Wiele aplikacji używa obecnie kluczy dostępu do konta magazynu do dostępu do obiektów blob. Musisz rotować klucze bez przestojów i rozpocząć przenoszenie aplikacji na autoryzację opartą na Azure AD. Co należy zrobić?

Obie wskazane opcje są poprawne, ponieważ odpowiadają na różne aspekty pytania. Pierwsza opcja rozwiązuje problem rotacji kluczy bez przestojów. Przechowywanie kluczy w Azure Key Vault i strategiczna rotacja klucza podstawowego i pomocniczego (przełączanie aplikacji na klucz pomocniczy, regeneracja podstawowego, aktualizacja aplikacji, regeneracja pomocniczego) zapewnia ciągłość działania. Druga opcja rozwiązuje problem migracji na autoryzację opartą na Azure AD. User delegation SAS (Shared Access Signature) w połączeniu z kontrolą dostępu opartą na rolach (RBAC) pozwala aplikacjom na bezpieczny dostęp do danych obiektów blob bez bezpośredniego użycia kluczy konta magazynu, co jest zgodne z zasadami najmniejszych uprawnień i najlepszymi praktykami bezpieczeństwa. Pozostałe opcje są nieprawidłowe: Regeneracja obu kluczy jednocześnie spowodowałaby przestój. Kontynuowanie używania connection strings z AccountKey nie rozwiązuje problemu rotacji bez przestojów ani migracji na Azure AD. Rola Reader jest niewystarczająca do zapisu danych, a samo przypisanie roli nie zastępuje potrzeby autoryzacji.