Removendo segredos do Azure Function Config

Question

Como a maioria das Funções do Azure no início, temos uma cadeia de conexão para a storageaccount associada que inclui a Accountkey como esta

DefaultEndpointsProtocol=https;AccountName=ourstorageAccount;EndpointSuffix=core.windows.net;AccountKey=WQfbn+VBhaY1fi/l0eRBzvAvngiCiOwPmx/==

Obviamente, queremos remover essa AccountKey. Eu esperava que pudéssemos usar ManagedIdentity e a função de 'Contribuidor', mas o que estou lendo está me dizendo que você não pode usar a identidade gerenciada para acessar tabelas em uma conta de armazenamento apenas Blobs .

Eu sei que poderíamos mover toda a cadeia de conexão para KeyVault, mas isso se tornará um problema de gerenciamento do Azure se quisermos girar as chaves.

Alguém controlou com sucesso o acesso ao Armazenamento de Tabela do Azure com Identidades Gerenciadas?

Se não, qual é a próxima melhor abordagem que, de preferência, permite a rotação simples das chaves?

Answer 1

Alguém controlou com êxito o acesso ao Armazenamento de Tabela do Azure com Identidades Gerenciadas?

Definitivamente, ele é incapaz de acessar o armazenamento da tabela azure com MSI (identidade gerenciada, essencialmente é um principal de serviço no anúncio azure), ao usar o MSI para acessar alguns recursos do azure, ele basicamente usa o fluxo de credenciais do cliente de anúncio azure para obter o token, então usa o token para acessar o recurso.

No entanto, o azure ad auth apenas com suporte pelo armazenamento de blob e fila do azure, o armazenamento de tabela não oferece suporte atualmente, consulte - Autorizar acesso a blobs e filas usando o Azure Active Directory .

Se não, qual é a próxima melhor abordagem que, de preferência, permite a rotação simples das chaves?

Você poderia usar a função azure para fazer isso, siga este documento - Automatize a rotação de um segredo para recursos com dois conjuntos de credenciais de autenticação , acho que atende completamente aos seus requisitos, este tutorial alterna as chaves de conta do Armazenamento do Azure armazenadas no Azure Key Vault como segredos usando uma função acionada pela notificação da Grade de Eventos do Azure.