使用nodejs从Azure Keyvault获取秘密

Question

我需要阅读Azure active directory中的用户列表。客户已经创建了一个Graph API应用程序，但他们不想共享应用程序的客户机密，而是要求我们使用密钥库。如何从节点访问。js应用程序检索用户列表的密钥是什么？

我尝试了下面的一个，但给出了错误，我不知道如何验证。

const { DefaultAzureCredential } = require("@azure/identity");
const { SecretClient } = require("@azure/keyvault-secrets");

const credential = new DefaultAzureCredential();

const vaultName = "lsm-keyvault";
const url = `https://${vaultName}.vault.azure.net`;

const client = new SecretClient(url, credential);

const secretName = "Demo";

async function main() {
  const result = await client.setSecret(secretName, "MySecretValue", {
    enabled: false
  });

  console.log(result)
}

Answer 1

您只需按照以下步骤操作：

• 从应用注册在Azure Active Directory（服务主体）中创建应用

另一种方法是动态获取密钥库令牌，并使用该令牌从密钥库获取机密-https://docs.microsoft.com/en-us/samples/azure-samples/app-service-msi-keyvault-node/app-service-msi-keyvault-node/

有用的参考资料：

• https://www.rahulpnath.com/blog/defaultazurecredential_from_azure_sdk/

Answer 2

好吧，如果在本地运行代码，DefaultAzureCredential将自动使用环境变量。

因此，在您的情况下，需要向Azure AD注册应用程序，并获取租户id、客户端id（即应用程序id）、客户端机密（即应用程序机密）、设置环境变量、AZURE_CLIENT_ID、AZURE_CLIENT_SECRET和AZURE_TENANT_ID。

对于您得到的403错误，我注意到您说，它添加为复合实体，根据我的经验，您没有将与广告应用相关的正确服务主体正确添加到keyvault的访问策略。如果添加正确，它将显示为应用程序，而不是复合标识。

因此，当您添加它时，您可以直接搜索客户端Id（即应用程序Id）或应用程序注册的名称，确保您添加了正确的。我在类似的问题上给出了细节，你可以参考。

要检索秘密，get权限就足够了，代码应该是

const retrievedSecret = await client.getSecret(secretName);

我注意到你使用了客户端。设置机密在您的代码中，它用于保存机密，要使用它，您可能需要设置权限。

有关更多详细信息，请参阅Quickstart:Azure Key Vault client library For Node。js（v4）。

更新：

我最终需要部署它，但不是在azure中，而是在另一个环境中。如何设置环境变量并访问它。

如果是这样，您需要更改代码进行身份验证，直接在代码中使用三个值。

改变台词

const { DefaultAzureCredential } = require("@azure/identity");
const credential = new DefaultAzureCredential();

到

const { ClientSecretCredential } = require("@azure/identity");
const credential = new ClientSecretCredential(tenantId, clientId, clientSecret);

请参阅-https://www.npmjs.com/package/@azure/标识/v/1.0.3#身份验证为服务主体