Azure Event Grid でキーコンテナー通知を受信して応答する

[アーティクル]
01/30/2024

Azure Key Vault と Azure Event Grid の統合により、キーコンテナーに格納されているシークレットの状態が変更されたときにユーザーに通知することができます。この機能の概要については、Event Grid による Key Vault の監視に関するページをご覧ください。

このガイドでは、Event Grid によって Key Vault の通知を受信する方法、および Azure Automation によって状態の変更に応答する方法について説明します。

前提条件

Azure サブスクリプション。 Azure サブスクリプションをお持ちでない場合は、開始する前に無料アカウントを作成してください。
ご自身の Azure サブスクリプションのキーコンテナー。新しいキーコンテナーをすばやく作成するには、Azure CLI を使用した Azure Key Vault からのシークレットの設定と取得に関するページの手順に従います。

概念

Event Grid は、クラウドのイベント処理サービスです。このガイドの手順に従って、Key Vault のイベントをサブスクライブして、イベントを Automation にルーティングします。キーコンテナーのいずれかのシークレットの有効期限 (30 日に設定されます) が近づくと、Event Grid に状態の変化の通知が送られ、それに応じて HTTP POST がエンドポイントに送信されます。その後、Web hook によって PowerShell スクリプトの Automation 実行がトリガーされます。

HTTP POST フローチャート

Automation アカウントを作成する

Azure portal で、Automation アカウントを作成します。

portal.azure.com にアクセスして、ご自身のサブスクリプションにログインします。
検索ボックスに、「Automation Accounts」と入力します。
検索バーのドロップダウンリストの [サービス] セクションで、 [Automation アカウント] を選択します。
[追加] を選択します。
[Automation アカウントの追加] ウィンドウに必要な情報を入力し、 [作成] を選択します。

Runbook を作成する

ご自身の Automation アカウントの準備ができたら、Runbook を作成します。

Runbook UI を作成する

作成した Automation アカウントを選択します。
[プロセスオートメーション] の [Runbook] を選択します。
[Runbook の作成] を選択します。
Runbook に名前を付けて、Runbook の種類として [PowerShell] を選択します。
作成した Runbook を選択し、 [編集] ボタンを選択します。
(テストの目的で) 次のコードを入力し、 [発行] ボタンを選択します。このアクションにより、受信した POST 要求の結果が返されます。

param
(
[Parameter (Mandatory = $false)]
[object] $WebhookData
)

#If runbook was called from Webhook, WebhookData will not be null.
if ($WebhookData) {

#rotate secret:
#generate new secret version in key vault
#update db/service with generated secret

#Write-Output "WebhookData <$WebhookData>"
Write-Output $WebhookData.RequestBody
}
else
{
# Error
write-Error "No input data found." 
}

Runbook UI の発行

webhook を作成する

新しく作成された Runbook をトリガーする Webhook を作成します。

発行した Runbook の [リソース] セクションで [Webhook] を選択します。
[Webhook の追加] を選択します。
[新しい Webhook を作成します] を選択します。
Webhook に名前を付けて、有効期限を設定し、URL をコピーします。

重要

Webhook の作成後に URL を表示することはできません。このガイドの残りの部分で使用できるように、アクセスできる安全な場所にコピーを保管しておいてください。
[パラメーターと実行設定] を選択し、 [OK] を選択します。パラメーターは入力しないでください。 [作成] ボタンが有効になります。
[OK] を選択し、 [作成] を選択します。

Event Grid のサブスクリプションを作成する

Azure portal を使用して Event Grid サブスクリプションを作成します。

ご自身のキーコンテナーにアクセスし、[イベント] タブを選択します。
[+ イベントサブスクリプション] ボタンを選択します。
サブスクリプションのわかりやすい名前を作成します。
[イベントグリッドスキーマ] を選択します。
[トピックのリソース] は、状態の変化を監視するキーコンテナーにします。
[イベントの種類のフィルター] については、すべてのオプションをオンのままにします (9 個が選択済み)。
[エンドポイントの種類] で [Webhook] を選択します。
[エンドポイントの選択] を選択します。新しいコンテキストウィンドウの [サブスクライバーエンドポイント] フィールドに、「Webhook を作成する」手順からの Webhook URL を貼り付けます。
コンテキストウィンドウで [選択内容の確認] を選択します。
［作成］ を選択します

テストして検証する

Event Grid サブスクリプションが適切に構成されていることを確認します。このテストは、「Event Grid のサブスクリプションを作成する」で "シークレットの新しいバージョンが作成されました" という通知をサブスクライブしたこと、およびシークレットの新しいバージョンをキーコンテナーに作成するのに必要な権限を持っていることを前提としています。

Event Grid サブスクリプションの構成のテスト

[シークレットの作成] ウィンドウ

Azure portal で、ご自身のキーコンテナーに移動します
新しいシークレットを作成します。テストの目的で、有効期限を翌日に設定します。
ご自身のキーコンテナーの [イベント] タブで、作成した Event Grid サブスクリプションを選択します。
[メトリック] で、イベントがキャプチャされたかどうかを確認します。 2 つのイベントが想定されます。1 つは SecretNewVersion で、もう 1 つは SecretNearExpiry です。これらのイベントにより、キーコンテナーにあるシークレットの状態の変更が、Event Grid によって正常にキャプチャされたことが検証されます。
Automation アカウントに移動します。
[Runbook] タブを選択し、作成した Runbook を選択します。
[Webhook] タブを選択し、"最終トリガー" のタイムスタンプが、新しいシークレット作成から 60 秒以内であることを確認します。この結果により、キーコンテナーの状態変更イベントの詳細を含む POST が Event Grid によって Webhook に対して実行され、Webhook がトリガーされたことが確認されます。
ご自身の Runbook に戻り、 [概要] タブを選択します。
[最近のジョブ] の一覧を確認します。ジョブが作成され、状態が "完了" になっていることがわかります。これにより、Webhook によって Runbook がトリガーされ、そのスクリプトの実行が開始されたことが確認されます。
最近のジョブを選択し、Event Grid から Webhook に送信された POST 要求を確認します。 JSON を調べ、キーコンテナーとイベントの種類のパラメーターが正しいことを確認します。 JSON オブジェクトの "イベントの種類" パラメーターが、キーコンテナーで発生したイベント (この例では Microsoft.KeyVault.SecretNearExpiry) と一致する場合、テストは成功しました。

トラブルシューティング

イベントサブスクリプションを作成できない

お使いの Azure サブスクリプションのリソースプロバイダーで、Event Grid およびキーコンテナープロバイダーを再登録します。「Azure リソースプロバイダーと種類」を参照してください。

次のステップ

お疲れさまでした。これらのすべての手順を正しく実行したら、お使いのキーコンテナーに格納されているシークレットの状態変更にプログラムで応答する準備ができています。

ポーリングベースのシステムを使用して、キーコンテナー内のシークレットの状態変更を探す場合は、ここでこの通知機能の使用を開始できます。また、ご自身の Runbook のテストスクリプトをコードに置き換えて、まもなく有効期限が切れるシークレットをプログラムによって更新することもできます。

詳細情報:

Azure Event Grid でキー コンテナー通知を受信して応答する