Key Vault 中的访问控制和访问策略之间的区别

Question

我想尽可能安全地锁定我的 Key Vault。我认为访问控制是指谁可以访问和修改整个 Key Vault。访问策略是指谁或什么可以访问秘密。

我们的管理员组应该位于访问控制组中。我们的应用程序服务（具有托管身份）应该位于访问策略中。我觉得除了这个还有什么必要吗？

Answer 1

是的你是对的。

位于Access control (IAM)管理平面， Access policies位于数据平面。在您的情况下，您应该注意，如果您的管理员组位于 中Access control (IAM)，即使是Owner/Contributor，该组中的用户也将无法直接访问机密，除非用户将自己添加到 中Access policies。

同样，如果您不希望用户/服务主体/组访问机密，切勿将它们添加到 asAccess control (IAM)角色，例如 eg Owner/Contributor，因为它们能够将自己添加到Access policies.