用于Azure 密钥保管库的虚拟网络服务终结点

Azure 密钥保管库的虚拟网络服务终结点允许限制对指定虚拟网络的访问。 此外，还可通过这些终结点将访问限制为一系列 IPv4（Internet 协议版本 4）地址范围。 任何从外部连接到 Key Vault 的用户都无法访问这些资源。

此限制有一个重要的例外情况。 如果选择允许受信任的 Microsoft 服务，某些 Microsoft 服务可绕过防火墙并访问保管库。 本文后面的 “受信任的服务 ”部分列出了今天绕过防火墙的服务;该表中没有的服务需要防火墙 IP 规则、虚拟网络规则或专用终结点才能访问保管库。 绕过防火墙的服务仍需要提供有效的Microsoft Entra令牌，并且必须具有权限（配置为Azure RBAC 角色分配或访问策略）才能执行请求的操作。 有关详细信息，请参阅虚拟网络服务终结点。

使用场景

可以配置 密钥保管库 防火墙和虚拟网络以默认拒绝访问来自所有网络（包括 Internet 流量）的流量。 可以向来自特定Azure虚拟网络和公共 Internet IP 地址范围的流量授予访问权限，从而为应用程序构建安全网络边界。

下面是此服务终结点的一些用法示例：

• 使用 密钥保管库 存储加密密钥、应用程序机密和证书，并且想要阻止从公共互联网进行访问。
• 你希望限制访问 Key Vault，以便只有你的应用程序或指定的少部分主机才能连接到 Key Vault。
• Azure虚拟网络中运行了一个应用程序，此虚拟网络已针对所有入站和出站流量锁定。 应用程序仍需要连接到密钥保管库来提取机密或证书，或使用加密密钥。

授予对受信任Azure服务的访问权限

可以授予对密钥保管库的受信任Azure服务的访问权限，同时为其他应用维护网络规则。 然后，这些受信任的服务会使用强身份验证安全地连接到密钥保管库。

可以通过配置网络设置来授予对受信任Azure服务的访问权限。 有关分步指南，请参阅 配置 Azure 密钥保管库 网络安全。

向受信任的Azure服务授予访问权限时，可以授予以下类型的访问权限：

• 为订阅中注册的资源提供选定操作的受信任访问权限。
• 基于托管身份的受信任资源访问权限。
• 使用联合身份凭据进行跨租户的可信访问

启用“允许受信任的 Microsoft 服务绕过此防火墙”后，“受信任的服务”表中列出的服务可访问该保管库。 禁用公共访问时，旁路将继续应用，因此列出的服务不需要专用终结点进行连接。 如果公共网络访问设置为 由边界保护（通过关联网络安全边界），则绕过设置会被覆盖，甚至受信任的服务也会被阻止，除非有显式的边界访问规则允许这些服务访问。

受信服务

下表列出了已知会在启用 允许受信任的服务 选项时绕过 密钥保管库 防火墙的 Microsoft 服务。 此表反映发布时已知的服务;新载入的服务可能尚未出现在此处。

后续步骤

• 有关分步说明，请参阅 为 Azure 密钥保管库 配置网络安全性。
• 有关安全最佳做法，请参阅 Secure Azure 密钥保管库。