Tutoriel : utiliser Azure Key Vault avec une machine virtuelle dans Python

Azure Key Vault vous permet de protéger les clés, secrets et certificats, notamment les clés API et les chaînes de connexion de base de données.

Dans ce tutoriel, vous allez configurer une application Python pour lire des informations dans Azure Key Vault à l’aide d’identités managées pour les ressources Azure. Vous apprenez à :

Avant de commencer, lisez les concepts de base de Key Vault.

Si vous n’avez pas d’abonnement Azure, créez un compte gratuit.

Conditions préalables

Pour Windows, Mac et Linux :

• Git
• Ce didacticiel nécessite que vous exécutiez l’interface Azure CLI localement. Vous devez avoir installé Azure CLI 2.0.4 ou ultérieure. Exécutez az --version pour trouver la version. Si vous devez installer ou mettre à niveau l’interface CLI, consultez Installer Azure CLI 2.0.

Connexion à Azure

Pour vous connecter à Azure à l’aide de l’interface CLI, entrez :

az login

Créer un groupe de ressources et un coffre de clés

Ce démarrage rapide utilise un Azure Key Vault créé au préalable. Vous pouvez créer un coffre de clés en suivant les étapes décrites dans ces démarrage rapides :

• Démarrage rapide Azure CLI
• Démarrage rapide Azure PowerShell
• Démarrage rapide du portail Azure

Vous pouvez également exécuter ces commandes Azure CLI ou Azure PowerShell.

az group create --name "myResourceGroup" -l "EastUS"

az keyvault create --name "<your-unique-keyvault-name>" -g "myResourceGroup" --enable-rbac-authorization

New-AzResourceGroup -Name myResourceGroup -Location eastus

New-AzKeyVault -Name <your-unique-keyvault-name> -ResourceGroupName myResourceGroup -Location eastus

Remplir votre coffre de clés avec un secret

Créons un secret appelé mySecret, avec la valeur Success !. Il peut s’agir d’un mot de passe, d’une chaîne de connexion SQL ou de toute autre information que vous devez sécuriser et garder à disposition pour votre application.

Pour ajouter un secret au coffre de clés que vous venez de créer, utilisez la commande suivante :

az keyvault secret set --vault-name "<your-unique-keyvault-name>" --name "mySecret" --value "Success!"

$secret = ConvertTo-SecureString -String 'Success!' -AsPlainText
Set-AzKeyVaultSecret -VaultName <your-unique-keyvault-name> -Name mySecret -SecretValue $secret

Créer une machine virtuelle

Créez une machine virtuelle appelée myVM à l’aide de l’une des méthodes suivantes :

Pour créer une machine virtuelle Linux à l’aide d’Azure CLI, utilisez la commande az vm create . L’exemple suivant ajoute un compte d’utilisateur nommé azureuser. Le --generate-ssh-keys paramètre est utilisé pour générer automatiquement une clé SSH et le placer à l’emplacement de la clé par défaut (~/.ssh).

az vm create \
  --resource-group myResourceGroup \
  --name myVM \
  --image Ubuntu2204 \
  --admin-username azureuser \
  --generate-ssh-keys

Notez la valeur de publicIpAddress dans la sortie.

Affecter une identité à la machine virtuelle

Créez une identité affectée par le système pour la machine virtuelle à l’aide de la commande Azure CLI az vm identity assign :

az vm identity assign --name "myVM" --resource-group "myResourceGroup"

Notez l'identité attribuée par le système qui est affichée dans le code suivant. La sortie de la commande ci-dessus doit être la suivante :

{
  "systemAssignedIdentity": "xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx",
  "userAssignedIdentities": {}
}

Attribuer des autorisations à l’identité de machine virtuelle

az role assignment create --role "Key Vault Secrets User" --assignee "<upn>" --scope "/subscriptions/<subscription-id>/resourceGroups/<resource-group-name>/providers/Microsoft.KeyVault/vaults/<your-unique-keyvault-name>"

New-AzRoleAssignment -SignInName "<upn>" -RoleDefinitionName "Key Vault Secrets User" -Scope "/subscriptions/<subscription-id>/resourceGroups/<resource-group-name>/providers/Microsoft.KeyVault/vaults/<your-unique-keyvault-name>"

Se connecter à la machine virtuelle

Pour vous connecter à la machine virtuelle, suivez les instructions de Connexion et connectez-vous à une machine virtuelle Azure exécutant Linux ou Connect et connectez-vous à une machine virtuelle Azure exécutant Windows.

Pour vous connecter à une machine virtuelle Linux, vous pouvez utiliser la commande ssh avec publicIpAddress <> donné à l’étape Créer une machine virtuelle :

ssh azureuser@<PublicIpAddress>

Installer les bibliothèques Python sur la machine virtuelle

Sur la machine virtuelle, installez les deux bibliothèques Python que nous utiliserons dans notre script Python : azure-keyvault-secrets et azure.identity.

Sur une machine virtuelle Linux, par exemple, vous pouvez les installer à l’aide de pip3 :

pip3 install azure-keyvault-secrets

pip3 install azure.identity

Créer et modifier l’exemple de script Python

Sur la machine virtuelle, créez un fichier Python appelé sample.py. Modifiez le fichier pour y inclure le code suivant en remplaçant <your-unique-keyvault-name> par le nom de votre coffre de clés :

from azure.keyvault.secrets import SecretClient
from azure.identity import DefaultAzureCredential

key_vault_name = "<your-unique-keyvault-name>"
key_vault_uri = f"https://{key_vault_name}.vault.azure.net"
secret_name = "mySecret"

credential = DefaultAzureCredential()
client = SecretClient(vault_url=key_vault_uri, credential=credential)
retrieved_secret = client.get_secret(secret_name)

print(f"The value of secret '{secret_name}' in '{key_vault_name}' is: '{retrieved_secret.value}'")

Exécuter l’exemple d’application Python

Enfin, exécutez sample.py. Si tout s’est bien passé, la valeur de votre secret doit être retournée :

python3 sample.py

The value of secret 'mySecret' in '<your-unique-keyvault-name>' is: 'Success!'

Nettoyer les ressources

Quand ils ne sont plus nécessaires, supprimez la machine virtuelle et le coffre de clés. Vous pouvez le faire rapidement en supprimant le groupe de ressources auquel ils appartiennent :

az group delete -g myResourceGroup

Étapes suivantes

Azure Key Vault REST API