如何使用来自 Azure Cloud Function (python) 的用户管理身份向 Azure KeyVault 发出请求？

Question

我目前的设置：

我的 DevOps 人员创建了一个用户管理身份并将其添加到 Azure 密钥保管库的访问策略中。
我创建了一个 function 应用程序testing-01并在平台设置下为其分配了 User-ManagedIdentity。
我使用 Python 3.6 作为运行时语言。

这是我用来检查是否能够从密钥保管库访问机密的辅助方法。 我正在回复它的回应。

def cred_checker():
    credential = ManagedIdentityCredential()
    # credential = ManagedIdentityCredential(client_id='client_id 
    vault_name= "myvault"
    client = SecretClient(vault_url=f"https://{vault_name}.vault.azure.net/", credential=credential)
    username = client.get_secret(name="username")
    password= client.get_secret(name="password")

    return f"AKV client created successfully {client} .<br> name: {username},<br> pass: {password} " 

我能够毫无错误地创建客户端。 但是当我尝试从中获取秘密时，我得到了这个 ClientAuthenticationError：

Exception while executing function: Functions.HttpTriggerFunc <--- Result: Failure Exception: ClientAuthenticationError: Unexpected response '{'statusCode': 400, 'message': 'Unable to load requested managed identity.', 'correlationId': '92daf146-fed2-4a75-8359-9r955939815e'}'

Answer 1

当您使用用户分配的身份时，您需要在ManagedIdentityCredential()中指定 MSI 的client_id 。

credential = ManagedIdentityCredential(client_id="xxxxxxxx")

要获取client_id ，请导航到您的 function 应用程序 -> Identity -> User assigned -> 单击您的用户分配身份 -> 复制client_id 。

Answer 2

以下是在 python 中使用托管标识的方法：

from msrestazure.azure_active_directory import MSIAuthentication
creds = MSIAuthentication()
client = SecretClient(vault_url=MyVaultUrl, credentials=creds)

但是，要使其正常工作，您必须将身份分配给 azure function 作为部署的一部分。 如果您使用的是 terraform，那么您可以使用一个提供程序，它接受一个身份 {} 块，您可以在其中指定 type="UserAssigned" 和 identity_ids = ["id1", "id2",...]

Answer 3

尽管您已将功能（用户管理的身份）添加到访问策略中，但您还需要将其添加到 RBAC 角色以允许其访问 Key Vault 资源。

在 Key Vault 上的角色分配中将功能（用户管理身份）添加为“贡献者”在此处输入图像描述