安全地存储 Azure Key Vault clientSecret

Question

我正在开发一个 C# 桌面应用程序（一个用于 3D 建模软件的插件），因此我需要从 GraphQL 端点访问信息。为了访问端点，我需要提供一个密钥。所以我所做的就是将该密钥存储在 Azure Key Vault 上。
这是我用来从 Azure Key Vault 获取密钥的代码：

var clientProd = new SecretClient(new Uri("my-azure-keyvault-url"),
  new ClientSecretCredential(
    "tenantId",
    "clientId",
    "clientSecret"));

Response<KeyVaultSecret> secret = await clientProd.GetSecretAsync("cbe-graphQL-prod");

但现在我发现自己陷入了这种恶性循环，我不确定那个 clientSecret 应该来自哪里，所以它没有被推送到版本控制。
我打算将这个应用程序部署到我公司的多个用户，所以我不想在每个人的机器上创建一个环境变量（甚至没有组策略）。

最好的方法是什么？

谢谢！

Answer 1

如果您在 Azure 中托管应用程序，则可以使用 系统分配的托管标识 访问密钥保管库，无需任何凭据（客户端 ID、客户端密码）

如果您的应用程序托管在本地，您可以限制应用程序注册（服务主体）对存储机密的密钥库的访问。

然后您可以将客户端密码存储为环境变量或硬编码客户端密码