Интеграция KeyVault с функциями Azure (среда выполнения powershell) не работает

Если вы хотите получить доступ к секрету хранилища ключей в функции Azure, у вас есть два варианта.

• Установить как переменные среды

Если вы хотите установить секрет хранилища ключей Azure в качестве переменных среды, вы можете завершить это с помощью Azure CLI. Дополнительные сведения см. В https://docs.microsoft.com/en-us/azure/azure-functions/functions-how-to-use-azure-function-app-settings.

az functionapp config appsettings set -n testfun08 -g testfun07 --settings "[email protected](SecretUri=<$secretId>)"

• Используйте REST API хранилища ключей Azure

Если вы хотите получить значение своего хранилища ключей Azure с помощью Azure Key Vault REST API, следуйте подробным инструкциям, как показано ниже.

1. Настроить MSI
2. Настроить хранилище ключей Azure политика доступа

    Connect-AzAccount

    $app=Get-AzADServicePrincipal -DisplayName "your function app name"

    Set-AzKeyVaultAccessPolicy -VaultName "your key vault name" -ResourceGroupName "your group name" -ObjectId $app.Id -PermissionsToSecrets list, get

3. Код

using namespace System.Net

# Input bindings are passed in via param block.
param($Request, $TriggerMetadata)

# Write to the Azure Functions log stream.
Write-Host "PowerShell HTTP trigger function processed a request."

# Interact with query parameters or the body of the request.
$name = $Request.Query.Name
if (-not $name) {
    $name = $Request.Body.Name
}

if ($name) {
# get access token with MSI. For more details, please refer to https://docs.microsoft.com/en-us/azure/app-service/overview-managed-identity#rest-protocol-examples
    $tokenAuthURI = $Env:MSI_ENDPOINT +"?resource=https://vault.azure.net&api-version=2017-09-01"
   $tokenResponse = Invoke-RestMethod -Method Get -Headers @{"Secret"="$env:MSI_SECRET"} -Uri $tokenAuthURI
$accessToken = $tokenResponse.access_token
# get secret value
$headers = @{ 'Authorization' = "Bearer $accessToken" }
$queryUrl = "the url of secret" + "?api-version=7.0"

$keyResponse = Invoke-RestMethod -Method GET -Uri $queryUrl -Headers $headers
$value= $keyResponse.value
Write-Host "$vaule"  
    $status = [HttpStatusCode]::OK
    $body = "Hello $name $value"
}
else {
    $status = [HttpStatusCode]::BadRequest
    $body = "Please pass a name on the query string or in the request body."
}

# Associate values to output bindings by calling 'Push-OutputBinding'.
Push-OutputBinding -Name Response -Value ([HttpResponseContext]@{
    StatusCode = $status
    Body = $body
})

Для получения дополнительных сведений см. Возвращает Key Vault. 401 с токеном доступа (приложение MSI PowerShell Function)

Обновить

Как проверить, успешно ли мы установили настройки приложения через Kudu

У меня была такая же ошибка в коде, как и у вас, и я обнаружил, что устранение ошибки разрешения решило проблему.

В разделе «Функции платформы» -> «Конфигурация» посмотрите на исходный столбец для своих настроек и проверьте, действительны ли они. Вы можете отредактировать элемент, чтобы получить подробное сообщение об ошибке для записи.

Действительный

Ошибка

В моем случае приложение-функция не имело разрешения на доступ к хранилищу ключей.

Используя портал Azure, откройте колонку приложения-функции.

1. Выберите вкладку Возможности платформы.
2. Выберите Identity.
3. На вкладке «Назначено системой» установите для параметра «Состояние» значение «Вкл.».
4. Щелкните Сохранить.
5. Скопируйте идентификатор объекта в буфер обмена.

Перейдите в хранилище ключей

1. выберите Политики доступа.
2. Добавить политику доступа
3. Под секретами выберите ПОЛУЧИТЬ, СПИСОК.
4. В разделе «Выбрать принципала» вставьте идентификатор объекта.
5. Выберите имя приложения-функции.
6. Щелкните Добавить.
7. Нажмите "Сохранить".

Вернитесь в приложение-функцию и убедитесь, что ссылка действительна в разделе «Функции платформы» -> «Конфигурация».

См .: Добавление идентификатора, назначенного системой