访问防火墙后面的 Azure Key Vault

我应该打开哪些端口、主机或 IP 地址,才能允许防火墙后面的密钥保管库客户端应用程序访问密钥保管库?

若要访问密钥保管库,密钥保管库客户端应用程序必须访问多个终结点才能使用各种功能:

  • 通过 Microsoft Entra ID 进行身份验证。
  • 管理 Azure Key Vault。 这包括通过 Azure Resource Manager 创建、读取、更新、删除和设置访问策略。
  • 通过密钥保管库特定的终结点(例如 https://yourvaultname.vault.azure.cn),访问和管理密钥保管库本身存储的对象(密钥和机密)。

根据配置和环境,会有一些变化。

端口

针对所有 3 项功能(身份验证、管理和数据平面访问)的所有密钥保管库流量都会通过 HTTPS(端口 443)传递。 但是,对于 CRL,偶尔会有 HTTP(端口 80)流量。 支持 OCSP 的客户端不应到达 CRL,但有时可能会到达 http://cdp1.public-trust.com/CRL/Omniroot2025.crl

身份验证

密钥保管库客户端应用程序需要访问 Microsoft Entra 终结点才能进行身份验证。 使用的终结点取决于 Microsoft Entra 租户配置、主体类型(用户主体或服务主体)以及帐户类型(如 Azure 帐户或者工作或学校帐户)。

主体类型 终结点:端口
使用 Azure 帐户的用户
(例如:user@hotmail.com)
Azure China:
login.chinacloudapi.cn:443


login.live.com:443
使用 Microsoft Entra 的工作或学校帐户的用户或服务主体(例如,user@contoso.com) Azure China:
login.chinacloudapi.cn:443

还可能存在一些其他复杂情况。 有关其他信息,请参阅 Microsoft Entra 身份验证流将应用程序与 Microsoft Entra ID 集成Active Directory 身份验证协议

Key Vault 管理

对于 Key Vault 管理(CRUD 和设置访问策略),Key Vault 客户端应用程序需要访问 Azure Resource Manager 终结点。

操作类型 终结点:端口
通过 Azure Resource Manager 进行的
Key Vault 控制平面操作
Azure China:
management.chinacloudapi.cn:443

Microsoft Graph API Azure China:
graph.chinacloudapi.cn:443

Key Vault 操作

对于所有密钥保管库对象(密钥和密码)管理和加密操作,密钥保管库客户端需要访问密钥保管库终结点。 根据密钥保管库的位置,终结点 DNS 后缀会有所不同。 密钥保管库终结点的格式是 vault-name.region-specific-dns-suffix,如下表所示 。

操作类型 终结点:端口
操作包括对密钥的加密操作;创建、读取、更新和删除密钥和密码;设置或获取密钥保管库对象(密钥或密码)上的标记和其他属性 Azure China:
<vault-name>.vault.azure.cn:443

IP 地址范围

Key Vault 服务使用其他 Azure 资源,例如 PaaS 基础结构。 因此,不可能提供 Key Vault 服务终结点在任意特定时间会有的特定 IP 地址范围。 如果防火墙仅支持 IP 地址范围,请参阅“Azure 数据中心 IP 范围”文档,网址为:

身份验证和标识 (Microsoft Entra ID) 是一项全球性服务,可能会故障转移到其他区域或移动流量,恕不另行通知。 在这种情况下,身份验证和标识 IP 地址中列出的所有 IP 范围都应添加到防火墙中。

后续步骤

如果对密钥保管库有任何疑问,请访问面向 Azure 密钥保管库的 Microsoft Q&A 问题页面