如何让AKS托管应用安全访问SharePoint数据？无密钥方案探讨

一、你提出的托管身份方案完全可行 #

你的思路完全契合安全要求与Azure原生能力的设计方向，核心优势如下：

• 彻底消除客户端密钥管理：托管身份由Azure自动维护凭证，应用无需存储或管理Client ID/Secret，从根源规避密钥泄露风险。
• 天然适配Azure生态：托管身份是Azure原生身份服务，与AKS、Microsoft Graph的集成度极高，无需额外第三方组件。
• 可实现最小权限控制：通过Microsoft Graph的Sites.Selected权限，能精准限定托管身份仅访问指定的SharePoint站点或文档库，满足安全团队的权限隔离要求。

具体落地步骤：

1. 创建用户分配的托管身份：在Azure门户或通过az identity create命令创建独立托管身份，便于权限管控与复用。
2. 关联托管身份到AKS Pod：
   • 若使用AKS 1.24及以上版本，可直接在Deployment/YAML中通过podTemplate.spec.managedIdentity字段指定托管身份ID，无需额外组件。
   • 旧版本AKS可部署aad-pod-identity组件，通过AzureIdentity和AzureIdentityBinding资源关联Pod与托管身份。
3. 授予站点级细粒度权限：
   • 先给托管身份授予Microsoft Graph的Sites.Selected应用权限（仅需应用权限，无需委派权限）。
   • 再通过Microsoft Graph API调用，将目标SharePoint站点的具体权限（如文档库读取权限）分配给该托管身份，确保仅能访问指定资源。
4. 应用侧改造：应用通过Azure实例元数据服务（IMDS）获取访问Microsoft Graph的令牌，调用API读取SharePoint文件，无需任何硬编码凭证。

二、更优细节优化 #

1. 优先使用AKS原生托管身份集成：新版AKS的原生托管身份支持无需部署aad-pod-identity，减少运维复杂度，更稳定可靠。
2. 权限极致精细化：除了Sites.Selected权限，在SharePoint站点内给托管身份分配文档库级别的读取权限（而非站点全权限），进一步缩小权限范围。
3. 权限验证：获取托管身份的访问令牌后，在Graph Explorer中测试调用，确认无法访问目标站点外的其他SharePoint资源，验证最小权限是否生效。

三、可选替代方案：Azure AD Workload Identity #

如果追求更云原生的K8s身份方案，可采用Azure AD Workload Identity，它基于OIDC协议实现K8s服务账号与Azure AD身份的绑定，同样无需管理密钥，且更符合K8s生态的身份管理模式，是微软当前推荐的AKS身份集成方案。其核心逻辑和托管身份一致，只是身份绑定方式更贴近K8s原生机制。

内容的提问来源于stack exchange，提问作者Titulum