البداية السريعة: قم بتعيين واسترداد شهادة من Azure Key Vault باستخدام Azure PowerShell

في هذه البداية السريعة، يمكنك إنشاء مخزن مفاتيح في Azure Key Vault باستخدام Azure PowerShell. إن Azure Key Vault هي خدمة سحابية تعمل كمخزن آمن للأسرار. يمكنك تخزين المفاتيح وكلمات المرور والشهادات والأسرار الأخرى بأمان. لمزيد من المعلومات حول Key Vault، راجع نظرة عامة. يتم استخدام Azure PowerShell لإنشاء موارد Azure وإدارتها باستخدام الأوامر أو البرامج النصية. بعد ذلك، يمكنك تخزين شهادة.

المتطلبات الأساسية

في حال لم يكن لديك اشتراك Azure، فأنشئ حساباً مجانيّاً قبل البدء.

إنشاء مجموعة موارد

وتُعد مجموعة الموارد عبارة عن حاوية منطقية يتم فيها توزيع موارد Azure وإدارتها. استخدم Azure PowerShellNew-AzResourceGroup cmdlet لإنشاء مجموعة موارد باسم myResourceGroupفي موقعشرق الولايات المتحدة.

New-AzResourceGroup -Name "myResourceGroup" -Location "EastUS"

إنشاء مخزن رئيسي

استخدم Azure PowerShell New-AzKeyVault cmdlet لإنشاء "Key Vault" في مجموعة الموارد من الخطوة السابقة. تحتاج إلى توفير بعض المعلومات:

  • اسم مخزن المفاتيح: سلسلة من 3 إلى 24 حرفًا يمكن أن تحتوي فقط على أرقام (0-9)، وأحرف (a-z، A-Z)، وواصلات (-)

    هام

    يجب أن يكون لكل مخزن رئيسي اسم فريد. استبدلها <vault-name> باسم خزنة المفاتيح في الأمثلة التالية.

  • اسم مجموعة الموارد: myResourceGroup

  • الموقع: إيست يو إس

New-AzKeyVault -Name "<vault-name>" -ResourceGroupName "myResourceGroup" -Location "EastUS" -EnableRbacAuthorization $true -EnablePurgeProtection

ملحوظة

الحماية من التطهير هي أفضل الممارسات الأمنية Key Vault.

يظهر إخراج cmdlet خصائص key vault الذي تم إنشاؤه حديثًا. انتبه إلى هاتين الخاصيتين:

  • اسم المخزن: الاسم الذي قدمته إلى المعلمة -Name.
  • URIی القبو: في هذا المثال، URI الخزنة هو https://<vault-name>.vault.azure.net/. يجب أن تستخدم التطبيقات التي تستخدم مخزنك من خلال واجهة برمجة تطبيقات REST الخاصة بها معرّف الموارد المنتظم (URI).

في هذه المرحلة، حساب Azure الخاص بك هو الوحيد المخول بإجراء أي عمليات على هذا الـ vault الجديد.

منح حساب المستخدم أذونات لإدارة الشهادات في Key Vault

للحصول على أذونات إلى مخزن المفاتيح الخاص بك من خلال التحكم في الوصول المستند إلى الدور (RBAC)، قم بتعيين دور إلى "اسم المستخدم الأساسي" (UPN) باستخدام Azure PowerShell cmdlet New-AzRoleAssignment.

New-AzRoleAssignment -SignInName "<upn>" -RoleDefinitionName "Key Vault Certificates Officer" -Scope "/subscriptions/<subscription-id>/resourceGroups/myResourceGroup/providers/Microsoft.KeyVault/vaults/<vault-name>"

استبدل <upn>، <subscription-id>، ومع <vault-name> قيمك الفعلية. إذا استخدمت اسم مجموعة موارد مختلف، استبدل "myResourceGroup" أيضا. سيكون UPN الخاص بك عادة بتنسيق عنوان بريد إلكتروني (على سبيل المثال، username@domain.com).

إضافة شهادة إلى Key Vault

يمكنك الآن إضافة شهادة إلى الخزنة. يمكن استخدام هذه الشهادة بواسطة أحد التطبيقات.

استخدم هذه الأوامر لإنشاء شهادة موقعة ذاتيا مع نهج يسمى ExampleCertificate :

ملحوظة

هذا البدء السريع ينشئ شهادة موقعة ذاتيا لأغراض العرض التوضيحي. بالنسبة لأعباء العمل الإنتاجية، قم بدمج Key Vault مع جهة شهادات موثوقة. انظر تأمين شهادات Azure Key Vault الخاصة بك.

$Policy = New-AzKeyVaultCertificatePolicy -SecretContentType "application/x-pkcs12" -SubjectName "CN=<domain-name>" -IssuerName "Self" -ValidityInMonths 6 -ReuseKeyOnRenewal

Add-AzKeyVaultCertificate -VaultName "<vault-name>" -Name "ExampleCertificate" -CertificatePolicy $Policy

يمكنك الآن الرجوع إلى هذه الشهادة التي أضفتها إلى Azure Key Vault باستخدام URI الخاص به. استخدم https://<vault-name>.vault.azure.net/certificates/ExampleCertificate للحصول على الإصدار الحالي.

لعرض الشهادة المخزنة مسبقاً:

Get-AzKeyVaultCertificate -VaultName "<vault-name>" -Name "ExampleCertificate"

استكشاف الأخطاء وإصلاحها:

أعادت العملية رمز حالة غير صالح "Forbidden"

إذا تلقيت هذا الخطأ، فإن الحساب الذي يصل إلى Azure Key Vault ليست لديه الأذونات المناسبة لإنشاء الشهادات.

شغل أمر Azure PowerShell التالي لتعيين دور RBAC المناسب:

New-AzRoleAssignment -SignInName <user-principal-name> -RoleDefinitionName "Key Vault Certificates Officer" -Scope "/subscriptions/<subscription-id>/resourceGroups/<resource-group>/providers/Microsoft.KeyVault/vaults/<vault-name>"

تنظيف الموارد

يعتمد البدء السريع والبرامج التعليمية الأخرى في هذه المجموعة على هذا البدء السريع. إذا كنت تخطط لمواصلة العمل مع التشغيلات السريعة والبرامج التعليمية الأخرى فقد ترغب في ترك هذه الموارد في مكانها.

عند انتهاء الحاجة إليها، يمكنك استخدام Remove-AzResourceGroup cmdlet الخاص بـ Azure PowerShell لإزالة مجموعة الموارد وجميع الموارد ذات الصلة.

Remove-AzResourceGroup -Name "myResourceGroup"

ملحوظة

حذف مجموعة الموارد يحذف أيضا خزنة المفاتيح، لكن الخزنة تدخل في حالة حذف برمجي وتبقى قابلة للاسترداد لفترة الاحتفاظ (90 يوما افتراضيا). يبقى اسم القبو محجوزا عالميا خلال تلك الفترة، وبما أن الحماية من التطهير مفعلة، لا يمكن تطهير الخزنة مبكرا. بالنسبة لخزائن المفاتيح العادية، الخزائن المحسوبة بشكل تدريجي لا تتحمل رسوم. لمزيد من المعلومات، راجع Key Vault نظرة عامة للحذف الناعم.

الخطوات التالية

في هذه البداية السريعة، أنشأت Key Vault وقمت بتخزين شهادة فيه. لمعرفة المزيد حول Key Vault وكيفية دمجه مع التطبيقات الخاصة بك، تابع المقالات أدناه.

  • Last updated on