哈佛 Translation Company 推薦：如何選擇最佳翻譯服務
在云環境中，應用和數據的安全性是零信任策略的重點。Azure Key Vault等工具提供了一個強大的平臺，可以幫助管理和保護應用所需的機密信息。它不僅限于密鑰管理，還包括證書管理和應用程序的安全性。
Azure Key Vault通過以下方式支持零信任策略：
下圖展示了Azure Key Vault在管理機密方面的作用：
零信任策略在保護云端應用和數據方面提供了一個全面的框架，通過持續驗證和最小化權限確保數據始終受到保護。通過Azure Key Vault的集成，云環境中的安全性得到了進一步提升。
Azure Key Vault 是一個綜合性的密鑰管理解決方案，不僅限于秘密管理，還包括密鑰管理和證書管理。通過集中存儲應用程序的秘密信息，Azure Key Vault 有效地減少了意外泄露的風險，并消除了在應用程序代碼中嵌入安全信息的必要性。密鑰和秘密可以通過軟件或硬件安全模塊（HSMs）進行保護，以增強安全性。借助 Azure Active Directory 和 Azure RBAC，Azure Key Vault 提供了正確的身份驗證和授權機制，從而確保了安全存儲和訪問控制。
通過上圖可以看出，Azure Key Vault 提供了強大的功能來保護敏感信息的安全，支持零信任安全策略的實施。
Azure Key Vault 不僅自身提供了強大的安全管理功能，還能輕松集成到其他 Azure 服務中，例如 Azure Disk Encryption、SQL Server 和 Azure App Service。這種集成能力使得 Azure Key Vault 成為 Azure 生態系統中不可或缺的一部分，幫助用戶實現更高效的資源管理和安全策略。通過與其他服務的無縫集成，Azure Key Vault 可以簡化管理流程，提升整體系統的安全性和可用性。
在 Azure Key Vault 的廣泛應用中，其核心優勢在于能夠確保數據的安全加密、便捷的訪問控制以及與現有 Azure 服務的深度集成。這些功能不僅滿足了企業對于安全管理的高標準要求，還提升了整個云環境的運營效率。
在使用 Azure CLI 創建 Azure Key Vault 資源之前，首先需要創建一個資源組。資源組是 Azure 中管理和組織資源的邏輯容器。通過以下命令，可以在指定區域創建一個名為 myResourceGroup 的資源組：
az group create --name "myResourceGroup" --location "EastUS"創建資源組后，即可通過 Azure CLI 創建 Key Vault。確保 Key Vault 的名稱在 Azure 中是唯一的。以下命令將在 myResourceGroup 中創建一個名為 myKeyVault 的 Key Vault：
az keyvault create --name "myKeyVault" --resource-group "myResourceGroup" --location "EastUS"Azure Key Vault 提供了安全存儲和管理秘密（如密碼和連接字符串）的功能。要在 Key Vault 中創建一個秘密，可以使用以下命令，將名稱為 ExampleSecret 的秘密設置為 MySecretValue：
az keyvault secret set --vault-name "myKeyVault" -n ExampleSecret --value MySecretValue創建秘密后，可以通過以下命令查看其詳細信息，以驗證秘密是否成功存儲：
az keyvault secret show --vault-name "myKeyVault" -n ExampleSecret利用 Azure Key Vault 的秘密管理功能，可以將應用程序的敏感數據安全地存儲在云端，減少因意外泄露而導致的風險。通過合理的訪問控制策略，Azure Key Vault 確保只有經過授權的用戶和應用程序能夠訪問這些關鍵信息。
在本節中，我們將介紹如何在虛擬機中訪問 Azure Key Vault 中存儲的秘密，并確保操作的安全性和有效性。Azure Key Vault 是一個強大的工具，用于管理和保護應用程序所需的敏感信息，如密碼和 API 密鑰。
首先，我們需要創建一個虛擬機并為其分配系統身份，以便它能夠訪問 Azure Key Vault 中的秘密。使用以下命令創建虛擬機，并自動生成 SSH 密鑰：
az vm create
--resource-group myResourceGroup
--name myVM
--image UbuntuLTS
--admin-username azureuser
--generate-ssh-keys創建虛擬機后，我們需要為其分配一個系統分配身份，以便能夠獲得訪問 Key Vault 的權限：
az vm identity assign --name "myVM" --resource-group "myResourceGroup"接下來，使用以下命令為該身份分配訪問 Key Vault 的權限：
az keyvault set-policy --name "myKeyVault" --object-id "" --secret-permissions get list在虛擬機上，我們將編寫一個簡單的 Python 應用程序以讀取 Key Vault 中的秘密。首先，連接到虛擬機，并安裝所需的 Python 庫：
sudo apt update && sudo apt upgrade -y
sudo apt install python3-pip
python3 -m pip install --upgrade pip
pip3 install azure-keyvault-secrets
pip3 install azure.identity然后，創建一個名為 main.py 的 Python 應用程序，該應用程序將使用 Azure Key Vault SDK 來檢索秘密：
from azure.keyvault.secrets import SecretClient
from azure.identity import DefaultAzureCredential
key_vault_name = "myKeyVault"
key_vault_uri = f"https://{key_vault_name}.vault.azure.net"
secret_name = "ExampleSecret"
credential = DefaultAzureCredential()
client = SecretClient(vault_url=key_vault_uri, credential=credential)
retrieved_secret = client.get_secret(secret_name)
print(f"The value of secret '{secret_name}' in '{key_vault_name}' is: '{retrieved_secret.value}'")最后，運行 main.py。如果一切正常，您將看到存儲在 Key Vault 中的秘密值被成功檢索并打印出來。
通過這種方式，您可以使用 Azure Key Vault 來安全地在虛擬機中管理和訪問敏感信息，從而確保應用程序的安全性和完整性。
在現代云環境中，安全地管理和訪問機密信息至關重要。Azure Key Vault 提供了一種集中化的解決方案，能夠安全地存儲和管理機密。通過 Azure Kubernetes Service (AKS)，您可以輕松地在容器化的應用程序中訪問這些機密。本文將指導您如何通過 AKS 集群訪問 Azure Key Vault 中的機密。
為了在 AKS 中訪問 Azure Key Vault 中的機密，首先需要創建一個 AKS 集群，并啟用 Secrets Store CSI Driver。這一驅動程序允許 Kubernetes 可以直接從 Azure Key Vault 中提取和管理機密。
首先，使用以下命令創建一個啟用了 Azure Key Vault Secrets Provider 插件的 AKS 集群：
az aks create -n myAKSCluster -g myResourceGroup --node-count 1 --enable-addons azure-keyvault-secrets-provider該命令創建了 AKS 集群，并啟用了用于訪問 Azure 資源的 azureKeyvaultSecretsProvider 身份。請記錄輸出中的 clientId，它將在后續步驟中用于訪問 Key Vault。
接下來，驗證安裝是否成功：
kubectl get pods -n kube-system -l 'app in (secrets-store-csi-driver,secrets-store-provider-azure)'一旦 AKS 集群創建并配置好，下一步是創建 SecretProviderClass，以便將機密作為文件掛載到 Kubernetes Pod 中。
首先，創建一個名為 spc.yaml 的 YAML 文件，內容如下：
apiVersion: secrets-store.csi.x-k8s.io/v1
kind: SecretProviderClass
metadata:
name: azure-keyvault-secrets
spec:
provider: azure
parameters:
usePodIdentity: "false"
useVMManagedIdentity: "true"
userAssignedIdentityID:
keyvaultName:
cloudName: ""
objects: |
array:
- |
objectName: ExampleSecret
objectType: secret
objectVersion: ""
tenantId: 確保替換 YOUR-IDENTITY-ID、YOUR-KEYVAULT-NAME 和 YOUR-TENANT-ID 為您自己的值。然后應用此配置：
kubectl apply -f spc.yaml接下來，創建一個示例 Pod 來驗證 SecretProviderClass 的配置。創建一個名為 pod.yaml 的文件：
kind: Pod
apiVersion: v1
metadata:
name: busybox-secrets-store-inline
spec:
containers:
- name: busybox
image: registry.k8s.io/e2e-test-images/busybox:1.29-1
command:
- "/bin/sleep"
- "10000"
volumeMounts:
- name: secrets-store01-inline
mountPath: "/mnt/secrets-store"
readOnly: true
volumes:
- name: secrets-store01-inline
csi:
driver: secrets-store.csi.k8s.io
readOnly: true
volumeAttributes:
secretProviderClass: "azure-keyvault-secrets"應用該配置文件：
kubectl apply -f pod.yaml完成后，您可以驗證機密是否成功掛載到 Pod 中：
kubectl exec busybox-secrets-store-inline -- cat /mnt/secrets-store/ExampleSecret如果一切配置正確，您將看到從 Azure Key Vault 中檢索的機密值。這種方法保證了在 Kubernetes 環境中安全地管理和訪問 Azure Key Vault 中的機密，符合現代化的安全需求。
