Tutoriel : Utiliser des références Key Vault dans une application Python

Dans ce tutoriel, vous allez apprendre à implémenter des références Key Vault dans une application Python à l’aide d’App Configuration. Il s’appuie sur l’application web introduite dans le guide de démarrage rapide. Avant de continuer, commencez par créer une application Python avec App Configuration .

Dans ce tutoriel, vous allez apprendre à :

Prerequisites

• Abonnement Azure : créez-en un gratuitement
• Python 3.8 ou version ultérieure : pour plus d’informations sur la configuration de Python sur Windows, consultez la documentation de Python sur Windows
• Terminez le guide de démarrage rapide Créer une application Python avec App Configuration .

Créer un coffre de clés

1. Connectez-vous au Portail Azure, puis sélectionnez Créer une ressource.

2. Dans la zone de recherche, entrez Key Vault. Dans la liste des résultats, sélectionnez Key Vault.

3. Dans la page Key Vault , sélectionnez Créer.

4. Dans la page Créer un coffre de clés , entrez les informations suivantes :

   • Pour l’abonnement : sélectionnez un abonnement.
   • Pour le groupe de ressources : entrez le nom d’un groupe de ressources existant ou sélectionnez Créer et entrez un nom de groupe de ressources.
   • Pour le nom du coffre de clés : entrez un nom unique.
   • Pour la région : sélectionnez un emplacement.

5. Pour les autres options, utilisez les valeurs par défaut.

6. Sélectionnez Vérifier + créer.

7. Une fois le système validé et affiché vos entrées, sélectionnez Créer.

À ce stade, votre compte Azure est le seul autorisé à accéder à ce nouveau coffre.

Ajouter un secret à Azure Key Vault

Ajoutez un secret au coffre pour tester l'extraction de Key Vault. Le secret est appelé Message et sa valeur est « Hello from Key Vault ».

1. Dans le menu de la ressource Key Vault, sélectionnez Objets>Secrets.

2. Sélectionnez Générer/Importer.

3. Dans la boîte de dialogue Créer un secret , entrez les valeurs suivantes :

   • Pour les options de chargement : Entrer Manual.
   • Nom : entrez le message.
   • Pour la valeur secrète : entrez Bonjour depuis Key Vault.

4. Pour les autres options, utilisez les valeurs par défaut.

5. Cliquez sur Créer.

Ajouter une référence Key Vault à App Configuration

1. Connectez-vous au portail Azure. Sélectionnez Toutes les ressources, puis sélectionnez votre magasin App Configuration.

2. Sélectionnez Explorateur de configuration.

3. Sélectionnez + Créer>Référence Key Vault, puis choisissez les valeurs suivantes :

   • Clé : Entrez TestApp:Settings:KeyVaultMessage.
   • Étiquette : Laissez cette valeur vide.
   • Abonnement, groupe de ressources et coffre de clés : entrez les valeurs correspondant au coffre de clés que vous avez créé dans la section précédente.
   • Secret : Sélectionnez le secret nommé Message que vous avez créé dans la section précédente.

Autoriser votre application à accéder à Key Vault

Votre application utilise DefaultAzureCredential pour s’authentifier auprès d’App Configuration et de Key Vault. Ces informations d’identification fonctionnent automatiquement avec les identités managées dans Azure et avec vos informations d’identification de développeur localement.

1. Accordez à votre identité l’accès à Key Vault. Attribuez le rôle Utilisateur des secrets Key Vault à votre compte d’utilisateur ou à votre identité gérée :

   az role assignment create --role "Key Vault Secrets User" --scope /subscriptions/<SubscriptionId>/resourceGroups/<ResourceGroupName>/providers/Microsoft.KeyVault/vaults/<KeyVaultName> --assignee <AzureAdUserOrManagedIdentity>
   

2. Accordez à votre identité l’accès à App Configuration. Attribuez le rôle Lecteur de données App Configuration :

   az role assignment create --role "App Configuration Data Reader" --scope /subscriptions/<SubscriptionId>/resourceGroups/<ResourceGroupName>/providers/Microsoft.AppConfiguration/configurationStores/<AppConfigurationStoreName> --assignee <AzureAdUserOrManagedIdentity>
   

Mettre à jour votre code pour utiliser une référence Key Vault

1. Installez les packages requis en exécutant la commande suivante :

   pip install azure-appconfiguration-provider azure-identity
   

2. Créez une variable d’environnement appelée AZURE_APPCONFIG_ENDPOINT. Définissez sa valeur sur le point de terminaison de votre magasin App Configuration. Vous trouverez le point de terminaison dans le panneau Vue d’ensemble dans le portail Azure.

   • Invite de commandes Windows
   • PowerShell
   • macOS ou Linux

   setx AZURE_APPCONFIG_ENDPOINT "endpoint-of-your-app-configuration-store"
   

   Redémarrez l’invite de commandes pour que la modification soit prise en compte.

3. Mettez à jour votre fichier d’application Python pour charger les références Key Vault. Créez ou mettez à jour un fichier appelé app.py :

   from azure.appconfiguration.provider import load
   from azure.identity import DefaultAzureCredential
   import os
   
   endpoint = os.environ.get("AZURE_APPCONFIG_ENDPOINT")
   credential = DefaultAzureCredential()
   
   # Connect to Azure App Configuration and resolve Key Vault references.
   config = load(
       endpoint=endpoint,
       credential=credential,
       keyvault_credential=credential,
   )
   
   # Access configuration values, including resolved Key Vault references.
   print(config["TestApp:Settings:KeyVaultMessage"])
   

   Le keyvault_credential paramètre indique au fournisseur d’utiliser les informations d’identification données lors de la résolution des références Key Vault. La même DefaultAzureCredential instance est utilisée pour l’authentification App Configuration et Key Vault.

   Note

   Si vos références Key Vault pointent vers plusieurs coffres de clés qui nécessitent des informations d’identification différentes, vous pouvez utiliser le paramètre keyvault_client_configs au lieu de fournir des informations d’identification par coffre. Pour plus d’informations, consultez la référence du fournisseur Python.

4. Exécutez l’application :

   python app.py
   

   Le message que vous avez entré dans App Configuration s’affiche. Vous voyez également le message que vous avez entré dans Key Vault, résolu par le biais de la référence Key Vault.

Nettoyer les ressources

Si vous ne souhaitez plus utiliser les ressources créées dans cet article, supprimez le groupe de ressources que vous avez créé ici afin d’éviter des frais.

1. Connectez-vous au portail Azure, puis sélectionnez Groupes de ressources.
2. Dans la zone Filtrer par nom, entrez le nom de votre groupe de ressources.
3. Dans la liste de résultats, sélectionnez le nom du groupe de ressources pour afficher une vue d’ensemble.
4. Sélectionnez Supprimer le groupe de ressources.
5. Vous êtes invité à confirmer la suppression du groupe de ressources. Entrez le nom de votre groupe de ressources à confirmer, puis sélectionnez Supprimer.

Après quelques instants, le groupe de ressources et toutes ses ressources sont supprimés.

Étapes suivantes

Dans ce tutoriel, vous créez une clé App Configuration qui référence une valeur stockée dans Key Vault. Pour en savoir plus sur le fournisseur Python pour Azure App Configuration, consultez la documentation de référence du fournisseur Python.