概要
前回に続いて、Logic AppでAzure Key Vaultを使います。
今回は、シークレットをLogic Appから更新する手順です。
経緯
当社で使用している電子ロック「Akerun」のAPIは、
認証に使用するトークンには有効期限があります。
⇒いや、たいていそういうAPIには有効期限があるんですが。
トークンと一緒にリフレッシュトークンが発行されて、
トークンが失効したら、リフレッシュトークンを使用して再発行するんですが・・・
それらもLogic Appで自動化しようと思ったんですね。
トークンもリフレッシュトークンもKey Vaultのシークレットで管理していたので、
シークレットの更新をする必要が出てきて・・・。
ということで、いろいろ調べて、何とか更新できた・・・という話。
大まかな仕掛け
Logic AppsにあるKey Vaultコネクタに、シークレットの更新アクションは・・・
ありませんでした。
なので、（HTTPコネクタで）Key VaultのAPIを呼び出して、シークレットを更新しようと思います。
Key VaultのAPIを呼び出すには、Azure ADのOAuth認証が必要で、
HTTPコネクタでOAuth認証を行います。
Key Vault側では、Logic Appsからの接続を許可するように
アクセスポリシーを設定する必要があります。
手順
Azure ADの設定
AzureポータルでAzure ADを開きます。
ブレードから「アプリの登録」を選びます。
次に「新規登録」をクリックします。
以下のような画面が表示されるので、名前を入力し、「登録」をクリックします。
以下のような画面が表示されます。
続いて、APIのアクセス許可を追加します。
ブレードから「APIのアクセス許可」を選択し、「アクセス許可の追加」をクリックします。
APIの一覧が表示されるので、Azure Key Vaultを選択します。
アクセス許可の「user_impersonation」にチェックを入れ、「アクセス許可の追加」をクリックします。
最後にクライアントシークレットを追加します。
ブレードから「証明書とシークレット」を選択し、「新しいクライアントシークレット」をクリックし、クライアントシークレットを追加します。
追加したシークレットは、後で使用するのでコピーしておいてください。
Azure Key Vaultの設定変更
前回作成したKey Vaultのアクセス許可を追加します。
Key Vaultを開き、ブレードから「アクセスポリシー」を選択し、「アクセスポリシーの追加」をクリックします。
以下のような画面が表示されます。
テンプレートからの構成で、「シークレットの管理」を選択します。
⇒シークレットのアクセス許可項目（取得や一覧、セット等）が７つ追加されます。
プリンシパルの選択では、先ほど作成したAzure ADのアプリ名を入力します。
選択後、「追加」をクリックしてください。
ポリシーの追加を行った後、忘れずに「保存」ボタンをクリックしてください。
⇒ここ、忘れがち（笑）。
Logic Appの設定
HTTPコネクタを使って、Key VaultのAPIを呼び出します。
Key Vaultのシークレット設定用APIの仕様は、以下のページに記載があります。
https://docs.microsoft.com/ja-jp/rest/api/keyvault/setsecret/setsecret
HTTPコネクタの設定は以下のような感じになります。
URLには
https://（BaseUrl）/secrets/（secret-name）?api-version=7.1
を設定します。
BaseUrlには、対象のKey Vaultの概要に記載されているDNS名を入れてください。
本文にはJSON形式で、更新値をValueプロパティとして設定します。
次にOAuth認証の設定を行います。
「Add new parameter」をクリックし、「認証」にチェックを入れます。
認証の種類を選択できるようになるので、「Active Directory OAuth」を選択します。
認証情報を設定します。
・テナント ：Azure ADに追加したアプリの概要ページに記載のディレクトリ (テナント) ID
・対象ユーザー ：https://vault.azure.net
※BaseUrlで設定したURLではありません！
・クライアントID：Azure ADに追加したアプリの概要ページに記載のアプリケーション (クライアント) ID
・資格情報の種類：シークレット
・シークレット ：Azure ADに追加したアプリで生成したクライアントシークレット
これで設定は以上になります。
Logic Appを実行してみると、こんな感じです。
応答が状態コード200で処理が成功しました。
ポリシーの設定がうまくいっていないと、状態コード403が返ってきます。
