Python Functions에서 Azure Key Vault에 액세스

당신은 왜 여기에 있습니까?

Python Azure 함수를 개발 중이며 Azure Key Vault에서 비밀에 액세스하려고합니다.

지금까지 무엇을 했습니까?

이 문서의 단계에서는 이미 다음을 수행했다고 가정합니다.

Azure Functions 확장을 사용하여 VS Code에서 로컬 Python Azure 함수 프로젝트를 만들었습니다.
로컬 프로젝트의 Python 함수를 Azure의 함수 앱에 배포했습니다.

이 단계에서 다음과 같은 코드가있을 수 있습니다.

def main(req: func.HttpRequest) -> func.HttpResponse:
    
    # do some stuff with hard-coded secrets here

    if success:
        return func.HttpResponse(
            'Success',
            status_code=200
        )
    else:
        return func.HttpResponse(
             'Something went wrong',
             status_code=404
        )

def main(req: func.HttpRequest) -> func.HttpResponse:
    
    # retrieve secrets from key vault instead

    if success:
        return func.HttpResponse(
            'Success',
            status_code=200
        )
    else:
        return func.HttpResponse(
             'Something went wrong',
             status_code=404
        )

1. 로컬 프로젝트 변경

VS 코드에서 로컬 프로젝트를 약간 변경하여 시작하겠습니다.

우리 지역의 기계가되지 않습니다 (그리고 이후 해야 되지 않음) 키 볼트 암시 액세스 할 수 있습니다, 우리는 당신이 여전히 배포 된 함수의 동작을 시뮬레이션하는 방식으로 로컬 디버깅 할 수 있도록 자리의 비밀을 추가해야합니다.

로컬 프로젝트를 처음 만들었을 때 선택한 프로젝트 폴더에 여러 파일이 자동으로 생성되었음을 알 수 있습니다. 라는 파일을 찾습니다 local.settings.json. 자리 표시 자 키 저장소 암호 역할을하려면이 파일에 몇 줄을 추가해야합니다.

{
  “IsEncrypted”: false,
  “Values”: {
    “AzureWebJobsStorage”: “”,
    “FUNCTIONS_WORKER_RUNTIME”: “python”,
    “UsernameFromKeyVault”: “James”,
    “PasswordFromKeyVault”: “Pwd”
  }
}

이 값은 os.getenv()함수 를 사용하여 Python 코드에서 액세스 할 수 있습니다 . 예를 들어 os.getenv('UsernameFromKeyVault')함수 코드를 호출하면 "James"값이 반환됩니다.

이제 함수를 다음과 같이 수정할 수 있습니다.

import os

import azure.functions as func

# access sensitive credentials from Azure Key Vault
user_name = os.getenv('UsernameFromKeyVault')
password = os.getenv('PasswordFromKeyVault')


def main(req: func.HttpRequest) -> func.HttpResponse:
    logging.info('Python HTTP trigger function processed a request.')

    return func.HttpResponse(
        # reference credentials in function call
        f'Hello {user_name}, your password is {password}.',
        status_code=200
    )

키 값은 로컬 환경에서 검색되어 함수 반환에 사용되었습니다.

2. Azure에서 변경

다음으로 함수 환경에서 주요 자격 증명 모음 비밀에 액세스 할 수 있도록 Azure 리소스를 약간 변경합니다.

2.1. Function App 시스템 ID 활성화

Azure Portal에서 함수 앱으로 이동합니다. 에서 설정 -> 신원은 "ON"으로 상태를 설정합니다

2.2. 볼트에 비밀 추가

아직 수행하지 않은 경우 리소스 그룹에 새 Key Vault를 생성합니다. 볼트 생성 의 액세스 정책 섹션에서 "+ 액세스 정책 추가"라는 텍스트를 클릭합니다.

드롭 다운 상자를 클릭하여 템플릿 에서 구성 하고 "비밀 관리"를 선택합니다.

"선택한 항목 없음"이라는 텍스트를 클릭하고 오른쪽 패널에서 함수 앱의 이름을 검색하여 볼트에 대한 액세스 권한을 제공합니다.

"추가"를 클릭 한 다음 볼트를 만들기 전에 Key Vault에 대한 현재 액세스 정책 목록이 아래 목록과 같은지 확인합니다.

마지막으로 원하는 비밀을 볼트에 추가합니다. 이러한 비밀 의 값 이 동일 할 필요는 없지만 이름은 local.settings.json파일에 추가 한 것과 정확히 동일해야 합니다. 이 예에서는 이름을 UsernameFromKeyVault 및 PasswordFromKeyVault로 지정했습니다 . 요점을 설명하기 위해 볼트에 저장된 암호의 비밀 값도 변경했습니다.