你当前正在访问 Microsoft Azure Global Edition 技术文档网站。如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站，请访问 https://docs.azure.cn。

保护 Azure Key Vault 机密

Azure Key Vault 机密存储敏感的应用程序凭据，例如密码、连接字符串和访问密钥。本文提供特定于机密管理的安全建议。

注释

本文重点介绍特定于 Key Vault 机密的安全做法。有关全面的 Key Vault 安全指南，包括网络安全、标识和访问管理以及保管库体系结构，请参阅保护 Azure Key Vault。

存储为机密的内容

Azure Key Vault 机密旨在存储服务或应用程序凭据。将以下类型的数据存储为机密：

重要

不要在 Key Vault 中存储配置数据。 IP 地址、服务名称、功能标志和其他配置设置应存储在 Azure 应用配置中，而不是存储在 Key Vault 中。 Key Vault 针对加密机密进行优化，而不是常规配置管理。

有关机密的详细信息，请参阅 “关于 Azure Key Vault 机密”。

在 Key Vault 中存储机密时，请遵循以下格式设置最佳做法：

正确存储复合凭据：对于具有多个组件的凭据（如用户名/密码），请将它们存储为：
- 格式正确的连接字符串，或
- 包含凭据组件的 JSON 对象
对元数据使用标记：存储管理信息，例如轮换计划、到期日期和机密标记中的所有权，而不是机密值本身。
最小化机密大小：保持机密值简洁。应使用加密方式将大型有效负载存储在 Azure 存储中，使用 Key Vault 密钥进行加密，并使用存储访问令牌的 Key Vault 机密。

存储在应用程序内存或配置文件中的机密将在整个应用程序生命周期中保留，从而增加暴露风险。实现常规机密轮换，以最大程度地降低泄露风险：

有关机密轮换的详细信息，请参阅：

Key Vault 强制实施服务限制以防止滥用。为了在保持安全性的同时优化机密访问：

有关节流的详细信息，请参阅 Azure Key Vault 节流指南。

启用监视以跟踪机密访问模式并检测潜在的安全问题：

此页面是否有帮助？