使用 Rust 操作 Azure Key Vault SecretsSecretClient 实战指南agentic-awesome-skills 技能解读【免费下载链接】agentic-awesome-skillsAAS Core is the local, agent-first control plane for complete catalog discovery, agent-owned selection, stack validation, and planning, backed by 2,600 agentic skills. Includes CLI, local MCP, catalog, plugins, and Workbench.项目地址: https://gitcode.com/GitHub_Trending/an/agentic-awesome-skills本指南基于 agentic-awesome-skills 仓库中收录的azure-keyvault-secrets-rust社区技能文档展开系统讲解如何通过azure_security_keyvault_secrets与azure_identity两个 Rust crate在 Azure Key Vault 中安全地存储、读取、更新、删除和列举密码、API Key 等机密数据。读完本文你将掌握从环境配置、Entra ID 认证到全量 CRUD 操作的一整套可复制代码方案并理解技能文档中风险等级 critical的定位——它面向的是生产级机密管理场景需要配合严格的权限模型使用。技能概览与适用场景azure-keyvault-secrets-rust是 agentic-awesome-skills 仓库中 Azure 系列技能之一其 SKILL.md 定位为Azure Key Vault Secrets SDK for Rust即用于存储和检索密码、API Key 等机密数据的客户端库。技能元数据中标注了name: azure-keyvault-secrets-rustrisk: critical—— 该技能直接触及机密数据与安全边界使用前必须明确输入、权限与安全边界source: community—— 社区贡献需结合环境实际验证date_added: 2026-02-27技能描述中定义的触发场景包括keyvault secrets rust、SecretClient rust、get secret rust、set secret rust说明该技能适用于需要从 Rust 程序读写 Key Vault 机密的开发与运维任务。仓库中与之配套的技能还有azure-identity-rust/SKILL.mdEntra ID 认证体系提供DeveloperToolsCredential、ManagedIdentityCredential等多种凭据azure-keyvault-keys-rust/SKILL.md管理非对称加密密钥RSA/EC/HSMazure-keyvault-secrets-ts/SKILL.md同功能的 TypeScript 版本便于跨语言团队对照参考环境准备与依赖安装在 Rust 项目中添加两个核心依赖cargo add azure_security_keyvault_secrets azure_identityazure_security_keyvault_secretsKey Vault Secrets 的客户端库提供SecretClientazure_identity认证库提供 Entra ID 各类凭据实现从 azure-identity-rust/SKILL.md 可以看到异步运行时方面建议使用tokiofeaturecargo add azure_identity --features tokio。这意味着你的应用需要基于 tokio 异步运行时如#[tokio::main]所有客户端调用均为.await异步操作。环境变量配置AZURE_KEYVAULT_URLhttps://vault-name.vault.azure.net/将vault-name替换为你的实际 Key Vault 名称。该变量是客户端初始化的目标端点建议在.env文件或 CI 密钥库中统一管理不要硬编码进源码。认证机制Entra ID 凭据体系技能文档强调使用 Microsoft Entra ID原 Azure AD进行认证而不是旧的访问密钥方式。核心代码use azure_identity::DeveloperToolsCredential; use azure_security_keyvault_secrets::SecretClient; let credential DeveloperToolsCredential::new(None)?; let client SecretClient::new( https://vault-name.vault.azure.net/, credential.clone(), None, )?;本地开发DeveloperToolsCredentialDeveloperToolsCredential是推荐用于本地开发的凭据它会按顺序尝试开发者工具完成登录。根据 azure-identity-rust/SKILL.md 中的凭据链顺序表顺序凭据环境要求1AzureCliCredential已执行az login2AzureDeveloperCliCredential已执行azd auth login生产环境ManagedIdentityCredential对于 Azure 托管的资源VM、App Service、Functions、AKS 等推荐托管身份认证无需管理任何密钥use azure_identity::ManagedIdentityCredential; // 系统分配托管身份 let credential ManagedIdentityCredential::new(None)?; // 用户分配托管身份 let options ManagedIdentityCredentialOptions { client_id: Some(user-assigned-mi-client-id.into()), ..Default::default() }; let credential ManagedIdentityCredential::new(Some(options))?;服务主体认证对于 CI/CD 流水线等非托管环境可以使用服务主体use azure_identity::ClientSecretCredential; let credential ClientSecretCredential::new( tenant-id.into(), client-id.into(), client-secret.into(), None, )?;此时需要设置环境变量AZURE_TENANT_ID、AZURE_CLIENT_ID、AZURE_CLIENT_SECRET。此外azure_identity还支持WorkloadIdentityCredentialKubernetes workload identity、ClientCertificateCredential、AzurePipelinesCredential等类型覆盖从本地开发到生产托管的完整链路。凭据内部以Arc包装clone 成本很低可在多个客户端间复用。核心操作SecretClient 全量 CRUD技能文档的Core Operations部分覆盖了机密生命周期的主要操作以下逐项展开。获取机密Get Secretlet secret client .get_secret(secret-name, None) .await? .into_model()?; println!(Secret value: {:?}, secret.value);get_secret接收机密名称与可选选项参数返回响应后通过into_model()反序列化为模型对象secret.value即为机密明文。默认获取的是最新版本。写入/更新机密Set Secretuse azure_security_keyvault_secrets::models::SetSecretParameters; let params SetSecretParameters { value: Some(secret-value.into()), ..Default::default() }; let secret client .set_secret(secret-name, params.try_into()?, None) .await? .into_model()?;SetSecretParameters通过try_into()转换为请求体。value字段为待存储的机密值。注意在 Key Vault 中对同名机密再次调用set_secret不会覆盖原值而是自动创建新版本即技能最佳实践中提到的 Version secrets。更新机密属性Update Secret Propertiesuse azure_security_keyvault_secrets::models::UpdateSecretPropertiesParameters; use std::collections::HashMap; let params UpdateSecretPropertiesParameters { content_type: Some(text/plain.into()), tags: Some(HashMap::from([(env.into(), prod.into())])), ..Default::default() }; client .update_secret_properties(secret-name, params.try_into()?, None) .await?;该操作只更新元数据而不改动机密值。content_type用于标识机密格式如text/plain、application/jsontags用于组织与筛选机密——这两项正是技能最佳实践中第 5、6 条的落地方式。注意属性更新会作用于最新版本。删除机密Delete Secretclient.delete_secret(secret-name, None).await?;Key Vault 默认启用软删除soft delete删除后机密进入已删除状态并在保留期内默认 90 天可恢复不会立即物理销毁。因此最佳实践第 4 条特别提示deleted secrets can be recovered within retention period——在自动化脚本中删除机密前应确认这不是误操作。列举机密List Secretsuse azure_security_keyvault_secrets::ResourceExt; use futures::TryStreamExt; let mut pager client.list_secret_properties(None)?.into_stream(); while let Some(secret) pager.try_next().await? { let name secret.resource_id()?.name; println!(Secret: {}, name); }list_secret_properties返回分页器pager通过into_stream()转为异步流逐页消费避免一次性拉取全部数据。ResourceExttrait 提供resource_id()方法可从资源 ID 中提取机密名称——这是技能最佳实践第 3 条所强调的标准用法。获取指定版本Get Specific Versionuse azure_security_keyvault_secrets::models::SecretClientGetSecretOptions; let options SecretClientGetSecretOptions { secret_version: Some(version-id.into()), ..Default::default() }; let secret client .get_secret(secret-name, Some(options)) .await? .into_model()?;通过SecretClientGetSecretOptions的secret_version字段指定版本 ID即可读取历史版本的值。这在版本回滚、审计比对、多环境灰度发布等场景下非常有用。权限模型RBAC 角色分配技能文档明确要求为调用方应用、服务主体或托管身份分配以下 Key Vault 数据平面角色角色能力Key Vault Secrets Userget 和 list读取机密Key Vault Secrets Officer完整 CRUD创建、读取、更新、删除权限应遵循最小化原则仅需读取的应用只分配Key Vault Secrets User只有负责机密管理的服务才分配Key Vault Secrets Officer。这与仓库中 azure-keyvault-keys-rust/SKILL.md 的 RBAC 设计一致Key Vault Crypto User/Key Vault Crypto Officer形成统一的数据平面 RBAC权限体系。最佳实践清单技能文档给出 7 条可直接落地的实践准则使用 Entra ID 认证——开发环境用DeveloperToolsCredential生产环境用ManagedIdentityCredential避免在代码中内嵌长期密钥统一使用into_model()?——所有写操作响应都通过该方法反序列化保证类型安全使用ResourceExttrait——从资源 ID 中安全提取名称不要手写字符串解析处理软删除——已删除机密在保留期内可恢复删除操作需谨慎并纳入审计设置 content type——标记机密格式便于消费方识别与解析使用 tags 标记——按环境、归属、用途组织机密配合筛选与管理善用版本机制——写入同名机密自动生成新版本天然支持轮换与历史追溯使用边界与限制说明技能文档在 When to Use 与 Limitations 中划定了明确边界这决定了它的正确用法该技能仅适用于与其描述范围存储/检索 Key Vault 机密明确匹配的任务技能输出不能替代环境特定的验证、测试或专家评审——机密管理属于risk: critical场景上线前必须结合目标环境的实际权限、网络策略与合规要求进行验证当必需的输入、权限、安全边界或成功标准缺失时应停下来向用户确认而不是擅自猜测执行。参考资源导航azure-keyvault-secrets-rust技能文档正文中列出的 API 参考docs.rs、SDK 源码Azure SDK for Rust与 crates.io 页面均为外部资源本仓库内可直接继续阅读的配套资料包括azure-keyvault-secrets-rust/SKILL.md——本文主体完整技能原文azure-identity-rust/SKILL.md——全部凭据类型与 Credential Chain 详解azure-keyvault-keys-rust/SKILL.md——密钥管理RSA/EC/HSM与密码学操作azure-keyvault-secrets-ts/SKILL.md——TypeScript 版实现含软删除轮询、备份恢复等补充视角将这些技能与本仓库的 catalog.json技能目录索引配合使用可以快速定位 Azure 系列及其他云安全相关的全部技能构建完整的机密管理与云安全操作体系。【免费下载链接】agentic-awesome-skillsAAS Core is the local, agent-first control plane for complete catalog discovery, agent-owned selection, stack validation, and planning, backed by 2,600 agentic skills. Includes CLI, local MCP, catalog, plugins, and Workbench.项目地址: https://gitcode.com/GitHub_Trending/an/agentic-awesome-skills创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考