Azure : inventaire infrastructure via ARM & Resource Graph en PowerShell

Calcul... powershell azure arm resource-graph key-vault infra

Introduction

Faitza_AZ.ps1 regroupe les fonctions PowerShell pour inventorier et gérer l'infrastructure Azure : machines virtuelles, réseau (NSG, subnets, NIC, routes), disques, tags, alertes métriques et secrets Key Vault. Toutes les requêtes d'inventaire passent par Azure Resource Graph via Invoke-Faitza_AZ_ARG — une seule requête KQL couvre toutes les souscriptions sans boucler sur les ressources une par une.

Prérequis

Les fonctions d'inventaire utilisent Get-Faitza_Modul_Headers -resource "arm", les fonctions Key Vault utilisent Get-Faitza_Modul_Headers -resource "keyvault". Voir l'article dédié : Token Bearer pour les APIs Microsoft en PowerShell.

ARG — Moteur Azure Resource Graph

Fonction centrale utilisée par toutes les autres. Envoie une requête KQL à l'API Azure Resource Graph (Microsoft.ResourceGraph/resources), gère la pagination via $skipToken et les throttling 429 avec retry automatique (jusqu'à 4 tentatives, délai Retry-After).

Droits requis

Reader sur les souscriptions ou groupes de ressources ciblés · Token arm

function Invoke-Faitza_AZ_ARG {
    param (
        [string]$Body,
        [hashtable]$Headers,
        [string]$CallerName = "?"
    )
    try {
        Write-Host "$($PSStyle.Background.Red)>>> Invoke-Faitza_AZ_ARG <<<$($PSStyle.Reset)"

        $Url = "https://management.azure.com/providers/Microsoft.ResourceGraph/resources?api-version=2021-03-01"
        $MaxRetries = 4
        $AllData = @()
        $CurrentBody = $Body
        $PageIndex = 0

        do {
            $PageIndex++
            $RetryCount = 0
            $Success = $false
            $Response = $null

            Write-Host "  [ARG][$CallerName] Page $PageIndex - début appel REST ($(Get-Date -Format 'HH:mm:ss'))"

            while (-not $Success -and $RetryCount -lt $MaxRetries) {
                try {
                    Write-Host "  [ARG][$CallerName] Invoke-RestMethod envoyé (tentative $($RetryCount+1)/$MaxRetries) ($(Get-Date -Format 'HH:mm:ss'))"
                    $Response = Invoke-RestMethod -Method Post -Uri $Url -Headers $Headers -Body $CurrentBody -ContentType 'application/json' -TimeoutSec 90
                    Write-Host "  [ARG][$CallerName] Réponse reçue : $(@($Response.data).Count) lignes ($(Get-Date -Format 'HH:mm:ss'))"
                    $Success = $true
                } catch {
                    $ex = $_.Exception
                    $resp = $ex.Response
                    Write-Host "  [ARG][$CallerName] Exception capturée : $($ex.GetType().Name) - $($ex.Message) ($(Get-Date -Format 'HH:mm:ss'))"
                    if ($null -ne $resp) {
                        Write-Host "  [ARG][$CallerName] HTTP StatusCode : $($resp.StatusCode) ($([int]$resp.StatusCode))"
                        Write-Host "  [ARG][$CallerName] Retry-After header : '$($resp.Headers["Retry-After"])'"
                    } else {
                        Write-Host "  [ARG][$CallerName] Pas de réponse HTTP (timeout réseau ou proxy ?)"
                    }
                    if ($null -ne $resp -and $resp.StatusCode -eq 'TooManyRequests') {
                        $RetryCount++
                        $retryAfter = $resp.Headers["Retry-After"]
                        if (-not $retryAfter) { $retryAfter = 5 }
                        Write-Host "$($PSStyle.Foreground.BrightYellow)API Azure saturée (429). Attente $retryAfter sec (tentative $RetryCount/$MaxRetries)...$($PSStyle.Reset)"
                        Start-Sleep -Seconds $retryAfter
                    } else { throw }
                }
            }

            if (-not $Success) { throw "Impossible d'interroger Azure Resource Graph après $MaxRetries tentatives (Throttling 429 persistant)." }

            if ($Response.data) { $AllData += $Response.data }
            Write-Host "  [ARG][$CallerName] Total cumulé : $($AllData.Count) lignes - skipToken présent : $($null -ne $Response.'$skipToken') ($(Get-Date -Format 'HH:mm:ss'))"

            if ($Response.'$skipToken') {
                $BodyObj = $CurrentBody | ConvertFrom-Json -AsHashtable
                $BodyObj['$skipToken'] = $Response.'$skipToken'
                $CurrentBody = $BodyObj | ConvertTo-Json -Depth 10
            }
        } while ($Response.'$skipToken')

        return $AllData
    } catch {
        throw "Erreur Invoke-Faitza_AZ_ARG : $_"
    } finally {
        Write-Host "$($PSStyle.Background.Red)<<< Invoke-Faitza_AZ_ARG >>>$($PSStyle.Reset)"
    }
}

# Requête KQL personnalisée sur toutes les souscriptions
$Headers = Get-Faitza_Modul_Headers -resource "arm"
$Body = @{ query = "Resources | where type =~ 'microsoft.compute/virtualmachines' | project name, location, resourceGroup | order by name asc" } | ConvertTo-Json
$vms = Invoke-Faitza_AZ_ARG -Body $Body -Headers $Headers -CallerName "MonScript"
Write-Host "$($vms.Count) VMs trouvées"

# Limiter à une souscription spécifique
$Body = @{
    query         = "Resources | where type =~ 'microsoft.compute/virtualmachines' | project name"
    subscriptions = @("xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx")
} | ConvertTo-Json -Depth 5
Invoke-Faitza_AZ_ARG -Body $Body -Headers $Headers

KV Read — Lire un secret Key Vault

Retourne la valeur d'un secret depuis un Azure Key Vault via l'API REST (api-version=7.4). Le vault par défaut est kv-faitza-infra, configurable via -vaultName.

Droits requis

Key Vault Secrets User sur le vault · Token keyvault

function Read-Faitza_AZ_KV {
    [CmdletBinding()]
    param (
        [string]$secret,
        [string]$vaultName = "kv-faitza-infra"
    )
    try {
        Write-Host "$($PSStyle.Background.Red)>>> Read-Faitza_AZ_KV <<<$($PSStyle.Reset)"
        if (-not $secret) { throw "paramètre -secret manquant" }
        Write-Host "Secret : $secret"
        $headers = Get-Faitza_Modul_Headers -resource "keyvault"
        $uri = "https://$vaultName.vault.azure.net/secrets/$secret/?api-version=7.4"
        $response = Invoke-RestMethod -Method Get -Uri $uri -Headers $headers -SkipCertificateCheck -ErrorAction Stop
        return $response.value
    } catch {
        throw "Erreur Read-Faitza_AZ_KV : $_"
    } finally {
        Write-Host "$($PSStyle.Background.Red)<<< Read-Faitza_AZ_KV >>>$($PSStyle.Reset)"
    }
}

# Lire un secret depuis le vault par défaut
$password = Read-Faitza_AZ_KV -secret "db-password"

# Vault spécifique
$apiKey = Read-Faitza_AZ_KV -secret "gemini-api-key" -vaultName "kv-prod-secrets"

KV Set — Écrire un secret Key Vault

Crée ou met à jour un secret dans un Azure Key Vault via un PUT REST. Retourne l'objet de réponse complet incluant l'ID de version du secret.

Droits requis

Key Vault Secrets Officer sur le vault · Token keyvault

function Set-Faitza_AzureKeyVault_Secret {
    [CmdletBinding()]
    param (
        [string]$SecretName,
        [string]$SecretValue,
        [string]$VaultName
    )
    try {
        Write-Host "$($PSStyle.Background.Red)>>> Set-Faitza_AzureKeyVault_Secret <<<$($PSStyle.Reset)"

        if (-not $SecretName)  { throw "paramètre -SecretName manquant" }
        if (-not $SecretValue) { throw "paramètre -SecretValue manquant" }

        Write-Host "Enregistrement du secret : $SecretName dans le vault $VaultName"
        $headers = Get-Faitza_Modul_Headers -resource "keyvault"
        $uri = "https://$VaultName.vault.azure.net/secrets/$SecretName/?api-version=7.4"
        $body = @{ value = $SecretValue } | ConvertTo-Json -Depth 2 -Compress
        $response = Invoke-RestMethod -Method Put -Uri $uri -Headers $headers -Body $body -SkipCertificateCheck -ErrorAction Stop

        Write-Host "Secret enregistré avec succès (Version: $($response.id.Split('/')[-1]))."
        return $response
    } catch {
        throw "Erreur Set-Faitza_AzureKeyVault_Secret : $_"
    } finally {
        Write-Host "$($PSStyle.Background.Red)<<< Set-Faitza_AzureKeyVault_Secret >>>$($PSStyle.Reset)"
    }
}

# Créer ou mettre à jour un secret
$result = Set-Faitza_AzureKeyVault_Secret `
    -SecretName  "api-key-prod" `
    -SecretValue "mon-secret-valeur" `
    -VaultName   "kv-faitza-infra"

Write-Host "Version : $($result.id.Split('/')[-1])"

Alerte — Alertes de métriques

Inventorie toutes les alertes de métriques Azure (microsoft.insights/metricalerts) via Resource Graph. Filtre optionnel par type de ressource cible (-Filtre) ou par nom d'objet spécifique (-Cible). Retourne le nom de l'alerte, la métrique surveillée, l'opérateur, le seuil, la sévérité et l'état activé.

Droits requis