为什么要使用托管标识？

Question

使用托管身份访问 Azure 服务有什么好处？ 我经常看到提到的是，由于这一点，您不会向配置文件提交秘密。 但是我正在使用 ARM 模板部署所有资源，而且我的配置文件中也没有任何秘密。 连接字符串等设置是在部署期间设置的。 我在这里看到的唯一区别是，使用托管身份，即使有人访问 Azure 门户网站，他也无法获得我的数据库的登录名和密码。 但是这个人已经可以访问我的订阅了。 那么这是一个问题吗？

托管身份还能为我提供什么？

Answer 1

这不仅与是否存储配置机密有关，还与需要存储和管理多少机密有关。
当您创建托管标识（特别是系统分配的托管标识）时，您的团队中的任何人都无需管理甚至有权访问与应用程序标识相关的机密。 身份已发布，您可以为其提供对各种资源（例如密钥保管库）的访问权限。 没有其他人能够使用该应用程序的身份来利用该访问权限。

如果您将托管服务标识与密钥保管库之类的东西结合使用，您还可以更轻松地限制有权访问配置机密的人数。 您可以仅向少数人提供对保管库的访问权限，并且仍然允许其他人查看/编辑应用程序及其非机密配置。

Answer 2

你只是看到了幸福的道路。 例如，如果攻击者利用您应用程序中的漏洞并获取连接字符串怎么办？ 如果您使用托管身份，他/她将无法模拟您的服务。

Answer 3

• 秘密/密钥管理。 轮换机密是最佳实践。 这是使用托管身份自动完成的。 如果手动更改密码/编写脚本会很复杂。

• 秘密/关键库存。 可以更轻松地查看哪些应用程序具有哪些权限。

• 撤销访问。 可以轻松撤销对某个应用程序的访问权限。 通过更新例如密码来撤销访问可能会很可怕。

• 粒度。 授予对存储帐户的连接字符串访问权限将授予对该存储帐户中所有内容的完全访问权限。 通过对资源使用 MI/RBAC，可以设置例如对特定 blob 的读取访问权限。

Answer 4

为什么不在连接字符串中使用加密。 托管 ID 位于机器上，如果有人可以访问机器，则可能会受到损害。