你当前正在访问 Microsoft Azure Global Edition 技术文档网站。 如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站，请访问 https://docs.azure.cn。
关于 Azure Key Vault 托管存储帐户密钥（旧版）
重要
我们建议使用 Azure 存储与 Microsoft Entra ID 的集成，这是 Microsoft 推出的基于云的标识和访问管理服务。 Microsoft Entra 集成适用于 Azure Blob 和队列，提供对 Azure 存储的基于 OAuth2 令牌的访问（类似于 Azure Key Vault）。 Microsoft Entra ID 允许使用应用程序标识或用户标识（而不是存储帐户凭据）对客户端应用程序进行身份验证。 在 Azure 上运行时，可以使用 Microsoft Entra 托管标识。 托管标识消除了客户端身份验证的需要，并可以在应用程序中存储凭据，或者将凭据与应用程序一同存储。 仅在无法实现 Microsoft Entra 身份验证的情况下使用以下解决方法。
Azure 存储帐户使用由帐户名和密钥构成的凭据。 密钥是自动生成的，充当密码而不是加密密钥。 Key Vault 通过在存储帐户中定期重新生成存储帐户密钥来管理存储帐户密钥，并提供共享访问签名令牌，以便对存储帐户中的资源进行委托访问。
可以使用 Key Vault 托管的存储帐户密钥功能列出（同步） Azure 存储帐户中的密钥，并定期重新生成（轮换）密钥。 可以管理存储帐户和经典存储帐户的密钥。
Azure 存储帐户密钥管理
Key Vault 可以管理 Azure 存储帐户密钥：
- 在内部，Key Vault 可以使用 Azure 存储帐户列出（同步）密钥。
- Key Vault 定期重新生成（轮换）密钥。
- 响应调用方时永远不会返回密钥值。
- Key Vault 管理存储帐户和经典存储帐户的密钥。
有关详细信息，请参阅：
存储帐户访问控制
授权用户或应用程序主体对托管的存储帐户执行操作时，可以使用以下权限：
针对托管存储帐户和 SaS 定义操作的权限
- get：获取有关存储帐户的信息
- list：列出 Key Vault 托管的存储帐户
- update：更新存储帐户
- delete：删除存储帐户
- recover：恢复删除的存储帐户
- backup：备份存储帐户
- restore：将备份存储帐户还原到 Key Vault
- set：创建或更新存储帐户
- regeneratekey：为存储帐户重写指定的密钥值
- getsas：获取有关存储帐户的 SAS 定义的信息
- listsas：列出存储帐户的存储 SAS 定义
- deletesas：从存储帐户中删除 SAS 定义
- setsas：创建或更新存储帐户的新 SAS 定义/属性
针对特权操作的权限
- purge：清除（永久删除）托管存储帐户
有关详细信息，请参阅 Key Vault REST API 中的存储帐户操作参考。 有关建立权限的信息，请参阅保管库 - 创建或更新和保管库 - 更新访问策略。