通过

访问位于防火墙后的 Azure Key Vault

  • 项目

应打开哪些端口、主机或 IP 地址来启用防火墙后面的密钥保管库客户端应用程序来访问密钥保管库？

若要访问密钥保管库，Key Vault 客户端应用程序必须访问多个终结点才能实现各种功能：

  • 通过 Microsoft Entra ID 进行身份验证。
  • 管理 Azure Key Vault。 这包括通过 Azure 资源管理器创建、读取、更新、删除和设置访问策略。
  • 通过密钥保管库特定的终结点（例如 https://yourvaultname.vault.azure.cn），访问和管理密钥保管库本身存储的对象（密钥和机密）。

根据配置和环境，有一些变化。

港口

所有到密钥保管库的流量（用于身份验证、管理和数据平面访问的流量）都会通过 HTTPS：端口 443。 但是，对于 CRL，偶尔会有 HTTP（端口 80）流量。 支持 OCSP 的客户端不应访问 CRL，但有时可能会访问 此处列出的 CRL 终结点。

身份验证

Key Vault 客户端应用程序需要访问Microsoft Entra 终结点进行身份验证。 使用的终结点取决于 Microsoft Entra 租户配置、主体类型（用户主体或服务主体），以及帐户类型，例如 Azure 帐户或工作或学校帐户。

主要类型 终结点：端口
使用 Azure 帐户的用户
（例如：user@hotmail.com）		 由世纪互联运营的 Azure：
login.chinacloudapi.cn:443

和
login.live.com:443
使用 Microsoft Entra ID 的工作或学校帐户的用户或服务主体（如 user@contoso.com） 由世纪互联运营的 Azure：
login.chinacloudapi.cn:443

还有其他可能的复杂方案。 有关其他信息，请参阅 Microsoft Entra 身份验证流、 将应用程序与 Microsoft Entra ID 集成以及 Active Directory 身份验证协议 。

Key Vault 管理

对于 Key Vault 管理（CRUD 和设置访问策略），密钥保管库客户端应用程序需要访问 Azure 资源管理器终结点。

操作类型 终结点：端口
通过 Azure Resource Manager 进行的
通过 Azure 资源管理器		 由世纪互联运营的 Azure：
management.chinacloudapi.cn:443
Microsoft图形 API 由世纪互联运营的 Azure：
graph.chinacloudapi.cn:443

Key Vault 操作

对于所有密钥保管库对象（密钥和机密）的管理和加密操作，密钥保管库客户端需要访问密钥保管库终结点。 终结点 DNS 后缀因密钥保管库的位置而异。 密钥保管库终结点的格式为 保管库名称。region-specific-dns-suffix，如下表所述。

操作类型 终结点：端口
包括对密钥执行加密作的作;创建、读取、更新和删除密钥和机密;在密钥保管库对象（密钥或机密）上设置或获取标记和其他属性 由世纪互联运营的 Azure：
<vault-name>.vault.azure.cn:443

IP 地址范围

Key Vault 服务使用其他 Azure 资源，例如 PaaS 基础结构。 因此，无法提供 Key Vault 服务终结点在任何特定时间将具有的特定 IP 地址范围。 如果防火墙仅支持 IP 地址范围，请参阅以下位置提供的 Azure 数据中心 IP 范围文档：

身份验证和标识 (Microsoft Entra ID) 是一项全球性服务，可能会故障转移到其他区域或移动流量，恕不另行通知。 在此方案中，身份验证和标识 IP 地址中列出的所有 IP 范围都应添加到防火墙。

后续步骤

如果对 Key Vault 有疑问，请访问 Azure Key Vault 的Microsoft问答页面。