Azure Key Vault 密钥仓库

配置

要设置Azure Key Vault密钥仓库，请创建一个类型为secretstores.azure.keyvault的组件。 See this guide on how to create and apply a secretstore configuration. See this guide on referencing secrets to retrieve and use the secret with Dapr components.

也请参见本页面中的配置组件指南。

apiVersion: dapr.io/v1alpha1
kind: Component
metadata:
  name: azurekeyvault
  namespace: default
spec:
  type: secretstores.azure.keyvault
  version: v1
  metadata:
  - name: vaultName
    value: [your_keyvault_name]
  - name: spnTenantId
    value: "[your_service_principal_tenant_id]"
  - name: spnClientId
    value: "[your_service_principal_app_id]"
    value : "[pfx_certificate_contents]"
  - name: spnCertificateFile
    value : "[pfx_certificate_file_fully_qualified_local_path]"

元数据字段规范

自托管

Kubernetes

设置Key Vault和服务主体

先决条件

• Azure Subscription
• Azure CLI

步骤

1. 登录到 Azure 并设置默认订阅

   # Log in Azure
   az login
   
   # Set your subscription to the default subscription
   az account set -s [your subscription id]
   

2. 在一个区域中创建 Azure Key Vault

   az keyvault create --location [region] --name [your_keyvault] --resource-group [your resource group]
   

3. 创建一个服务主体

   使用新的证书创建一个服务主体，并将为期1年的证书存储在keyvault的证书库中。 如果你想为keyvault使用现有的服务主体，而不是创建新的服务主体，你可以跳过这一步。

   az ad sp create-for-rbac --name [your_service_principal_name] --create-cert --cert [certificate_name] --keyvault [your_keyvault] --skip-assignment --years 1
   
   {
      "appId": "a4f90000-0000-0000-0000-00000011d000",
      "displayName": "[your_service_principal_name]",
      "name": "http://[your_service_principal_name]",
      "password": null,
      "tenant": "34f90000-0000-0000-0000-00000011d000"
   }
   

   Save both the appId and tenant from the output which will be used in the next step

4. 获取 [your_service_principal_name] 的对象ID

   az ad sp show --id [service_principal_app_id]
   
   {
       ...
       "objectId": "[your_service_principal_object_id]",
       "objectType": "ServicePrincipal",
       ...
   }
   

5. 授予服务主体对你的 Azure Key Vault 的 GET 权限

   az keyvault set-policy --name [your_keyvault] --object-id [your_service_principal_object_id] --secret-permissions get
   

   现在，你的服务主体已经可以访问你的keyvault，你可以配置密钥仓库组件，以使用存储在keyvault中的密钥来安全地访问其他组件。

6. 使用 Azure 门户或 Azure CLI 从 Azure Key Vault 下载 PFX 格式的证书：

• 使用 Azure 门户：

  转到 Azure 门户上的密钥库，然后导航到 Certificates标签下的 Settings。 找到服务主体创建时创建的证书，命名为[certificate_name]，点击它。

  点击以PFX/PEM格式下载下载证书。

• 使用 Azure CLI:

  az keyvault secret download --vault-name [your_keyvault] --name [certificate_name] --encoding base64 --file [certificate_name].pfx
  

配置组件

• Self-Hosted
• Kubernetes

apiVersion: dapr.io/v1alpha1
kind: Component
metadata:
  name: azurekeyvault
  namespace: default
spec:
  type: secretstores.azure.keyvault
  version: v1
  metadata:
  - name: vaultName
    value: [your_keyvault_name]
  - name: spnTenantId
    value: "[your_service_principal_tenant_id]"
  - name: spnClientId
    value: "[your_service_principal_app_id]"
  - name: spnCertificate
    secretKeyRef:
      name: [your_k8s_spn_secret_name]
      key: [your_k8s_spn_secret_key]
auth:
    secretStore: kubernetes

kubectl apply -f azurekeyvault.yaml

参考资料

• Azure CLI Keyvault CLI
• 使用 Azure CLI 创建 Azure 服务主体
• 密钥构建块
• 指南：获取密钥
• 指南：在Dapr组件中引用密钥
• 密钥 API 参考