如何让Corp租户的Azure Function（UAMI认证）安全无密钥消费PME租户Event Hub？

场景概述 #

我们的场景涉及两个独立Azure AD租户：

• PME租户：托管目标Azure Event Hub资源
• Corporate（Corp）租户：托管Azure Function App，该应用采用**用户分配托管标识（UAMI）**完成身份验证
  约束要求：受微软安全与合规（S360）准则限制，禁止使用共享访问密钥或客户端密钥。

已验证的安全可行方案 #

1. B2B来宾用户 + RBAC授权 #

• 将Corp租户中的UAMI（或其对应的应用注册）以来宾身份邀请至PME租户
• 在PME租户内为该来宾身份分配Azure Event Hubs Data Receiver RBAC角色，授予Event Hub数据接收权限

2. Azure Lighthouse委托授权 #

• PME租户通过Azure Lighthouse将Event Hub资源的RBAC权限委托给Corp租户的指定范围（如订阅、资源组）
• Corp租户管理员可直接在自身Azure门户内，为本地UAMI分配Event Hub的访问权限（无需跨租户邀请操作）

关于Azure Lighthouse方案的疑问解答 #

1. 是否有成功实施案例？ #

是的，Azure Lighthouse在多租户资源共享场景中已被广泛落地：

• 运维团队管理多客户/子公司Azure资源时，通过Lighthouse委托权限，避免逐个租户创建来宾账户的繁琐操作
• 跨部门资源协作场景（如数据部门向业务部门开放Event Hub数据），由资源所属租户（PME）委托权限后，业务部门（Corp）可自主管理本地服务的访问权限，提升运维效率

2. 使用UAMI+RBAC实现跨租户Event Hub访问的注意事项 #

• 最小权限原则：仅为UAMI分配所需的最小RBAC角色（如仅Azure Event Hubs Data Receiver），避免授予超出需求的管理权限
• Lighthouse范围管控：PME租户配置委托时，严格限定资源范围（比如仅指定单个Event Hub资源组，而非整个订阅），防止过度授权
• 权限生命周期管理：定期清理无效权限，比如UAMI被删除或Function App下线后，及时在PME租户（B2B方案）或Lighthouse委托设置中移除对应权限
• 审计与监控：启用Azure Activity Log，监控跨租户权限的分配、变更，以及UAMI对Event Hub的访问行为，确保符合合规要求

3. 是否有更优方案？ #

如果需要更细粒度的访问控制，可结合Azure Event Hub IP防火墙和虚拟网络服务端点，限制UAMI的访问来源IP或虚拟网络，进一步提升安全性。

从管理效率来看：若两个租户属于同一B2B协作组织，B2B来宾方案配置更简单；若需要Corp租户自主管理本地UAMI的权限，Azure Lighthouse方案的扩展性和运维效率更优，适合长期运维场景。

内容的提问来源于stack exchange，提问作者Nihal Gupta