Implementieren der Schlüsselrotation in Azure Cosmos DB

GILT FÜR: NoSQL MongoDB Cassandra Gremlin Tabelle

Das Drehen von Schlüsseln ist ein wichtiger Bestandteil der Sicherstellung, dass die Auswirkungen potenzieller Gefährdungen Ihrer Anmeldeinformationen minimiert werden. Sie sollten die Schlüssel mindestens alle 60 Tage neu generieren.

Wichtig

Microsoft empfiehlt, immer den sichersten Authentifizierungsflow zu verwenden. Der in diesem Verfahren beschriebene Authentifizierungsflow erfordert ein sehr hohes Maß an Vertrauen in die Anwendung und birgt Risiken, die bei anderen Flows nicht vorhanden sind. Sie sollten diesen Flow nur verwenden, wenn andere sicherere Flows (z. B. verwaltete Identitäten) nicht anwendbar sind.

Für Azure Cosmos DB ist die Microsoft Entra-Authentifizierung der sicherste Authentifizierungsmechanismus verfügbar. Lesen Sie den entsprechenden Sicherheitsleitfaden für Ihre API:

• Azure Cosmos DB for NoSQL

Voraussetzungen

• Ein vorhandenes Azure Cosmos DB-Konto

Drehen des primären oder sekundären Schlüssels

Sie können eine ihrer Schlüssel mithilfe der Azure-Portal oder über ein Skript drehen.

Azure portal

Verwenden Sie die Azure-Portal, um eine der vier integrierten Tasten zu drehen (oder neu zu generieren):

• Primärer Lese-/Schreibzugriff
• Primär schreibgeschützt
• Sekundärer Lese-/Schreibzugriff
• Sekundärer schreibgeschützt

1. Melden Sie sich beim Azure-Portal (https://portal.azure.com) an.

2. Navigieren Sie zu Ihrem vorhandenen Azure Cosmos DB-Konto.

3. Wählen Sie im Bereich "Kontoressource" im Abschnitt "Einstellungen" des Dienstmenüs die Option "Schlüssel" aus.

4. Wählen Sie die Aktualisierungsoption für die Felder "Primärschlüssel" oder "Sekundärschlüssel" in den Abschnitten "Lese-/Schreibzugriff" oder "Schreibgeschützter Schlüssel" aus.

Azure-Befehlszeilenschnittstelle

Verwenden Sie dieses Azure CLI-Skript, um einen der Schlüssel in Ihrem Azure Cosmos DB-Konto neu zu generieren.

az cosmosdb keys regenerate \
    --resource-group "<name-of-existing-resource-group>" \
    --name "<name-of-existing-account>" \
    --key-kind "primary"

--key-kind Zu den Argumentoptionen gehören:

• primary
• primaryReadonly
• secondary
• secondaryReadonly

Weitere Informationen finden Sie unter az cosmosdb keys regenerate.

Azure PowerShell

Verwenden Sie dieses Azure PowerShell-Skript, um einen der Schlüssel in Ihrem Azure Cosmos DB-Konto neu zu generieren.

$parameters = @{
    ResourceGroupName = "<name-of-existing-resource-group>"
    Name = "<name-of-existing-account>"
    KeyKind = "primary"
}
New-AzCosmosDBAccountKey @parameters

KeyKind Zu den Parameteroptionen gehören:

• primary
• primaryReadonly
• secondary
• secondaryReadonly

Weitere Informationen finden Sie unter New-AzCosmosDBAccountKey.

Zugehöriger Inhalt

• Abrufen eines primären/sekundären Schlüssels