Stocker des mots de passe dans Azure Key vault et récupérer le contenu depuis PowerShell

Dans cet article, nous allons voir comment stocker des mots de passes comme mot de passe BIOS) dans Azure Key Vault puis en récupérer le contenu avec PowerShell.

Contexte

• Vous avez plusieurs machines à gérer
• Toutes vos machines disposent ou doivent être protéger par un mot de passe BIOS
• Vous voulez un moyen sécurisé pour stocker le mot de passe
• Vous souhaitez par exemple, le faire dans un Key Vault
• Vous souhaitez pouvoir récupérer ce mot de passe depuis une machine

Les exemples

Dans cet article nous allons utiliser deux moyens pour nous connecter à notre Key vault afin de récupérer le mot de passe :

• En saisissant les identifiants
• En utilisant une application Azure

Création du Key Vault

1. Allez dans le portail Azure
2. Allez dans Key Vault
3. Cliquez sur Add

1. Choisissez votre souscription, votre groupe de ressource (ou créez en un nouveau)
2. Saisissez un nom de Key vault comme SDVault
3. Choisissez votre localisation
4. Cliquez sur Review + Create

5. Cliquez sur Create
6. Attendez le message suivant:

Votre mot de passe dans Key Vault

1. Cliquez sur Go to resource
2. Cliquez sur Secrets

3. Cliquez sur Generate/Import

4. Saisissez un nom comme NewBiosPassword
5. Dans Value, saisissez un mot de passe comme P@$Sw0ord

6. Cliquez sur Create
7. Votre mot de passe est désormais disponible

Récupérer le mot de passe depuis PowerShell

1. Ouvrir PowerShell
2. Insytaller le module Az.Accounts
3. Saisissez la commande: Connect-AzAccount
4. Saisissez vos identifiants

5. Saisissez le code suivant pour récupérer les infos du key vault

(Get-AzKeyVaultSecret -vaultName "SDVault" -name "NewBiosPassword") | select *

6. Ci-dessous le résultat obtenu:

7. Nous allons maintenant récupére le mot de passe en utlisant SecretValue:

$secret = (Get-AzKeyVaultSecret -vaultName "SDVault" -name "NewBiosPassword") | select *
$Get_My_Scret = [System.Runtime.InteropServices.Marshal]::SecureStringToBSTR($secret.SecretValue) 
$Display_My_Secret = [System.Runtime.InteropServices.Marshal]::PtrToStringAuto($Get_My_Scret) 
$Display_My_Secret

8. Ci-dessous le résultat obtenu:

Nous sommes maintenant capable de récupérer le mot de passe stocker sur notre Key Vault.
Cependant nous devons saisir des identifiants.
Nous allons maintenant créer une pplication Azure afin de faciliter l’authentification.
Nous allons connecter l’application via un certificat.

Générer le certificat

1. Sir votre appareil, saisissez le code suivant pour générer le certificat:

$Cert_Name = "MyKeyVault_Cert"
New-SelfSignedCertificate -DnsName $Cert_Name -CertStoreLocation Cert:\currentuser\My
$MyCert = Get-ChildItem -Path "cert:\CurrentUser\My" | Where-Object {$_.Subject -match $Cert_Name}
$Cert_TB = $MyCert.Thumbprint
Export-Certificate -Cert "Cert:\CurrentUser\My\$Cert_TB" -FilePath C:\$Cert_Name.cer

2. Ci-dessous le résultat obtenu:

3. Notez la valeur du Thumbprint

Création de l’application Azure

1. Allez dans le portail Azure
2. Cliquez sur App registrations
3. Cliquez sur New registration

4. Saisissez un nom comme BIOS_PWD_App

5. Cliquez sur Register

Importer le certificat

Nous allons maintenant importer le certificat dans notre application.

1. Allez dans le portail Azure
2. Cliquez sur Certificates & secrets

3. Dans Certificates, cliquez sur Upload certificate

4. Choisissez votre certificat, MyCert.cer
5. Cliquez sur Add

6. Vous obtiendrez la notification suivante:

Récupérer le mot de passe depuis PowerShell

1. Dans votre appli Azure allez sur Overview
2. Notez les infos Application id et tenant id
3. Cliquez sur Certificate et notez le Thumbprint
4. Ouvrir PowerShell
5. Saisissez la commande suivante pour vous connectez depuis l’appli Azure

$TenantID = <Votre ID de tenant>
$App_ID = <ID de votre app AZure>
$ThumbPrint = < Votre Thumbprint>
Connect-AzAccount -tenantid $TenantID -ApplicationId $App_ID -CertificateThumbprint $ThumbPrint

6. Vous obtiendrez les infos suivantes:

7. Saisissez la commande suivante pour afficher les infos du key vault

(Get-AzKeyVaultSecret -vaultName "SDVault" -name "NewBiosPassword") | select *

8. L’erreur suivante s’affiche

9. C’est normal car l’application n’a pas encore accès du contenu du key vault

Ajouter des accès à votre appli Azure

1. Allez dans key vault
2. Cliquez sur Access policies

3. Cliquez sur add access policies

4. Dans Configure template, Choisissez Secret management
5. In Key permissions, décochez tout
6. In Secret permissions, cochez uniquement Get
7. In Certificate permissions, décochez tout
8. In Select principal, cliquez sur None selected
9. Choisissez votre application, ici BIOS_PWD_App
10. Cliquez sur select
11. Cliquez sur Add

12. Cliquez sur Save
13. Saisissez à nouveau la commande:
14. Tadaa nous pouvons maintenant récupérer l’info