Un notebook Fabric qui appelle une API a besoin d’un secret. Ce secret ne s’écrit pas dans le code : il se range dans Azure Key Vault. Ce billet suit la création d’un coffre au portail Azure, étape par étape, et le piège rencontré au moment de créer le premier secret.
Vérifié en lab en septembre 2026, sur un abonnement Azure de test, coffre kv-techniir-lab-manuel.
Les deux rôles à connaître
En mode RBAC, l’accès aux secrets passe par des rôles Azure. Deux suffisent pour démarrer :
| Rôle | Ce qu’il permet | Pour qui |
|---|---|---|
| Key Vault Secrets Officer | Créer, modifier, supprimer des secrets | La personne qui alimente le coffre |
| Key Vault Secrets User | Lire la valeur d’un secret | L’identité qui lit le secret (par exemple un notebook Fabric) |
1. Créer le resource group
Un resource group dédié au lab (rg-techniir-dp700-lab), avec des tags (par exemple project = dp700-lab). Les tags permettent de retrouver et de supprimer d’un coup tout ce qui appartient au lab.
2. Créer le Key Vault en mode RBAC
Dans Coffres de clés > Créer, onglet Configuration de l’accès : choisir Contrôle d’accès en fonction du rôle Azure (recommandé). Les access policies (Stratégie d’accès au coffre) sont le modèle hérité.
Laisser décochées les trois cases Accès aux ressources (machines virtuelles, Resource Manager, Azure Disk Encryption) : elles ne servent pas ici.
Garder le soft-delete et activer la purge protection. Attention : la purge protection ne se désactive plus une fois activée. Un coffre supprimé reste réservé pendant toute la durée de rétention, et son nom n’est pas réutilisable avant.
3. Le piège : créer le premier secret
Le coffre est créé. Dans Secrets > Générer/Importer, on crée test-secret. Échec :
Le message est clair une fois qu’on sait le lire : l’action secrets/setSecret/action est refusée, et Assignment: (not found) indique qu’aucun rôle n’autorise cette action pour ce compte.
Avoir créé le coffre ne donne aucun droit sur les secrets. Être propriétaire de l’abonnement non plus. Ce sont des droits sur la ressource (le plan de contrôle : créer, configurer, supprimer le coffre), pas sur son contenu (le plan de données : lire et écrire les secrets). En mode RBAC, les deux sont séparés.
Exception : si un rôle Key Vault est déjà hérité, par exemple Key Vault Administrator sur l’abonnement, la création passe.
4. Attribuer le bon rôle, au bon niveau
Sur le coffre : Contrôle d’accès (IAM) > Ajouter > Ajouter une attribution de rôle.
- Pour créer le secret : Key Vault Secrets Officer, attribué à son propre compte.
- Pour lire le secret : Key Vault Secrets User, attribué à l’identité qui le lira.
Deux réflexes :
- Attribuer au niveau du coffre, pas du resource group ni de l’abonnement. Le rôle ne vaut alors que pour ce coffre.
- Attendre quelques minutes. Le message d’erreur le dit lui-même : une attribution de rôle met un peu de temps à s’appliquer. Réessayer tout de suite peut échouer encore.
À noter : Secrets User seul ne suffit pas pour créer un secret. Ce rôle lit, il n’écrit pas. L’erreur serait la même.
5. Créer et relire le secret
Avec le rôle Secrets Officer actif, la création de test-secret passe. En ouvrant la version courante du secret, Afficher la valeur du secret renvoie bien la valeur saisie.
Le coffre est prêt à être lu.
6. Et côté Fabric
Le coffre est lu depuis un notebook avec notebookutils.credentials.getSecret, en passant l’URL complète du coffre et le nom du secret. Le détail, avec ce qui marche et ce qui échoue (putSecret, getToken, service principal), est dans notebookutils.credentials : secrets et jetons dans Fabric.
À retenir
- En mode RBAC, créer le coffre ne donne aucun droit sur les secrets.
- Secrets Officer pour écrire, Secrets User pour lire.
- Attribuer les rôles au niveau du coffre, et attendre quelques minutes avant de réessayer.
- La purge protection est définitive : choisir les noms de coffre de lab en conséquence.
Prochaine étape : la même chose en Azure CLI puis en Bicep, pour ne plus rien créer au clic.
À lire aussi : Industrialiser Fabric : du lab à la production, qui replace les secrets parmi les cinq piliers.