Rychlý start: Nastavení a načtení klíče ze služby Azure Key Vault pomocí Azure CLI

V tomto rychlém startu vytvoříte trezor klíčů ve službě Azure Key Vault pomocí Azure CLI. Azure Key Vault je cloudová služba, která funguje jako zabezpečené úložiště tajných kódů. Můžete bezpečně ukládat klíče, hesla, certifikáty a další tajné klíče. Další informace o službě Key Vault najdete v tématu Přehled. Azure CLI slouží k vytváření a správě prostředků Azure pomocí příkazů nebo skriptů. Až to dokončíte, uložíte klíč.

Pokud nemáte účet Azure, vytvořte si bezplatný účet před tím, než začnete.

Požadavky

• Použijte prostředí Bash v Azure Cloud Shellu. Další informace najdete v tématu Začínáme s Azure Cloud Shellem.

  

• Pokud dáváte přednost místnímu spouštění referenčních příkazů rozhraní příkazového řádku, nainstalujte Azure CLI. Pokud používáte Windows nebo macOS, zvažte spuštění Azure CLI v kontejneru Docker. Další informace najdete v tématu Jak spustit Azure CLI v kontejneru Dockeru.

  • Pokud používáte místní instalaci, přihlaste se k Azure CLI pomocí příkazu az login. Pokud chcete dokončit proces ověřování, postupujte podle kroků zobrazených na terminálu. Další možnosti přihlášení najdete v tématu Ověřování v Azure pomocí Azure CLI.

  • Po zobrazení výzvy nainstalujte rozšíření Azure CLI při prvním použití. Další informace o rozšířeních najdete v tématu Použití a správa rozšíření pomocí Azure CLI.

  • Spuštěním příkazu az version zjistěte verzi a závislé knihovny, které jsou nainstalované. Pokud chcete upgradovat na nejnovější verzi, spusťte az upgrade.

• Tento rychlý start vyžaduje verzi 2.0.4 nebo novější azure CLI. Pokud používáte Azure Cloud Shell, je už nainstalovaná nejnovější verze.

Vytvoření skupiny zdrojů

Skupina prostředků je logický kontejner, ve kterém se nasazují a spravují prostředky Azure. Pomocí příkazu az group create vytvořte skupinu prostředků myResourceGroup v umístění eastus.

az group create --name "myResourceGroup" --location "EastUS"

Vytvořte trezor klíčů.

Pomocí příkazu az keyvault create v Azure CLI vytvořte Key Vault ve skupině prostředků z předchozího kroku. Budete muset zadat několik informací:

• Název trezoru klíčů: Řetězec 3 až 24 znaků, který může obsahovat pouze čísla (0–9), písmena (a-z, A-Z) a pomlčky (-)

  Důležité

  Každý trezor klíčů musí mít jedinečný název. Nahraďte <vault-name> názvem trezoru klíčů v následujících příkladech.

• Název skupiny prostředků: "myResourceGroup"

• Umístění: EastUS

az keyvault create --name "<vault-name>" --resource-group "myResourceGroup" --enable-rbac-authorization true --enable-purge-protection true

Poznámka:

Ochrana před vymazáním je osvědčeným postupem zabezpečení Key Vault.

Výstup tohoto příkazu zobrazuje vlastnosti nově vytvořeného trezoru klíčů. Poznamenejte si tyto dvě vlastnosti:

• Název trezoru: Název, který jste zadali parametru --name .
• Identifikátor URI trezoru: V tomto příkladu je https://<vault-name>.vault.azure.net/identifikátor URI trezoru . Aplikace, které používají váš trezor prostřednictvím REST API musí používat tento identifikátor URI.

Udělení oprávnění uživatelského účtu ke správě klíčů ve službě Key Vault

Pokud chcete získat oprávnění k trezoru klíčů prostřednictvím řízení přístupu na základě role (RBAC), přiřaďte roli k hlavnímu názvu uživatele (UPN) pomocí příkazu Azure CLI az role assignment create.

az role assignment create --role "Key Vault Crypto Officer" --assignee "<upn>" --scope "/subscriptions/<subscription-id>/resourceGroups/myResourceGroup/providers/Microsoft.KeyVault/vaults/<vault-name>"

Nahraďte hodnoty <upn>, <subscription-id> a <vault-name> skutečnými hodnotami. Pokud jste použili jiný název skupiny prostředků, nahraďte také myResourceGroup. Hlavní název uživatele (UPN) bude obvykle v formátu e-mailové adresy (např. username@domain.com).

Přidání klíče do služby Key Vault

Pokud chcete do trezoru přidat klíč, stačí provést několik dalších kroků. Tento klíč může používat aplikace.

Zadáním tohoto příkazu vytvořte klíč s názvem ExampleKey :

az keyvault key create --vault-name "<vault-name>" -n ExampleKey --protection software

Teď můžete odkazovat na tento klíč, který jste přidali do služby Azure Key Vault, pomocí jeho identifikátoru URI. Aktuální verzi získáte pomocí https://<vault-name>.vault.azure.net/keys/ExampleKey.

Zobrazení dříve uloženého klíče:

az keyvault key show --name "ExampleKey" --vault-name "<vault-name>"

Teď jste vytvořili službu Key Vault, uložili jste klíč a načetli jste ho.

Vyčištění prostředků

Další rychlé starty a kurzy v této kolekci vycházejí z tohoto rychlého startu. Pokud chcete pokračovat v práci s dalšími rychlými starty a kurzy, možná budete chtít tyto prostředky zachovat.

Pokud už ji nepotřebujete, můžete k odebrání skupiny prostředků a všech souvisejících prostředků použít příkaz az group delete v Azure CLI:

az group delete --name "myResourceGroup"

Poznámka:

Odstraněním skupiny prostředků dojde také k odstranění trezoru klíčů, ale trezor pak přejde do stavu obnovitelného odstranění a zůstane obnovitelný po dobu uchovávání (ve výchozím nastavení je to 90 dnů). Název trezoru zůstává během tohoto období rezervovaný globálně a protože je povolená ochrana před vymazáním, trezor se nedá vyprázdnit včas. U standardních trezorů klíčů se za trezory odstraněné pomocí obnovitelného odstranění neúčtují žádné poplatky. Další informace najdete v článku Přehled obnovitelného odstranění ve službě Key Vault.

Další kroky

V tomto rychlém startu jste vytvořili službu Key Vault a uložili jste do ní klíč. Další informace o službě Key Vault a její integraci s vašimi aplikacemi najdete v těchto článcích.

• Přehled služby Azure Key Vault
• Prohlédni si referenční informace o příkazech Azure CLI az keyvault
• Přehled zabezpečení služby Key Vault
• Kontrola osvědčených postupů zabezpečení specifických pro klíče