如何在不使用应用服务的应用设置的情况下保护 Azure 客户端 ID 和机密

Question

我正在使用 Azure KeyVault 来存储我的数据库凭据，现在要访问它，我在服务代码中硬编码了客户端 ID 和客户端密码。我怎样才能避免这种硬编码，因为它不安全？

1) I don't want to store client id and client secret in certificates, as 
deployed certificates are again insecure
2) My app is not hosted on Azure App service, so I can't use App Settings to 
store client id and client secret.

有没有办法让 Azure Active Directory 仅在从我的应用程序 URL 发出请求时返回访问令牌？else 我如何保护客户端 ID 和客户端机密免受黑客攻击

Answer 1

使用客户端 ID 和客户端机密来保护 Key Vault 仅意味着您现在有了一个新的机密来尝试以某种方式进行保护。更好的方法是使用证书访问密钥保管库。您现在拥有了额外的安全性，因为您需要证书的私钥才能将其安装到您的应用程序中。