强制执行账号凭证自动化轮换与加密存储需协同azure key vault、automation和策略控制：凭证统一存入key vault并设自动过期，通过轮换策略+function实现密钥更新闭环，运行时强制动态获取，禁用缓存，结合rbac、托管标识与azure policy确保合规审计。
强制执行对所有账号凭证的自动化轮换与加密存储，不是简单开启一个开关，而是需要结合 Azure Key Vault、Azure Automation 和策略控制三者协同实现。核心目标是：凭证不硬编码、不长期静态存在、每次使用前动态获取且自动更新。
用 Azure Key Vault 集中托管所有凭证
所有账号凭据（如服务主体密钥、API 密钥、数据库连接字符串）必须统一存入 Key Vault，禁用明文配置或本地文件存储。每个凭证设为“机密（Secret）”，启用自动过期时间（例如 90 天），并关闭“启用”状态以外的非必要访问权限。
- 为每个应用/服务创建独立的机密名称（如
prod-db-conn-string、api-client-secret-v2），避免复用 - 启用 Key Vault 的软删除和清除保护，防止误删或恶意删除
- 通过 Azure RBAC 精确授权——仅允许自动化账户或托管标识读取对应机密，禁止列表枚举权限
配置自动轮换策略并触发更新流程
Key Vault 原生支持自动轮换，但需配合自定义逻辑完成“生成新密钥→更新服务配置→停用旧密钥”的闭环。推荐使用 Key Vault 的轮换策略 + Azure Function 或 Runbook 实现。
- 在 Key Vault 中为每个机密设置轮换策略（如每 85 天触发一次），事件会推送至 Event Grid
- 订阅该事件的 Azure Function 调用 Azure AD Graph API 或 REST 接口，为服务主体生成新客户端密钥
- Function 同步将新密钥写入 Key Vault 对应机密，并调用目标服务 API（如 Logic App、App Service 设置）刷新配置
- 旧密钥保留 7 天后由另一定时任务标记为已禁用，确保灰度过渡期内服务仍可用
在运行时强制使用最新凭证，杜绝缓存依赖
应用代码不能自行缓存密钥值，必须每次运行时实时从 Key Vault 获取。Azure 提供托管标识（Managed Identity）机制，让 VM、Function、Automation Account 安全地获取令牌而无需存储任何密钥。
- 为 Azure Automation Account 启用系统分配的托管标识，并在 Key Vault 中授予其
Get和List权限 - Runbook 中使用
Connect-AzAccount -Identity登录，再调用Get-AzKeyVaultSecret动态拉取凭证 - 禁用 PowerShell 或应用层的本地变量长期持有密钥内容；敏感值输出到日志前必须脱敏（如显示为
***）
通过 Azure Policy 强制合规并持续审计
仅靠流程无法保证全员遵守。需用 Azure Policy 锁定资源行为，对违规项自动拒绝部署或标记告警。
- 部署内置策略如
Azure Key Vault should have purge protection enabled、Storage accounts should use customer-managed keys - 自定义策略检查虚拟机、容器、函数应用是否直接引用明文密钥（如扫描 ARM 模板中的
listKeys调用或硬编码字符串） - 启用 Key Vault 日志（发送至 Log Analytics），设置告警规则：当出现非托管标识的
GetSecret请求、或同一机密 1 小时内被读取超 100 次时触发通知
