تخزين بيانات اعتماد الوصول بأمان على الجهاز الظاهري Azure Data Science

مقالة
04/19/2024

غالبا ما تحتوي التعليمات البرمجية لتطبيق السحابة على بيانات اعتماد للمصادقة على الخدمات السحابية. تعد إدارة بيانات الاعتماد هذه وأمانها تحديا معروفا لأننا ننشئ تطبيقات سحابية. من الناحية المثالية، يجب ألا تظهر بيانات الاعتماد على محطات عمل المطور. يجب ألا نتحقق أبدا من بيانات الاعتماد للتحكم بالمصادر.

تساعد الهويات المدارة لميزة موارد Azure في حل المشكلة. يمنح خدمات Azure هوية مدارة تلقائيا في معرف Microsoft Entra. يمكنك استخدام هذه الهوية للمصادقة على أي خدمة تدعم مصادقة Microsoft Entra. بالإضافة إلى ذلك، تتجنب هذه الهوية وضع أي بيانات اعتماد مضمنة في التعليمات البرمجية الخاصة بك.

لتأمين بيانات الاعتماد، استخدم Windows Installer (MSI) بالاشتراك مع Azure Key Vault. Azure Key Vault هي خدمة Azure مدارة تخزن الأسرار ومفاتيح التشفير بأمان. يمكنك الوصول إلى Key Vault باستخدام الهوية المدارة ثم استرداد البيانات السرية المعتمدة ومفاتيح التشفير من Key Vault.

تشكل الوثائق المتعلقة ب Key Vault والهويات المدارة لموارد Azure موردا شاملا للحصول على معلومات متعمقة حول هذه الخدمات. تتناول هذه المقالة الاستخدام الأساسي ل MSI وKey Vault على Data Science Virtual Machine (DSVM) للوصول إلى موارد Azure.

إنشاء هوية مدارة على DSVM

# Prerequisite: You already created a Data Science VM in the usual way.

# Create an identity principal for the VM.
az vm assign-identity -g <Resource Group Name> -n <Name of the VM>
# Get the principal ID of the DSVM.
az resource list -n <Name of the VM> --query [*].identity.principalId --out tsv

تعيين أذونات الوصول Key Vault إلى أساسي الجهاز الظاهري

# Prerequisite: You already created an empty Key Vault resource on Azure through use of the Azure portal or Azure CLI.

# Assign only get and set permissions but not the capability to list the keys.
az keyvault set-policy --object-id <Principal ID of the DSVM from previous step> --name <Key Vault Name> -g <Resource Group of Key Vault>  --secret-permissions get set

الوصول إلى البيانات السرية في المخزن الأساسي من DSVM

# Get the access token for the VM.
x=`curl http://localhost:50342/oauth2/token --data "resource=https://vault.azure.net" -H Metadata:true`
token=`echo $x | python -c "import sys, json; print(json.load(sys.stdin)['access_token'])"`

# Access the key vault by using the access token.
curl https://<Vault Name>.vault.azure.net/secrets/SQLPasswd?api-version=2016-10-01 -H "Authorization: Bearer $token"

الوصول إلى موقع التخزين الأساسي من DSVM

# Prerequisite: You granted your VMs MSI access to use storage account access keys, based on instructions at https://learn.microsoft.com/azure/active-directory/managed-service-identity/tutorial-linux-vm-access-storage. This article describes the process in more detail.

y=`curl http://localhost:50342/oauth2/token --data "resource=https://management.azure.com/" -H Metadata:true`
ytoken=`echo $y | python -c "import sys, json; print(json.load(sys.stdin)['access_token'])"`
curl https://management.azure.com/subscriptions/<SubscriptionID>/resourceGroups/<ResourceGroup of Storage account>/providers/Microsoft.Storage/storageAccounts/<Storage Account Name>/listKeys?api-version=2016-12-01 --request POST -d "" -H "Authorization: Bearer $ytoken"

# Now you can access the data in the storage account from the retrieved storage account keys.

الوصول إلى المخزن الأساسي من Python

from azure.keyvault import KeyVaultClient
from msrestazure.azure_active_directory import MSIAuthentication

"""MSI Authentication example."""

# Get credentials.
credentials = MSIAuthentication(
    resource='https://vault.azure.net'
)

# Create a Key Vault client.
key_vault_client = KeyVaultClient(
    credentials
)

key_vault_uri = "https://<key Vault Name>.vault.azure.net/"

secret = key_vault_client.get_secret(
    key_vault_uri,  # Your key vault URL.
    # The name of your secret that already exists in the key vault.
    "SQLPasswd",
    ""              # The version of the secret; empty string for latest.
)
print("My secret value is {}".format(secret.value))

الوصول إلى المخزن الأساسي من Azure CLI

# With managed identities for Azure resources set up on the DSVM, users on the DSVM can use Azure CLI to perform the authorized functions. The following commands enable access to the key vault from Azure CLI, without a required Azure account login.
# Prerequisites: MSI is already set up on the DSVM, as indicated earlier. Specific permissions, like accessing storage account keys, reading specific secrets, and writing new secrets, are provided to the MSI.

# Authenticate to Azure CLI without a required Azure account. 
az login --msi

# Retrieve a secret from the key vault. 
az keyvault secret show --vault-name <Vault Name> --name SQLPasswd

# Create a new secret in the key vault.
az keyvault secret set --name MySecret --vault-name <Vault Name> --value "Helloworld"

# List access keys for the storage account.
az storage account keys list -g <Storage Account Resource Group> -n <Storage Account Name>

Share via