我有一台启用了 Arc 的服务器，该服务器使用托管标识连接到 Azure Key Vault。 IIS 托管应用程序能够毫无问题地访问密钥保管库，但存在一个可能存在安全风险的安全元素。
如果操作员登录到机器上，他们是否能够访问密钥保管库，因为整个服务器具有托管标识，因此理论上他们可以在机器环境中运行 powershell 命令来查询密钥保管库？
答案1
如果操作员有能力访问终端并安装 Azure CLI 或 Azure PowerShell（或者已经存在），那么他们可以使用它以托管标识登录 Azure 并访问 Key Vault。
答案2
如果操作员具有机器的本地访问权限和足够的权限，他们可以使用托管标识上下文来运行 PowerShell 命令或其他工具来与 Azure Key Vault 进行交互。
答案3
只是为了防止其他人遇到这种情况而进行更新。
我们在密钥库前面放置了一个应用服务，该应用服务通过 IP 锁定（使用 NSG），并使用证书身份验证。证书嵌入在源中。
因此，如果操作员能够访问密钥库，那绝不会是意外。