Mehrere Anwendungen verwenden derzeit Speicherkonto-Zugriffsschlüssel für den Blob-Zugriff. Sie müssen Schlüssel ohne Ausfallzeiten rotieren und damit beginnen, Anwendungen auf die Azure AD-basierte Autorisierung umzustellen. Was sollten Sie tun?

Die erste korrekte Option beschreibt einen schrittweisen Prozess zur Schlüsselrotation ohne Ausfallzeiten. Durch die Verwendung des sekundären Schlüssels während der Regeneration des primären Schlüssels können Anwendungen weiterhin auf den Speicher zugreifen. Die Speicherung in Azure Key Vault ist eine Best Practice für die sichere Verwaltung von Geheimnissen. Die zweite korrekte Option ist die langfristige Lösung, da sie die Migration zu einer sichereren, Azure AD-basierten Autorisierung beschreibt. Benutzerdelegierungs-SAS und RBAC-Rollen ermöglichen eine fein abgestufte Zugriffssteuerung und eliminieren die Notwendigkeit, Speicherkonto-Zugriffsschlüssel direkt in Anwendungen zu verwenden. Das gleichzeitige Neugenerieren beider Schlüssel würde zu Ausfallzeiten führen. Die weitere Verwendung von Verbindungszeichenfolgen mit AccountKey und die Aktivierung vertrauenswürdiger Dienste löst das Problem der Schlüsselrotation und der Migration zu Azure AD-Autorisierung nicht. Die Zuweisung der Rolle „Reader“ würde nur Lesezugriff ermöglichen, während die Anwendungen wahrscheinlich auch Schreibzugriff benötigen.