Azure Key Vault - 多个环境，每个环境都需要一个 Azure Key Vault 吗？

Question

我正在做一些初步研究，但无法为我的问题找到明确的答案。我的计划是拥有多个环境（即 Dev、Prod 和 QA），我是否需要为每个环境拥有一个新的 Azure Key Vault 实例，还是只能在它们之间共享数据？

Answer 1

我宁愿建议为不同的环境使用单独的 Key Vault 实例。您可以避免错误地跨环境“混合”秘密，并且您有明确的分离。微软官方也推荐这种方法：

我们的建议是为每个环境（开发、预生产和生产）的每个应用程序使用一个保管库。

您可以在官方文档中阅读更多内容

Answer 2

多个资源/实体可以访问单个 Key Vault 实例 - 前提是它们都位于同一位置（数据中心）。

您可以选择对您的密钥、秘密和证书进行分段，方法是将它们放置在不同的密钥保管库中或使用不同的访问方法/身份，但这不是必需的。

唯一需要单独的 Key Vault 实例的情况是访问它的资源/实体位于另一个位置（数据中心/区域）时。

值得注意的是，您无需太担心使用 Key Vault 为资源配置灾难恢复，因为 Microsoft 提供的 SLA 不出所料地很好： https: //learn.microsoft.com/en-gb/azure/key-保管库/密钥保管库灾难恢复指南。需要注意的是，如果您正在运行 IaaS/PaaS 实例并希望自行将 DR 故障转移到另一个数据中心，此时您需要手动迁移主密钥中的密钥/机密/证书跳入另一个实例（并相应地重新指向您的虚拟机）