Prerequisites for Azure Key Vault Secrets Manager

Ce guide décrit les étapes pour enregistrer une application dans Microsoft Entra ID (anciennement Azure AD), générer des identifiants d’authentification et accorder les autorisations minimales requises pour lire des secrets depuis un Azure Key Vault. Les valeurs collectées correspondent directement aux champs du fournisseur Azure Key Vault dans l’interface Cloud Exchange Secrets Manager.

Cliquer sur « play » pour regarder une vidéo.

Create a Service Principal

Begin by registering an application in the relevant Microsoft Entra ID tenant. This creates the Identity (service principal) that Cloud Exchange will use.

Utilisez le guide officiel Microsoft pour cette étape : Enregistrer une application auprès de la plateforme d’identité Microsoft

Grant Access to Key Vault (Least Privilege)

After the identity exists, grant it permission to read secrets. Use the Key Vault Secrets User role, which allows reading secrets, but not managing them or viewing keys/certificates.

1. Go to the target Key Vault resource in the Azure portal.
2. Dans le menu de gauche, sélectionnez Access control (IAM).
3. Cliquez sur + Add et sélectionnez Add role assignment.
4. Select a Role:
   • Search for and select: Key Vault Secrets User
   • Permissions included: Get and List secrets.
   • Cliquez sur Next.
5. Select Members:
   • Ensure Assign access to is set to User, group, or service principal.
   • Cliquez sur + Select members.
   • Search for the name of the application created in Part 1.
   • Select le principal dans la liste et cliquez sur Select.
6. Click Review + assign to finish.

Configure Authentication Credentials

Choose one of the following options to authenticate the application. These values populate the Authentication Method, Client Secret, and/or Certificate Path fields in the Secrets Manager UI.

Option A: Client Secret (Password-based)

1. Go to App registrations in the Azure portal and select the newly created application.
2. Dans le menu de gauche, sélectionnez Certificates & secrets.
3. Cliquez sur l'onglet Client secrets.
4. Cliquez sur + New client secret.
5. Add a description (like Netskope CE Secret) and choose an expiration period.
6. Cliquez sur Add.
7. Copy the Value of the client secret immediately; it cannot be viewed again after leaving the page.
8. In Cloud Exchange, paste this value into the Client Secret field.

Option B: Client Certificate (Certificate-based)

Before proceeding, ensure the public key file of the X.509 certificate is available.

1. Go to App registrations in the Azure portal and select the application.
2. Dans le menu de gauche, sélectionnez Certificates & secrets.
3. Cliquez sur l'onglet Certificates.
4. Cliquez sur Upload certificate.
5. Select the .crt, .cer, or .pem file.
6. Cliquez sur Add.
7. In Cloud Exchange, paste the same file in the Certificate field and provide the passphrase if the certificate is encrypted.

Summary of Required Configuration Params

When completed, the following parameters are required to configure the product: