AI 助理
备案控制台
开发者社区 开发与运维 文章 正文

【Azure Developer】Python代码通过AAD认证访问微软Azure密钥保管库(Azure Key Vault)中机密信息(Secret)

2024-08-24 53
版权
版权声明：
本文内容由阿里云实名注册用户自发贡献，版权归原作者所有，阿里云开发者社区不拥有其著作权，亦不承担相应法律责任。具体规则请查看《 阿里云开发者社区用户服务协议》和 《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容，填写 侵权投诉表单进行举报，一经查实，本社区将立刻删除涉嫌侵权内容。
本文涉及的产品
密钥管理服务KMS，1000个密钥，100个凭据，1个月
简介： 【Azure Developer】Python代码通过AAD认证访问微软Azure密钥保管库(Azure Key Vault)中机密信息(Secret)

关键字说明

什么是 Azure Active Directory？Azure Active Directory(Azure AD, AAD) 是 Microsoft 的基于云的标识和访问管理服务，可帮助员工登录和访问 Azure 中的资源：

  • 外部资源，例如 Microsoft 365、Azure 门户(https://portal.azure.cn/)以及成千上万的其他 SaaS 应用程序。
  • 内部资源，例如公司网络和 Intranet 上的应用，以及由自己的组织开发的任何云应用。

什么是Azure Key Vault？Azure Key Vault 是一个用于安全地存储和访问机密的云服务。 机密是你想要严格控制对其的访问的任何内容，例如 API 密钥、密码、证书或加密密钥。 Key Vault 服务支持：保管库。 保管库支持存储软件密钥、机密和证书。

  • 机密管理 - Azure Key Vault 可以用来安全地存储令牌、密码、证书、API 密钥和其他机密，并对其访问进行严格控制
  • 密钥管理 - Azure Key Vault 也可用作密钥管理解决方案。 可以通过 Azure Key Vault 轻松创建和控制用于加密数据的加密密钥。
  • 证书管理 - Azure Key Vault 也是一项服务，可用来轻松预配、管理和部署公用和专用传输层安全性/安全套接字层 (TLS/SSL) 证书，以用于 Azure 以及内部连接资源。

 

问题描述

在官方的示例文档中，我们可以发现Python 应用程序以使用 Azure 资源(虚拟机 VM)的托管标识(Identity)从 Azure Key Vault 读取信息，那如果同样的Python应用代码，如果想在非Azure托管的客户端运行，如何来实现呢？如何来解决如下的错误呢？

EnvironmentCredential.get_token failed: EnvironmentCredential authentication unavailable. Environment variables are not fully configured.
ManagedIdentityCredential.get_token failed: ManagedIdentityCredential authentication unavailable, no managed identity endpoint found.
SharedTokenCacheCredential.get_token failed: Azure Active Directory error '(invalid_resource) AADSTS500011: The resource principal named https://vault.azure.cn was not found in 
the tenant named xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx. This can happen if the application has not been installed by the administrator of the tenant or consented to by any user in the tenant. You might have sent your authentication request to the wrong tenant.
Trace ID: 11af8f36-693a-4105-8a6c-9e271a1b9f00
Correlation ID: 43cc4c0d-fd23-4b84-a03b-284ff93484a4
Timestamp: 2021-01-16 07:58:47Z'
DefaultAzureCredential.get_token failed: SharedTokenCacheCredential raised unexpected error "Azure Active Directory error '(invalid_resource) AADSTS500011: The resource principal named https://vault.azure.cn was not found in the tenant named xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx. This can happen if the application has not been installed by the administrator of the tenant or consented to by any user in the tenant. You might have sent your authentication request to the wrong tenant.
Trace ID: 11af8f36-693a-4105-8a6c-9e271a1b9f00
Correlation ID: 43cc4c0d-fd23-4b84-a03b-284ff93484a4
Timestamp: 2021-01-16 07:58:47Z'"
DefaultAzureCredential failed to retrieve a token from the included credentials.
Attempted credentials:
        EnvironmentCredential: EnvironmentCredential authentication unavailable. Environment variables are not fully configured.
        ManagedIdentityCredential: ManagedIdentityCredential authentication unavailable, no managed identity endpoint found.
        SharedTokenCacheCredential: Azure Active Directory error '(invalid_resource) AADSTS500011: The resource principal named https://vault.azure.cn was not found in the tenant named xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx. This can happen if the application has not been installed by the administrator of the tenant or consented to by any user in the tenant. You might have sent your authentication request to the wrong tenant.
Trace ID: 11af8f36-693a-4105-8a6c-9e271a1b9f00
Correlation ID: 43cc4c0d-fd23-4b84-a03b-284ff93484a4
Timestamp: 2021-01-16 07:58:47Z'
Traceback (most recent call last):
  File "case.py", line 26, in <module>
    retrieved_secret = client.get_secret(secretName)
  File "C:\Users\AppData\Local\Packages\PythonSoftwareFoundation.Python.3.8_qbz5n2kfra8p0\LocalCache\local-packages\Python38\site-packages\azure\core\tracing\decorator.py", line 83, in wrapper_use_tracer
    return func(*args, **kwargs)
  File "C:\Users\AppData\Local\Packages\PythonSoftwareFoundation.Python.3.8_qbz5n2kfra8p0\LocalCache\local-packages\Python38\site-packages\azure\keyvault\secrets\_client.py", line 67, in get_secret
    bundle = self._client.get_secret(
  File "C:\Users\AppData\Local\Packages\PythonSoftwareFoundation.Python.3.8_qbz5n2kfra8p0\LocalCache\local-packages\Python38\site-packages\azure\keyvault\secrets\_generated\_operations_mixin.py", line 1475, in get_secret
    return mixin_instance.get_secret(vault_base_url, secret_name, secret_version, **kwargs)
  File "C:\Users\AppData\Local\Packages\PythonSoftwareFoundation.Python.3.8_qbz5n2kfra8p0\LocalCache\local-packages\Python38\site-packages\azure\keyvault\secrets\_generated\v7_1\operations\_key_vault_client_operations.py", line 276, in get_secret
    pipeline_response = self._client._pipeline.run(request, stream=False, **kwargs)
  File "C:\Users\AppData\Local\Packages\PythonSoftwareFoundation.Python.3.8_qbz5n2kfra8p0\LocalCache\local-packages\Python38\site-packages\azure\core\pipeline\_base.py", line 211, in run
    return first_node.send(pipeline_request)  # type: ignore
  File "C:\Users\AppData\Local\Packages\PythonSoftwareFoundation.Python.3.8_qbz5n2kfra8p0\LocalCache\local-packages\Python38\site-packages\azure\core\pipeline\_base.py", line 71, in send
    response = self.next.send(request)
  File "C:\Users\AppData\Local\Packages\PythonSoftwareFoundation.Python.3.8_qbz5n2kfra8p0\LocalCache\local-packages\Python38\site-packages\azure\core\pipeline\_base.py", line 71, in send
    response = self.next.send(request)
  File "C:\Users\AppData\Local\Packages\PythonSoftwareFoundation.Python.3.8_qbz5n2kfra8p0\LocalCache\local-packages\Python38\site-packages\azure\core\pipeline\_base.py", line 71, in send
    response = self.next.send(request)
  [Previous line repeated 2 more times]
  File "C:\Users\AppData\Local\Packages\PythonSoftwareFoundation.Python.3.8_qbz5n2kfra8p0\LocalCache\local-packages\Python38\site-packages\azure\core\pipeline\policies\_redirect.py", line 157, in send
    response = self.next.send(request)
  File "C:\Users\AppData\Local\Packages\PythonSoftwareFoundation.Python.3.8_qbz5n2kfra8p0\LocalCache\local-packages\Python38\site-packages\azure\core\pipeline\policies\_retry.py", line 436, in send
    response = self.next.send(request)
  File "C:\Users\AppData\Local\Packages\PythonSoftwareFoundation.Python.3.8_qbz5n2kfra8p0\LocalCache\local-packages\Python38\site-packages\azure\keyvault\secrets\_shared\challenge_auth_policy.py", line 111, in send
    self._handle_challenge(request, challenge)
  File "C:\Users\AppData\Local\Packages\PythonSoftwareFoundation.Python.3.8_qbz5n2kfra8p0\LocalCache\local-packages\Python38\site-packages\azure\keyvault\secrets\_shared\challenge_auth_policy.py", line 137, in _handle_challenge
    self._token = self._credential.get_token(scope)
  File "C:\Users\AppData\Local\Packages\PythonSoftwareFoundation.Python.3.8_qbz5n2kfra8p0\LocalCache\local-packages\Python38\site-packages\azure\identity\_credentials\default.py", line 144, in get_token
    return super(DefaultAzureCredential, self).get_token(*scopes, **kwargs)
  File "C:\Users\AppData\Local\Packages\PythonSoftwareFoundation.Python.3.8_qbz5n2kfra8p0\LocalCache\local-packages\Python38\site-packages\azure\identity\_credentials\chained.py", line 90, in get_token
    raise ClientAuthenticationError(message=message)
azure.core.exceptions.ClientAuthenticationError: DefaultAzureCredential failed to retrieve a token from the included credentials.
Attempted credentials:
        EnvironmentCredential: EnvironmentCredential authentication unavailable. Environment variables are not fully configured.
        ManagedIdentityCredential: ManagedIdentityCredential authentication unavailable, no managed identity endpoint found.
        SharedTokenCacheCredential: Azure Active Directory error '(invalid_resource) AADSTS500011: The resource principal named https://vault.azure.cn was not found in the tenant named xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx. This can happen if the application has not been installed by the administrator of the tenant or consented to by any user in the tenant. You might have sent your authentication request to the wrong tenant.
Trace ID: 11af8f36-693a-4105-8a6c-9e271a1b9f00
Correlation ID: 43cc4c0d-fd23-4b84-a03b-284ff93484a4
Timestamp: 2021-01-16 07:58:47Z'

 

解决思路

根据错误提示，需要在Azure AD中为Python应用程序注册一个授权应用(AAD Application)。并获取AAD应用中的客户端访问密码(Secret)，客户端ID(Client ID)，租户ID(Tenant ID)，配置Python应用端的环境变量，调用azure.identity库中的DefaultAzureCredential函数，完成访问Key Vault资源的授权。整个方案需要以下3个关键步骤：

  1. 注册AAD应用并设置客户端密码
  2. 在Key Vault中对AAD应用完成访问授权(Access Policy)
  3. 配置Python应用端的环境变量

下文为整个方案的操作步骤

 

操作步骤

一：注册AAD 应用，复制出应用的关键信息(Client ID, Tenant ID, Object ID)

二：设置AAD 应用客户端密码

  • 在AAD应用页面，进入“证书和密码”页面，点击“新客户端密码”按钮，添加新的Secret（因密码值只能在最开始创建时可见，所以必须在离开页面前复制它）

三：在Key Vault中设置访问授权

  • 登录Azure门户，进入Key Vault页面(https://portal.azure.cn/#blade/HubsExtension/BrowseResourceBlade/resourceType/Microsoft.KeyVault%2Fvaults)
  • 选择“Access policies”，点击“Add access policy”，使用第一步中的AAD应用名称或Application ID作为Principal。点击“Add”后“Save”。

四：设置环境变量

使用azure.identity库中的DefaultAzureCredential函数，默认会去检测当前环境中是否包含AZURE_CLIENT_ID，AZURE_TENANT_ID，AZURE_CLIENT_SECRET三个变量。

  • AZURE_CLIENT_ID：第一步中的Client ID
  • AZURE_TENANT_ID：第一步中的Tenant ID
  • AZURE_CLIENT_SECRET：第二步中的Secret Value

五：运行Python应用

可以在代码中输出上一步中设定的环境变量，以验证值是否正确。

import os
import cmd
from azure.keyvault.secrets import SecretClient
from azure.identity import DefaultAzureCredential
# print('AZURE_TENANT_ID:' +os.environ["AZURE_TENANT_ID"])
# print('AZURE_CLIENT_ID:' +os.environ["AZURE_CLIENT_ID"])
# print('AZURE_CLIENT_SECRET:' +os.environ["AZURE_CLIENT_SECRET"])
keyVaultName = 'mykeyvalue01'
secretName = 'mysecret'
KVUri = f"https://{keyVaultName}.vault.azure.cn"
print(KVUri)
credential = DefaultAzureCredential()
token = credential.get_token("https://vault.azure.cn/.default")
print(token)
client = SecretClient(vault_url=KVUri, credential=credential)
retrieved_secret = client.get_secret(secretName)
print(f"Your secret is '{retrieved_secret.value}'.")
print(f"Your secret properties not_before(nbf) is '{retrieved_secret.properties.not_before}'.")
print(f"Your secret properties expires_on is '{retrieved_secret.properties.expires_on}'.")

 

六：附加：如何获取代码中的Token值

DefaultAzureCredential方法返回credential对象，如果需要知道请求中使用的token值，调用get_token方法，同时需要指定scope，如这里使用的为"https://vault.azure.cn/.default"

credential = DefaultAzureCredential()

token = credential.get_token("https://vault.azure.cn/.default")

print(token)

测试结果如图：

 

 

 

附录一：如遗忘以上第三步，没有在Key Vault中对AAD应用赋予访问策略(Access Policy)，则获取的错误消息为

azure.core.exceptions.HttpResponseError: (Forbidden) The user, group or application 'appid=xxxxxxxx-05ad-4999-8679-xxxxxxxxxxxx;oid=xxxxxxxx-e256-4650-8ef8-xxxxxxxxxxxx;iss=https://sts.chinacloudapi.cn/xxxxxxxx-66d7-47a8-8f9f-xxxxxxxxxxxx/' does not have secrets get permission on key vault 'keyvault01;location=chinanorth'. For help resolving this issue, please see https://go.microsoft.com/fwlink/?linkid=2125287

 

参考资料

什么是 Azure Active Directory？ https://docs.microsoft.com/zh-cn/azure/active-directory/fundamentals/active-directory-whatis

关于 Azure Key Vault: https://docs.azure.cn/zh-cn/key-vault/general/overview

Azure Key Vault 基本概念 : https://docs.azure.cn/zh-cn/key-vault/general/basic-concepts

将 Azure Key Vault 与通过 Python 编写的虚拟机配合使用 ：https://docs.azure.cn/zh-cn/key-vault/general/tutorial-python-virtual-machine

DefaultAzureCredential get_token ： https://docs.microsoft.com/en-us/python/api/azure-identity/azure.identity.defaultazurecredential?view=azure-python#get-token--scopes----kwargs-

使用Postman获取Azure AD中注册应用程序的授权Token，及为Azure REST API设置Authorization ： https://www.cnblogs.com/lulight/p/14279338.html

 

文章标签：
密钥管理服务
Python
数据安全/隐私保护
API
存储
安全
关键词：
Python库
Python代码
Python信息
azure Python代码
azure Python
路边两盏灯
目录
相关文章
东方睿赢
|
1天前
|
数据采集 数据可视化 数据处理
如何使用Python实现一个交易策略。主要步骤包括：导入所需库（如`pandas`、`numpy`、`matplotlib`）
本文介绍了如何使用Python实现一个交易策略。主要步骤包括：导入所需库（如`pandas`、`numpy`、`matplotlib`），加载历史数据，计算均线和其他技术指标，实现交易逻辑，记录和可视化交易结果。示例代码展示了如何根据均线交叉和价格条件进行开仓、止损和止盈操作。实际应用时需注意数据质量、交易成本和风险管理。
东方睿赢
12 5
东方睿赢
|
1天前
|
算法 测试技术 开发者
在Python开发中，性能优化和代码审查至关重要。性能优化通过改进代码结构和算法提高程序运行速度，减少资源消耗
在Python开发中，性能优化和代码审查至关重要。性能优化通过改进代码结构和算法提高程序运行速度，减少资源消耗；代码审查通过检查源代码发现潜在问题，提高代码质量和团队协作效率。本文介绍了一些实用的技巧和工具，帮助开发者提升开发效率。
东方睿赢
6 3
G0518
|
4天前
|
机器学习/深度学习 缓存 数据挖掘
Python性能优化：提升你的代码效率
【10月更文挑战第22天】 Python性能优化：提升你的代码效率
G0518
8 1
G0518
|
4天前
|
缓存 算法 数据处理
Python性能优化：提升代码效率与速度的秘诀
【10月更文挑战第22天】Python性能优化：提升代码效率与速度的秘诀
G0518
8 0
肥猪肥猪-17824
|
18天前
|
存储 程序员 开发者
Python编程基础：从入门到实践
【10月更文挑战第8天】在本文中，我们将一起探索Python编程的奇妙世界。无论你是初学者还是有一定经验的开发者，这篇文章都将为你提供有价值的信息。我们将从Python的基本概念开始，然后逐步深入到更复杂的主题，如数据结构、函数和类。最后，我们将通过一些实际的代码示例来巩固我们的知识。让我们一起开始这段Python编程之旅吧！
肥猪肥猪-17824
66 3
游客5fdji2pvmf8888
|
6天前
|
安全 数据处理 开发者
Python中的多线程编程：从入门到精通
本文将深入探讨Python中的多线程编程，包括其基本原理、应用场景、实现方法以及常见问题和解决方案。通过本文的学习，读者将对Python多线程编程有一个全面的认识，能够在实际项目中灵活运用。
游客5fdji2pvmf8888
19 0
bruce_xiaowei
|
6天前
|
弹性计算 安全 小程序
编程之美：Python让你领略浪漫星空下的流星雨奇观
这段代码使用 Python 的 `turtle` 库实现了一个流星雨动画。程序通过创建 `Meteor` 类来生成具有随机属性的流星，包括大小、颜色、位置和速度。在无限循环中，流星不断移动并重新绘制，营造出流星雨的效果。环境需求为 Python 3.11.4 和 PyCharm 2023.2.5。
bruce_xiaowei
26 9
肥猪肥猪-17824
|
2天前
|
数据采集 机器学习/深度学习 人工智能
Python编程入门：从基础到实战
【10月更文挑战第24天】本文将带你进入Python的世界，从最基础的语法开始，逐步深入到实际的项目应用。我们将一起探索Python的强大功能和灵活性，无论你是编程新手还是有经验的开发者，都能在这篇文章中找到有价值的内容。让我们一起开启Python的奇妙之旅吧！
肥猪肥猪-17824
13 4
ShaFaChuang-36210
|
3天前
|
设计模式 监控 数据库连接
Python编程中的设计模式之美：提升代码质量与可维护性####
【10月更文挑战第21天】 一段简短而富有启发性的开头，引出文章的核心价值所在。 在编程的世界里，设计模式如同建筑师手中的蓝图，为软件的设计和实现提供了一套经过验证的解决方案。本文将深入浅出地探讨Python编程中几种常见的设计模式，通过实例展示它们如何帮助我们构建更加灵活、可扩展且易于维护的代码。 ####
ShaFaChuang-36210
18 6
shuj
|
4天前
|
存储 人工智能 数据挖掘
Python编程入门：构建你的第一个程序
【10月更文挑战第22天】编程，这个听起来高深莫测的词汇，实际上就像搭积木一样简单有趣。本文将带你走进Python的世界，用最浅显的语言和实例，让你轻松掌握编写第一个Python程序的方法。无论你是编程新手还是希望了解Python的爱好者，这篇文章都将是你的理想起点。让我们一起开始这段奇妙的编程之旅吧！
shuj
12 3

热门文章

最新文章

  • 1
    Python - loguru日志库，高效输出控制台日志和日志记录
  • 2
    8.python之面相对象part.8（__slots__属性）
  • 3
    python练习小工具之模拟登录系统
  • 4
    Python-语句结构
  • 5
    python group()
  • 6
    Python chapter 6 learning notes
  • 7
    python基础之元组，列表
  • 8
    python解码base64学习笔记
  • 9
    Python正则表达式指南下下半部　
  • 10
    Python程序结构2
  • 1
    Machine Learning机器学习之决策树算法 Decision Tree（附Python代码）
    300
  • 2
    【python】python小游戏——开心消消乐（源码）【独一无二】
    222
  • 3
    【python】python用户管理系统[简易版]（源码+报告）【独一无二】
    123
  • 4
    【python】Python航空公司客户价值数据分析（代码+论文）【独一无二】
    163
  • 5
    【python】python懂车帝数据可视化（代码+报告）
    163
  • 6
    【Python】Python房屋销售系统(源码)【独一无二】（课程设计）
    73
  • 7
    【Python】Python商业公司贸易业务数据分析可视化（数据+源码）【独一无二】
    45
  • 8
    【Python】python天气数据抓取与数据分析（源码+论文）【独一无二】
    654
  • 9
    【ubuntu】 Linux(ubuntu)创建python的虚拟环境
    70
  • 10
    【python】电影评分数据集的分析（python实现）（源码+报告）【独一无二】
    115

    • 相关课程

    更多
  • Python Web开发基础
  • Python开发基础入门
  • Python常用数据科学库
  • Python网络爬虫实战
  • Python完全自学手册图文教程
  • Python基础快速入门实战教程

    • 相关电子书

    更多
  • From Python Scikit-Learn to Sc
  • Data Pre-Processing in Python:
  • 双剑合璧-Python和大数据计算平台的结合

    • 相关实验场景

    更多
  • Python新手入门
  • Python入门
  • Python选择及循环结构
  • Python新手入门（Anolis OS）
  • Python网络通信程序典型应用

    • 推荐镜像

    更多
  • python-release
  • nodejs-release
  • golang
    • 下一篇
    阿里云无影云电脑免费试用，最长可试用3个月