Dela via

Använda hanterade identiteter för att få åtkomst till Azure Key Vault-certifikat

  • Artikel

Hanterade identiteter som tillhandahålls av Microsoft Entra-ID gör det möjligt för din Azure Front Door-instans att på ett säkert sätt komma åt andra Microsoft Entra-skyddade resurser, till exempel Azure Key Vault, utan att behöva hantera autentiseringsuppgifter. Mer information finns i Vad är hanterade identiteter för Azure-resurser?

Kommentar

Stöd för hanterad identitet i Azure Front Door är begränsat till åtkomst till Azure Key Vault. Det kan inte användas för att autentisera från Front Door till ursprung som Blob Storage eller Web Apps.

När du har aktiverat hanterad identitet för Azure Front Door och beviljat nödvändiga behörigheter till ditt Azure Key Vault använder Front Door den hanterade identiteten för att få åtkomst till certifikat. Utan dessa behörigheter misslyckas autorotation av anpassade certifikat och nya certifikat läggs till. Om den hanterade identiteten är inaktiverad återgår Azure Front Door till att använda den ursprungliga konfigurerade Microsoft Entra-appen, som inte rekommenderas och kommer att bli inaktuell i framtiden.

Azure Front Door stöder två typer av hanterade identiteter:

  • Systemtilldelad identitet: Den här identiteten är kopplad till din tjänst och tas bort om tjänsten tas bort. Varje tjänst kan bara ha en systemtilldelad identitet.
  • Användartilldelad identitet: Det här är en fristående Azure-resurs som kan tilldelas till din tjänst. Varje tjänst kan ha flera användartilldelade identiteter.

Hanterade identiteter är specifika för Den Microsoft Entra-klientorganisation där din Azure-prenumeration finns. Om en prenumeration flyttas till en annan katalog måste du återskapa och konfigurera om identiteten.

Du kan konfigurera Azure Key Vault-åtkomst med antingen rollbaserad åtkomstkontroll (RBAC) eller åtkomstprincip.

Förutsättningar

Kontrollera att du har en Azure Front Door Standard- eller Premium-profil innan du konfigurerar en hanterad identitet för Azure Front Door. Information om hur du skapar en ny profil finns i Skapa en Azure Front Door.

Aktivera hanterad identitet

  1. Gå till din befintliga Azure Front Door-profil. Välj Identitet under Säkerhet på den vänstra menyn.

    Skärmbild av identitetsknappen under inställningar för en Front Door-profil.

  2. Välj antingen en Systemtilldelad eller Användartilldelad hanterad identitet.

    Systemtilldelad

    1. Växla Status till På och välj Spara.

      Skärmbild av konfigurationssidan för systemtilldelade hanterade identiteter.

    2. Bekräfta skapandet av en systemhanterad identitet för din Front Door-profil genom att välja Ja när du uppmanas att göra det.

      Skärmbild av bekräftelsemeddelandet för den systemtilldelade hanterade identiteten.

    3. När du har skapat och registrerat med Microsoft Entra-ID använder du objekt-ID :t (huvudnamn) för att ge Azure Front Door åtkomst till ditt Azure Key Vault.

      Skärmbild av den systemtilldelade hanterade identiteten som registrerats med Microsoft Entra-ID.

    Användartilldelad

    Om du vill använda en användartilldelad hanterad identitet måste du redan ha skapat en. Anvisningar om hur du skapar en ny identitet finns i skapa en användartilldelad hanterad identitet.

    1. På fliken Användartilldelad väljer du + Lägg till för att lägga till en användartilldelad hanterad identitet.

      Skärmbild av konfigurationssidan för användartilldelade hanterade identiteter.

    2. Sök efter och välj den användartilldelade hanterade identiteten. Välj sedan Lägg till för att koppla den till Azure Front Door-profilen.

      Skärmbild av sidan lägg till användartilldelad hanterad identitet.

    3. Namnet på den valda användartilldelade hanterade identiteten visas i Azure Front Door-profilen.

      Skärmbild av den användartilldelade hanterade identiteten som lagts till i Front Door-profilen.

Konfigurera Åtkomst till Key Vault

Du kan konfigurera Azure Key Vault-åtkomst med någon av följande metoder:

Mer information finns i Rollbaserad åtkomstkontroll i Azure (Azure RBAC) jämfört med åtkomstprincip.

Rollbaserad åtkomstkontroll (RBAC)

  1. Gå till ditt Azure Key Vault. Välj Åtkomstkontroll (IAM) på menyn Inställningar och välj sedan + Lägg till och välj Lägg till rolltilldelning.

    Skärmbild av sidan åtkomstkontroll (IAM) för ett Key Vault.

  2. På sidan Lägg till rolltilldelning söker du efter Key Vault Secret User och väljer den i sökresultaten.

    Skärmbild av sidan lägg till rolltilldelning för ett Nyckelvalv.

  3. Gå till fliken Medlemmar , välj Hanterad identitet och välj sedan + Välj medlemmar.

    Skärmbild av fliken Medlemmar för sidan lägg till rolltilldelning för ett Key Vault.

  4. Välj den systemtilldelade eller användartilldelade hanterade identiteten som är associerad med din Azure Front Door och välj sedan Välj.

    Skärmbild av sidan Välj medlemmar för sidan Lägg till rolltilldelning för ett Nyckelvalv.

  5. Välj Granska + tilldela för att slutföra rolltilldelningen.

    Skärmbild av sidan granska och tilldela för sidan lägg till rolltilldelning för ett Nyckelvalv.

Åtkomstprincip

  1. Gå till ditt Azure Key Vault. Under Inställningar väljer du Åtkomstprinciper och sedan + Skapa.

    Skärmbild av sidan åtkomstprinciper för ett Key Vault.

  2. På sidan Skapa en åtkomstprincip går du till fliken Behörigheter . Under Hemliga behörigheter väljer du Lista och Hämta. Välj sedan Nästa för att gå vidare till fliken Huvudnamn.

    Skärmbild av behörighetsfliken för key vault-åtkomstprincipen.

  3. På fliken Huvudnamn anger du objektets ID för en systemtilldelad hanterad identitet eller namnet på en användartilldelad hanterad identitet. Välj sedan Granska + skapa. Fliken Program hoppas över eftersom Azure Front Door väljs automatiskt.

    Skärmbild av huvudfliken för Key Vault-åtkomstprincipen.

  4. Granska inställningarna för åtkomstprinciper och välj Skapa för att slutföra åtkomstprincipen.

    Skärmbild av fliken Granska och skapa för key vault-åtkomstprincipen.

Verifiera åtkomst

  1. Gå till Azure Front Door-profilen där du har aktiverat hanterad identitet och välj Hemligheter under Säkerhet.

    Skärmbild av åtkomst till hemligheter från under inställningar för en Front Door-profil.

  2. Bekräfta att Hanterad identitet visas under kolumnen Åtkomstroll för certifikatet som används i Front Door. Om du konfigurerar hanterad identitet för första gången lägger du till ett certifikat i Front Door för att se den här kolumnen.

    Skärmbild av Azure Front Door med hanterad identitet för att få åtkomst till certifikat i Key Vault.

Nästa steg