如果我们禁用 keyvault 的公共访问，如何访问 Azure 数据工厂

Question

那么，如果我们禁用 keyvault 的公共访问，我们如何获取 Azure 数据工厂、逻辑应用程序、Azure Synapse 和 Azure DataBricks 的秘密或密钥。

我通过使用出站 IP 地址找到了 AppServices 和 FunctionApps 的解决方案，如果我们禁用 keyvault 的公共访问，我需要一个访问 ADF、synapse、logicapps 和 databricks 的解决方案。 我尝试使用服务主体并授予权限，但它不起作用。

请帮我解决问题。

Answer 1

即使您禁用公共访问，您仍然可以保留“允许受信任的 Microsoft 服务绕过此防火墙”，从而允许您提到的 MS 服务具有访问权限。 您还可以创建一个专用终结点，因此将密钥保管库添加到您的专用 .net。

所有这一切都与网络有关——没有被防火墙阻止。 您还需要向用于访问密钥保管库的服务授予权限，例如，使用服务原则或托管标识。

Answer 2

我试图在我的环境中重现相同的内容，以使用私有端点访问 Azure key Vault：

我已经创建了具有所需配置的.net 。

Subnet and AddressSpace

Azure 传送门 > Virtual.networks > 创建

使用专用终结点创建密钥保管库。

Azure 门户 > 密钥保管库 > 创建密钥保管库

注意在网络部分下取消选中公共访问。

创建Keyvault 后，检查专用端点配置状态，如下所示。

如果您尝试从 public inte.net 访问Azure Keyvault，您将遇到未经授权的错误，如下所示。

Azure Keyvault可通过 private.network 访问，如下所示。

要使用 Azure keyvault 访问Azure Datafactory，请分配服务主体。

Required Role: Key Vault Reader

Keyvault访问策略分配给 ADF 托管标识。

Ex: hellotestdata

您可以将 Azure Key Vault 添加为 Azure 数据工厂中的链接服务。 有权访问密钥保管库的 ADF 的托管标识可用于将 ADF 连接到 Azure 密钥保管库，如下所示。

Azure Key Vault 已成功链接到ADF 。

参考： 将凭据存储在 Azure Key Vault 中