Esercitazione: Usare Azure Key Vault con una macchina virtuale in Python

Azure Key Vault consente di proteggere chiavi, segreti e certificati, ad esempio chiavi API e stringhe di connessione del database.

In questa esercitazione viene configurata un'applicazione Python per leggere le informazioni da Azure Key Vault usando un'identità gestita per le risorse Azure. Scopri come:

  • Creare un insieme di credenziali delle chiavi
  • Archiviare un segreto in Key Vault
  • Creare una macchina virtuale Linux Azure
  • Abilitare un'identità gestita per la macchina virtuale
  • Concedere le autorizzazioni necessarie per l'applicazione console per leggere i dati da Key Vault
  • Recuperare un segreto da Key Vault

Prima di iniziare, leggere Key Vault concetti di base.

Se non si ha una sottoscrizione Azure, creare un account free.

Prerequisiti

Per Windows, Mac e Linux:

Accedere ad Azure

Accedere a Azure con il interfaccia della riga di comando di Azure:

az login

Creare un gruppo di risorse e un insieme di credenziali delle chiavi

In questo argomento di avvio rapido si usa un'istanza creata in precedenza di Azure Key Vault. È possibile creare un insieme di credenziali delle chiavi seguendo i passaggi di queste guide introduttive:

In alternativa, è possibile eseguire questi comandi interfaccia della riga di comando di Azure o Azure PowerShell.

Importante

Ogni insieme di credenziali delle chiavi deve avere un nome univoco. Sostituire <vault-name> con il nome del Key Vault negli esempi seguenti.

az group create --name "myResourceGroup" -l "EastUS"

az keyvault create --name "<vault-name>" -g "myResourceGroup" --enable-rbac-authorization true

Popolare l'insieme di credenziali delle chiavi con un segreto

Creare un segreto denominato mySecret, con un valore Success!. Un segreto potrebbe essere una password, un stringa di connessione SQL o qualsiasi altra informazione che è necessario mantenere sia sicura che disponibile per l'applicazione.

Per aggiungere un segreto al tuo Key Vault appena creato, usa il seguente comando:

az keyvault secret set --vault-name "<vault-name>" --name "mySecret" --value "Success!"

Creare una macchina virtuale

Creare una macchina virtuale denominata myVM usando uno dei metodi seguenti:

Linux Windows
interfaccia della riga di comando di Azure interfaccia della riga di comando di Azure
PowerShell PowerShell
portale Azure portale Azure

Per creare una macchina virtuale Linux usando il interfaccia della riga di comando di Azure, usare il comando az vm create. L'esempio seguente aggiunge un account utente denominato azureuser. Il parametro --generate-ssh-keys viene usato per generare automaticamente una chiave SSH e inserito nella posizione predefinita della chiave (~/.ssh).

az vm create \
  --resource-group <resource-group> \
  --name myVM \
  --image Ubuntu2204 \
  --admin-username azureuser \
  --generate-ssh-keys

Prendere nota del valore di publicIpAddress nell'output.

Assegnare un'identità alla macchina virtuale

Creare un'identità gestita assegnata dal sistema per la macchina virtuale usando il comando az vm identity assign :

az vm identity assign --name "myVM" --resource-group "<resource-group>"

Prendere nota dell'identità assegnata dal sistema nell'output:

{
  "systemAssignedIdentity": "xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx",
  "userAssignedIdentities": {}
}

Assegnare autorizzazioni per l'identità della macchina virtuale

Per ottenere le autorizzazioni per l'insieme di credenziali delle chiavi tramite il controllo degli accessi in base al ruolo (RBAC), assegnare un ruolo all'UPN (User Principal Name) usando il comando dell'interfaccia della riga di comando di Azure az role assignment create.

az role assignment create --role "Key Vault Secrets User" --assignee "<upn>" --scope "/subscriptions/<subscription-id>/resourceGroups/myResourceGroup/providers/Microsoft.KeyVault/vaults/<vault-name>"

Sostituire <upn>, <subscription-id>e <vault-name> con i valori effettivi. Se è stato usato un nome di gruppo di risorse diverso, sostituire anche "myResourceGroup". L'UPN in genere sarà nel formato di un indirizzo e-mail (ad esempio, username@domain.com).

Accedere alla macchina virtuale

Per accedere alla macchina virtuale, seguire le istruzioni in Connettersi e accedere a una macchina virtuale Azure che esegue Linux o Connetti e accedere a una macchina virtuale Azure che esegue Windows.

Per accedere a una macchina virtuale Linux, usare ssh con il <public-ip-address> passaggio Creare una macchina virtuale :

ssh azureuser@<public-ip-address>

Installare le librerie Python sulla macchina virtuale

Nella macchina virtuale installare le due librerie Python usate dallo script di esempio: azure-keyvault-secrets e azure-identity.

In una macchina virtuale Linux installarli con pip3:

pip3 install azure-keyvault-secrets azure-identity

Creare e modificare lo script di esempio Python

Nella macchina virtuale creare un file di Python denominato sample.py. Incollare il codice seguente nel file, sostituendo a <vault-name> il nome dell'insieme di credenziali delle chiavi:

from azure.keyvault.secrets import SecretClient
from azure.identity import DefaultAzureCredential

key_vault_name = "<vault-name>"
key_vault_uri = f"https://{key_vault_name}.vault.azure.net"
secret_name = "mySecret"

credential = DefaultAzureCredential()
client = SecretClient(vault_url=key_vault_uri, credential=credential)
retrieved_secret = client.get_secret(secret_name)

print(f"The value of secret '{secret_name}' in '{key_vault_name}' is: '{retrieved_secret.value}'")

Eseguire l'app di esempio Python

Eseguire sample.py. Se tutto è configurato correttamente, l'app stampa il valore del segreto:

python3 sample.py

The value of secret 'mySecret' in '<vault-name>' is: 'Success!'

Pulire le risorse

Quando non sono più necessari, eliminare la macchina virtuale e l'insieme di credenziali delle chiavi. Il modo più rapido consiste nell'eliminare il gruppo di risorse a cui appartengono:

az group delete -g "myResourceGroup"

Passaggi successivi

API REST Azure Key Vault

  • Last updated on