Azure : comment stocker mes secrets dans Key Vault et les lire depuis mon app ?

Question

Mes chaînes de connexion sont dans `appsettings.json`, qui est versionné. Je veux passer à Key Vault. Comment l'app s'authentifie-t-elle sans… un autre secret ?

Accepted Answer

Avec une **identité managée** : l'App Service reçoit une identité Azure AD, sans aucun secret à gérer.

1. Active l'identité managée système sur l'App Service.
2. Donne-lui le rôle **Key Vault Secrets User** sur le coffre (RBAC).
3. Dans l'app :

```csharp
using Azure.Identity;

builder.Configuration.AddAzureKeyVault(
    new Uri("https://mon-coffre.vault.azure.net/"),
    new DefaultAzureCredential());
```

Un secret nommé `ConnectionStrings--Default` devient alors `ConnectionStrings:Default` dans la configuration.

`DefaultAzureCredential` utilise l'identité managée en production et **ton compte `az login` / Visual Studio en local** : le même code marche partout.

Alternative sans code : les **références Key Vault** dans les paramètres d'application (`@Microsoft.KeyVault(SecretUri=...)`).

Et retire les secrets de `appsettings.json`, puis **fais-les tourner** : ils sont dans l'historique git.

1 réponse