Как авторизовать клиентов в каталоге, отличном от по умолчанию, для KeyVault

Question

Я создал KeyVault в своей подписке Azure и клиентское приложение в одной из моих каталогов Azure AD. Однако клиентское приложение не зарегистрировано в каталоге по умолчанию подписки.

Когда я запускаю следующий командлет PowerShell, он пытается найти принципала службы в каталоге по умолчанию для подписки и не сможет его найти.

PS > Set-AzureKeyVaultAccessPolicy -VaultName <vaultname> 
     -ServicePrincipalName <principal guid> -PermissionsToSecrets Get 

Я нашел an article, описывающую, как изменить каталог по умолчанию для подписки на портале управления, но было интересно, как сделать то же самое с помощью PowerShell.

Командлет 'Select-AzureSubscription', похоже, не поддерживает изменение каталога по умолчанию. Не поддерживает 'Set-AzureKeyVaultAccessPolicy' параметр, указывающий, в какой директории он должен выглядеть.

Answer 1

Ключевое хранилище может разрешать только приложениям (клиентам), зарегистрированным в каталоге, связанном с подпиской Azure, и единственный способ (в настоящее время) изменить каталог «home», связанный с подпиской, осуществляется через портал управления Azure.

Answer 2

Я бы предположил, что это так же спроектированное поведение и не может представить, как и почему оно изменилось.

Абонентская подписка с прикрепленным к ней Azure Active Directory, это каталог, который будет использоваться для аутентификации, когда кто-то пытается получить доступ к ресурсам.

Хотя вы можете создавать доверительные отношения с другими активными каталогами, просто создание нового AAD автоматически не разрешает этому домену доверять Azure.

Key Vault предназначен только для пользователей, прошедших проверку подлинности, и предназначен для обеспечения безопасных данных для этих пользователей. Поскольку между несколькими созданными вами каталогами нет механизма проверки подлинности, для определения того, к кому принадлежат эти каталоги, нет механизма Key Vault.

Ключ Vault должен решить принцип обслуживания через Active Directory, подключенный к подписке, в которой он работает (независимо от того, находится ли он непосредственно через этот каталог или через другой домен, которому он доверяет). Все остальное создало бы дополнительные атаки и значительно ослабило бы продукт.