Azure Service Fabric 和托管服务标识

Question

我正在探讨如何在 Service Fabric 中使用 MSI。 我可以通过 ARM 在规模集上启用 MSI - 没问题。

我的 Service Fabric 群集运行许多应用程序，其中许多都有自己的应用程序注册。目前，我们已将这些应用的 clientId/secret 存储在 appmanifest 中。

使用 MSI，我可以将凭据存储在 keyvault 中并获取用于每个应用程序的 clientId/secret，但这似乎有点错误。

现在我的问题是： 是否可以在 MSI 应用注册和在 Service Fabric 上运行的应用之间设置某种委派？只是为了避免存储客户端机密

Answer 1

如果您使用 clientid/client secret 来获取访问令牌，则改为 也许您允许 MSI 应用注册访问其他应用，然后通过 'on behalf of' 方法使用 MSI 主体获取令牌？

相关代码here.

这样你只需要知道你要调用的服务的resourceID，这不是秘密。