Wie kann MSI den Funktions-App-Zugriff auf Key Vault ermöglichen?

Question

Ich habe eine Funktion App mit Managed service identity (MSI) aktiviert.

Ich versuche, diese Funktion App zu verwenden, um auf ein Geheimnis von meinem Key Vault zuzugreifen.

Ich habe den Code in meine Function App hinzugefügt, um das Geheimnis zu erhalten.

AzureServiceTokenProvider azureServiceTokenProvider = new AzureServiceTokenProvider(); 

var keyVaultClient = new KeyVaultClient(new KeyVaultClient.AuthenticationCallback(azureServiceTokenProvider.KeyVaultTokenCallback)); 

var secret = await keyVaultClient.GetSecretAsync("https://test-prototype-vault.vault.azure.net/secrets/batman/guidhere").ConfigureAwait(false); 

Ich erhalte den folgenden Fehler:

Microsoft.Azure.WebJobs.Script: One or more errors occurred. Microsoft.Azure.KeyVault: Access denied. 

Ich denke, das liegt daran, dass ich zu müssen (wie in dem Link oben beschrieben).

You may need to configure the target resource to allow access from your application. For example, if you request a token to Key Vault, you need to make sure you have added an access policy that includes your application's identity.

Ich weiß nicht, wie das geht. Ich bin zu meinem Key Vault gegangen und habe versucht, eine Zugriffsrichtlinie hinzuzufügen. Ich kann die Anwendung für die Option "Auswahl der Option" nicht finden.

---

Einrichtung der Azure-Funktion.

Was passiert, wenn ich versuche, den Haupt hinzuzufügen.

Answer 1

Dieser Blog hat Details, aber Sie müssen in Schlüssel Gewölbe gehen und die Funktion App Zugriff auf Geheimnisse in einem neuen Zugangspolitik

https://medium.com/@jeffhollan/getting-key-vault-secrets-in-azure-functions-37620fd20a0b

Der Name Ihrer Funktion App geben sollte in der Benutzerliste anzeigen