Приложение Azure Marketplace: безопасно ли помещать пароль в файл ARM?

Я создал управляемое приложение для Azure Marketplace. И я использую некоторые секретные данные во время развертывания приложения для пользовательской подписки. Безопасно ли помещать эти данные в файл mainTemplate.json? И если нет, то какие варианты существуют?


azure azure-resource-manager azure-marketplace
person FiftiN    schedule 24.01.2019    source источник

Ответы (2)


arrow_upward
2
arrow_downward

Попробуйте следующее: https://docs.microsoft.com/en-us/azure/managed-applications/key-vault-access

Файлы шаблонов для управляемого приложения на рынке защищены только неизвестностью (вам нужно угадать, что такое URL-адрес (и он содержит guid)). Поэтому для дополнительной безопасности поместите секреты в KV и ссылайтесь на них оттуда.

person bmoore-msft    schedule 25.01.2019
comment
Может ли ARM управляемого приложения считывать значения из хранилища ключей в моей подписке, если оно развертывается из Marketplace? - person FiftiN; 25.01.2019
comment
они могут, судя по всему, @FiftiN, но вам придется жестко закодировать секретную ссылку kv в шаблон, верно? пользователь никак не может узнать ваш секретный URL-адрес kv, верно? но это означает, что вам нужно вложенное развертывание внутри шаблона только для его извлечения? да, извините, не дочитал до конца - person 4c74356b41; 25.01.2019
comment
чем больше я об этом думаю, тем больше мне кажется, что это странная концепция. все, что вы передаете из KV, пользователь может извлечь из ресурса, верно? даже если он не может (очень редко), пользователь может создать рыночное решение, которое сделает это, так что это бессмысленно (не то чтобы это было легко, но выполнимо)? - person 4c74356b41; 25.01.2019
comment
В вопросе в моем комментарии я вижу такую ​​схему: user-images.githubusercontent.com/914224/ . Является ли это возможным? - person FiftiN; 25.01.2019
comment
Да, RP управляемого приложения может прочитать секрет из-за этого: docs.microsoft.com/en-us/azure/managed-applications/ — клиент, выполняющий развертывание, не может прочитать секрет (если только вы не предоставите ему явный доступ к нему). - person bmoore-msft; 29.01.2019

arrow_upward
2
arrow_downward

не очень хорошая практика. Вместо этого используйте хранилище ключей Azure в соответствии с вашим сценарием.

См.: https://docs.microsoft.com/en-us/azure/key-vault/key-vault-whatis

person BlindSniper    schedule 24.01.2019
comment
как вы думаете, как это должно работать во время развертывания на рынке? - person 4c74356b41; 24.01.2019
comment
хорошо, оказывается, это может сработать, не то чтобы постер знал об этом, но - person 4c74356b41; 26.01.2019
comment
Я спросил об этом на GitHub: github.com/MicrosoftDocs/azure-docs/issues/55026. - person FiftiN; 18.05.2020