はじめに

認証トークン等の情報をハードコーディングすることはセキュリティの観点からよろしくない。
また、認証トークン等の書き換えが発生した場合にハードコーディングしてしまうとコードの修正が必要になってしまう。
それらを防ぐために、Key Vaultsに登録し、Azure Functionsから環境変数として呼び出す方法を記載する。

前提

Azureアカウントを持っていること
- もしアカウントを持っていない場合は、こちらからアカウント登録
Azure Functionsにてインスタンスが作成されていること
- 作成していない場合は、こちらの記事を参考に作成

手順

Key Vaultsでシークレットの作成

検索窓に「Key Vaults」と入力する。
サービスに表示される「キーコンテナー」を選択する。

左上の「作成」ボタンをクリックする。

下記項目を入力し、「確認および作成」ボタンをクリックする。

サブスクリプション: 任意のサブスクリプションを選択
リソースグループ: 任意のリソースグループを選択（例では「Test20211222」）
Key Vault名: 任意の名前を入力（例では「Test20211222」）
地域: 任意の地域を選択（例では「東日本」）
価格レベル: 任意の価格レベルを選択（例では「標準」）

入力内容を確認し、間違いが無ければ「作成」ボタンをクリックする。

デプロイが完了したら、「リソースに移動」ボタンをクリックする。

左のメニューの「設定」→「シークレット」を選択し、「+ 生成/インポート」をクリックする。

シークレットの名前と値（例では、「USERNAME」と「Test」）を入力し、「作成」ボタンをクリックする。

シークレットが作成される。

Azure Functionsでシステム割り当てマネージドIDの有効化

左のメニューの「設定」→「ID」を選択し、状態を「オン」にして「保存」ボタンをクリックする。

Key VaultsでAzure Functionsのアクセス許可をする

左のメニューの「設定」→「アクセスポリシー」を選択し、「+ アクセスポリシーの追加」をクリックする。

シークレットのアクセス許可にて「取得」を選択し、プリンシパルにて関数アプリ名（例では「test20211222-1」）を入力して選択し、「選択」ボタンをクリックする。
その後、「追加」ボタンをクリックする。

「現在のアクセスポリシー」の「アプリケーション」に追加されていることが確認できたら、「保存」ボタンをクリックする。

Key Vaultsの値をAzure Functionsの環境変数に設定する

Key Vaults

左のメニューから「設定」→「シークレット」を選択し、登録したシークレットをクリックする。

現在のバージョンのものをクリックする。

表示されるシークレット識別子をコピーし、メモ帳等にコピペしておく。

Azure Functions

左のメニューの「設定」→「構成」を選択し、アプリケーション設定において、「+ 新しいアプリケーション設定」をクリックする。

下記内容を入力し、「OK」ボタンをクリックする。

名前:任意（例では「USERNAME_KEYVAULTS」）
値: @Microsoft.KeyVault(SecretUri=<先程コピペしておいたシークレット識別子>)

追加されたのを確認したら「保存」ボタンをクリックする。

ソースが「キーコンテナーの参照」に変わり、緑のチェックマークが付いたのがわかる。

Azure FunctionsからKey Vaultsにシークレット登録したものの値を呼び出してみる

以下の方法で呼び出すことができる

Node.js: process.env.<アプリケーション設定で登録した名前>
Python: os.getenv("<アプリケーション設定で登録した名前>")

Node.jsでの例

下図のように記載する。

関数URLにアクセスすると値が取得できていることが確認できる。