15、云环境中密钥管理与使用全解析

云环境中密钥管理与使用全解析

1. Azure Key Vault特性

Azure Key Vault作为托管服务，受益于Azure默认提供的一系列特性，这些特性对密钥安全至关重要，具体如下：
- Azure RBAC和访问策略 ：Azure通过身份访问管理层保护服务免受未经授权的使用，该层以Azure的基于角色的访问控制（Azure RBAC）和访问策略的形式存在。安全主体可以是用户账户、组账户或计算机账户。建议通过Azure RBAC为安全主体分配权限，这样能通过创建角色分配来控制对资源的访问。
- 高可用性 ：创建Key Vault时需指定其所在区域，其内容会在该区域内复制，同时也会复制到二级区域。若某个区域不可用，对Azure Key Vault的请求将自动路由到二级区域，无需额外配置。
- 日志记录、审计和监控 ：可通过诊断设置收集日志来审计Key Vault的使用情况，识别访问数据的人员。日志默认会流式传输到Azure存储账户，也可选择流式传输到Log Analytics工作区或Azure Event Hub。
- 与其他Azure组件集成 ：Azure Key Vault可与Azure Application Gateway、Azure SQL Server等集成。与Azure Kubernetes Service（AKS）的集成通过Kubernetes Secrets Store CSI Driver实现，为实现集成，Azure提供了工作负载身份（Workload Identity）的概念。