В основном у меня есть установка, в которой у меня есть
- Подписка Hub-Spoke и топология vnet в Azure.
- AAD для внутренних пользователей и доступа разработчиков и b2c для внешних пользователей.
- AAD и Keyvault находятся в подписке HUB / VNET.
- API-интерфейсы, развернутые в кластерах Azure AKS, находятся в подписке на лучах.
- Также есть управление API, выходящее на API, которое находится в той же подписке и VNET, что и AKS / API, а также в подписке Spoke.
Учитывая приведенную выше настройку, у меня есть следующие вопросы
- Все API, управление API, Keyvault и Azure AD должны быть привязаны к одной и той же подписке, или я могу иметь Keyvault в моей подписке на хаб, а другие службы - в разных подписках.
- Регистрируем ли мы каждый API как приложение в том же AAD, что и KEYVAULT, или мы можем просто зарегистрировать управление API и использовать управление API для получения секретов.
- Можем ли мы использовать удостоверение управляемой службы, даже если компоненты находятся в разных подписках, но зарегистрированы в одной и той же Azure AD?