Lire en anglais

Partager via

Tutoriel : Utiliser Azure Key Vault avec une machine virtuelle dans .NET

  • Article

Azure Key Vault vous permet de protéger des secrets tels que les clés API et les chaînes de connexion de base de données nécessaires pour accéder à vos applications, services et ressources.

Dans ce tutoriel, vous allez vous procurer une application console pour lire des informations d’Azure Key Vault. L’application utilise l’identité managée de la machine virtuelle pour s’authentifier auprès de Key Vault.

Ce didacticiel explique les procédures suivantes :

  • Créez un groupe de ressources.
  • Création d’un coffre de clés
  • Ajoutez un secret au coffre de clés.
  • Récupération d’un secret à partir du coffre de clés.
  • Créez une machine virtuelle Azure.
  • Activer une identité managée pour la machine virtuelle.
  • Attribuez des autorisations à l’identité de machine virtuelle.

Avant de continuer, lisez les concepts de base de Key Vault.

Si vous n’avez pas d’abonnement Azure, créez un compte gratuit.

Prérequis

Pour Windows, Mac et Linux :

Créer des ressources et affecter des autorisations

Avant de commencer à coder, vous devez créer des ressources, placer une clé secrète dans votre coffre de clés et affecter des autorisations.

Connexion à Azure

Connectez-vous à Azure en utilisant la commande suivante :

Azure CLI 
az login

Créer un groupe de ressources et un coffre de clés

Ce démarrage rapide utilise un Azure Key Vault créé au préalable. Vous pouvez créer un coffre de clés en suivant les étapes décrites dans le guide de démarrage rapide d’Azure CLI, le guide de démarrage rapide d’Azure PowerShell ou le guide de démarrage rapide du portail Azure.

Vous pouvez également exécuter ces commandes Azure CLI ou Azure PowerShell.

Important

Chaque coffre de clés doit avoir un nom unique. Remplacez <your-unique-keyvault-name> par le nom de votre coffre de clés dans les exemples suivants.

Azure CLI 
az group create --name "myResourceGroup" -l "EastUS"

az keyvault create --name "<your-unique-keyvault-name>" -g "myResourceGroup" --enable-rbac-authorization

Remplir votre coffre de clés avec un secret

Créons un secret appelé mySecret avec la valeur Success! . Il peut s’agir d’un mot de passe, d’une chaîne de connexion SQL ou de toute autre information que vous devez sécuriser et garder à disposition pour votre application.

Pour ajouter un secret au coffre de clés que vous venez de créer, utilisez la commande suivante :

Azure CLI 
az keyvault secret set --vault-name "<your-unique-keyvault-name>" --name "mySecret" --value "Success!"

Création d'une machine virtuelle

Créez une machine virtuelle Windows ou Linux en utilisant une des méthodes suivantes :

Windows Linux
Azure CLI Azure CLI
PowerShell PowerShell
Azure portal Azure portal

Affecter une identité à la machine virtuelle

Créez une identité affectée par le système pour la machine virtuelle à partir de l’exemple suivant :

Azure CLI 
az vm identity assign --name <NameOfYourVirtualMachine> --resource-group <YourResourceGroupName>

Notez l’identité affectée par le système qui est affichée dans le code suivant. La sortie de la commande ci-dessus doit être la suivante :

Output 
{
  "systemAssignedIdentity": "xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx",
  "userAssignedIdentities": {}
}

Attribuer des autorisations à l’identité de machine virtuelle

Pour accorder à vos autorisations d’application sur votre coffre de clés via le contrôle d’accès en fonction du rôle (RBAC), attribuez un rôle en utilisant la commande Azure CLI création de l’attribution de rôle az.

Azure CLI 
az role assignment create --role "Key Vault Secrets User" --assignee "<app-id>" --scope "/subscriptions/<subscription-id>/resourceGroups/<resource-group-name>/providers/Microsoft.KeyVault/vaults/<your-unique-keyvault-name>"

Remplacez <app-id>, <subscription-id>, <resource-group-name> et <your-unique-keyvault-name> par vos valeurs réelles. <app-id> est l’ID d’application (client) de votre application inscrite dans Microsoft Entra.

Se connecter à la machine virtuelle

Pour vous connecter à la machine virtuelle, suivez les instructions de l’article Connexion à une machine virtuelle Azure exécutant Windows ou Se connecter à une machine virtuelle Linux dans Azure.

Modifier l’application console

Créez une application de console et installez les packages requis à l’aide de la commande dotnet.

Installez .NET Core

Pour installer .NET Core, accédez à la page de téléchargements .NET.

Créer et exécuter l’exemple d’application .NET

Ouvrez une invite de commandes.

Vous pouvez envoyer un message « Hello World » à la console en exécutant les commandes suivantes :

Console 
dotnet new console -n keyvault-console-app
cd keyvault-console-app
dotnet run

Installer le package

À partir de la fenêtre de la console, installez la bibliothèque de client Azure Key Vault Secrets pour .NET :

Console 
dotnet add package Azure.Security.KeyVault.Secrets

Pour ce guide de démarrage rapide, vous devez installer le package d’identité suivant pour vous authentifier auprès d’Azure Key Vault :

Console 
dotnet add package Azure.Identity

Modifier l’application console

Ouvrez le fichier Program.cs et ajoutez ces packages :

C# 
using System;
using Azure.Core;
using Azure.Identity;
using Azure.Security.KeyVault.Secrets;

Ajoutez ces lignes, en mettant à jour l’URI pour refléter la valeur vaultUri de votre coffre de clés. Le code ci-dessous utilise 'DefaultAzureCredential()' pour l’authentification auprès du coffre de clés, en utilisant le jeton de l’identité managée par l’application pour s’authentifier. Il utilise également l’interruption exponentielle pour les nouvelles tentatives en cas de limitation du coffre de clés.

C# 
  class Program
    {
        static void Main(string[] args)
        {
            string secretName = "mySecret";
            string keyVaultName = "<your-key-vault-name>";
            var kvUri = "https://<your-key-vault-name>.vault.azure.net";
            SecretClientOptions options = new SecretClientOptions()
            {
                Retry =
                {
                    Delay= TimeSpan.FromSeconds(2),
                    MaxDelay = TimeSpan.FromSeconds(16),
                    MaxRetries = 5,
                    Mode = RetryMode.Exponential
                 }
            };

            var client = new SecretClient(new Uri(kvUri), new DefaultAzureCredential(),options);

            Console.Write("Input the value of your secret > ");
            string secretValue = Console.ReadLine();

            Console.Write("Creating a secret in " + keyVaultName + " called '" + secretName + "' with the value '" + secretValue + "' ...");

            client.SetSecret(secretName, secretValue);

            Console.WriteLine(" done.");

            Console.WriteLine("Forgetting your secret.");
            secretValue = "";
            Console.WriteLine("Your secret is '" + secretValue + "'.");

            Console.WriteLine("Retrieving your secret from " + keyVaultName + ".");

            KeyVaultSecret secret = client.GetSecret(secretName);

            Console.WriteLine("Your secret is '" + secret.Value + "'.");

            Console.Write("Deleting your secret from " + keyVaultName + " ...");

            client.StartDeleteSecret(secretName);

            System.Threading.Thread.Sleep(5000);
            Console.WriteLine(" done.");

        }
    }

Nettoyer les ressources

Quand ils ne sont plus nécessaires, supprimez la machine virtuelle et le coffre de clés.

Étapes suivantes

API REST Azure Key Vault