Číst v angličtině

Sdílet prostřednictvím

Příjem oznámení služby Key Vault a reakce na ně pomocí služby Azure Event Grid

  • Článek

Integrace služby Azure Key Vault se službou Azure Event Grid umožňuje uživatelům oznámení o změně stavu tajného kódu uloženého v trezoru klíčů. Přehled této funkce najdete v tématu Monitorování služby Key Vault pomocí event Gridu.

Tato příručka popisuje, jak přijímat oznámení služby Key Vault prostřednictvím služby Event Grid a jak reagovat na změny stavu prostřednictvím služby Azure Automation.

Požadavky

Koncepty

Event Grid je služba událostí pro cloud. Podle kroků v této příručce se přihlásíte k odběru událostí služby Key Vault a směrujete události do služby Automation. Když se blíží vypršení platnosti některého z tajných kódů v trezoru klíčů (definovaného jako 30 dní před datem vypršení platnosti), služba Event Grid oznámí změnu stavu a provede do koncového bodu http POST. Webhook pak aktivuje spuštění skriptu PowerShellu pro automatizaci.

Vývojový diagram HTTP POST

Vytvoření účtu Automation

Vytvořte účet Automation prostřednictvím webu Azure Portal:

  1. Přejděte na portal.azure.com a přihlaste se ke svému předplatnému.

  2. Do vyhledávacího pole zadejte účty Automation.

  3. V části Služby v rozevíracím seznamu na panelu hledání vyberte Účty Automation.

  4. Vyberte Přidat.

    Podokno účty Automation

  5. Zadejte požadované informace v podokně Přidat účet Automation a pak vyberte Vytvořit.

Vytvoření runbooku

Jakmile bude účet Automation připravený, vytvořte runbook.

Vytvoření uživatelského rozhraní runbooku

  1. Vyberte účet Automation, který jste vytvořili.

  2. V části Automatizace procesů vyberte runbooky.

  3. Vyberte Vytvořit runbook.

  4. Pojmenujte runbook a jako typ runbooku vyberte PowerShell .

  5. Vyberte runbook, který jste vytvořili, a pak vyberte tlačítko Upravit .

  6. Zadejte následující kód (pro účely testování) a vyberte tlačítko Publikovat . Tato akce vrátí výsledek přijaté žádosti POST.

Azure PowerShell 
param
(
[Parameter (Mandatory = $false)]
[object] $WebhookData
)

#If runbook was called from Webhook, WebhookData will not be null.
if ($WebhookData) {

#rotate secret:
#generate new secret version in key vault
#update db/service with generated secret

#Write-Output "WebhookData <$WebhookData>"
Write-Output $WebhookData.RequestBody
}
else
{
# Error
write-Error "No input data found." 
}

Publikování uživatelského rozhraní runbooku

Vytvoření webhooku

Vytvořte webhook, který aktivuje nově vytvořený runbook.

  1. V části Prostředky publikovaného runbooku vyberte webhooky.

  2. Vyberte Přidat webhook.

    Tlačítko Přidat webhook

  3. Vyberte Vytvořit nový webhook.

  4. Pojmenujte webhook, nastavte datum vypršení platnosti a zkopírujte adresu URL.

    Důležité

    Adresu URL nemůžete zobrazit po jejím vytvoření. Ujistěte se, že kopii uložíte do zabezpečeného umístění, kde k ní budete mít přístup po zbytek tohoto průvodce.

  5. Vyberte Parametry a spusťte nastavení a pak vyberte OK. Nezadávejte žádné parametry. Tlačítko Vytvořit se povolí.

  6. Vyberte OK a pak vyberte Vytvořit.

    Vytvoření nového uživatelského rozhraní Webhooku

Vytvoření odběru Event Gridu

Vytvořte odběr Event Gridu prostřednictvím webu Azure Portal.

  1. Přejděte do trezoru klíčů a vyberte kartu Události .

    Karta Události na webu Azure Portal

  2. Vyberte tlačítko Odběr události.

  3. Vytvořte popisný název předplatného.

  4. Zvolte schéma Event Gridu.

  5. Prostředek tématu by měl být trezor klíčů, který chcete monitorovat změny stavu.

  6. Pro filtr na typy událostí ponechte všechny možnosti vybrané (9).

  7. Jako Typ koncového bodu vyberte Webhook.

  8. Zvolte Vybrat koncový bod. V novém kontextovém podokně vložte adresu URL webhooku z kroku Vytvořit webhook do pole Koncový bod odběratele .

  9. V podokně kontextu vyberte Potvrdit výběr .

  10. Vyberte Vytvořit.

    Vytvoření odběru událostí

Testování a ověření

Ověřte, že je vaše předplatné Event Gridu správně nakonfigurované. Tento test předpokládá, že jste se přihlásili k odběru oznámení "Vytvoření nové tajné verze" v odběru služby Event Grid a že máte potřebná oprávnění k vytvoření nové verze tajného kódu v trezoru klíčů.

Testovací konfigurace odběru služby Event Grid

Podokno Vytvoření tajného kódu

  1. Na webu Azure Portal přejděte na svůj trezor klíčů.

  2. Vytvořte nový tajný kód. Pro účely testování nastavte vypršení platnosti na následující den.

  3. Na kartě Události ve vašem trezoru klíčů vyberte předplatné Event Gridu, které jste vytvořili.

  4. V části Metriky zkontrolujte, jestli byla zaznamenána událost. Očekává se dvě události: SecretNewVersion a SecretNearExpiry. Tyto události ověřují, že Event Grid úspěšně zachytil změnu stavu tajného klíče ve vašem trezoru klíčů.

    Podokno Metriky: Kontrola zachycených událostí

  5. Přejděte do svého účtu služby Automation.

  6. Vyberte kartu Runbooky a pak vyberte runbook, který jste vytvořili.

  7. Vyberte kartu Webhooky a ověřte, že časové razítko naposledy aktivované je do 60 sekund od vytvoření nového tajného kódu. Tento výsledek potvrdí, že Služba Event Grid do webhooku vytvořila post s podrobnostmi o události změny stavu ve vašem trezoru klíčů a aktivací webhooku.

    Karta Webhooky, časové razítko Naposledy aktivované

  8. Vraťte se do runbooku a vyberte kartu Přehled .

  9. Podívejte se na seznam Posledních úloh . Měli byste vidět, že se vytvořila úloha a že je stav dokončený. Tím potvrdíte, že webhook aktivoval runbook, aby začal spouštět svůj skript.

    Seznam posledních úloh webhooku

  10. Vyberte poslední úlohu a podívejte se na požadavek POST, který byl odeslán z Event Gridu do webhooku. Prozkoumejte JSON a ujistěte se, že jsou správné parametry pro váš trezor klíčů a typ události. Pokud parametr "typ události" v objektu JSON odpovídá události, ke které došlo v trezoru klíčů (v tomto příkladu Microsoft.KeyVault.SecretNearExpiry), test byl úspěšný.

Řešení problému

Odběr událostí nejde vytvořit.

Znovu zaregistrujte Event Grid a poskytovatele trezoru klíčů ve vašich poskytovatelích prostředků předplatného Azure. Viz Poskytovatelé a typy prostředků Azure.

Další kroky

Gratulujeme! Pokud jste správně postupovali podle všech těchto kroků, jste teď připraveni programově reagovat na změny stavu tajných kódů uložených ve vašem trezoru klíčů.

Pokud jste k hledání změn stavu tajných kódů v trezorech klíčů používali systém založený na dotazování, můžete tuto funkci oznámení začít používat. Testovací skript v runbooku můžete také nahradit kódem, který programově obnoví tajné kódy, jakmile brzy vyprší jejich platnost.

Další informace: