提供硬件级加密，支持精细的权限审计、过期策略等进阶功能。

内容的提问来源于stack exchange，提问作者Keshari Suwal