Condividi tramite

Guida introduttiva: Impostare e recuperare un segreto da Azure Key Vault tramite l'interfaccia della riga di comando di Azure

In questo argomento di avvio rapido viene creato un insieme di credenziali delle chiavi in Azure Key Vault con l'interfaccia della riga di comando di Azure. Azure Key Vault è un servizio cloud che funziona come archivio protetto dei segreti. È possibile archiviare in modo sicuro chiavi, password, certificati e altri segreti. Per altre informazioni su Key Vault, vedere la panoramica. L'interfaccia della riga di comando di Azure viene usata per creare e gestire le risorse di Azure con comandi o script. Successivamente verrà archiviato un segreto.

Se non si ha un account Azure, creare un account gratuito prima di iniziare.

Prerequisiti

Questo avvio rapido richiede l'interfaccia della riga di comando di Azure versione 2.0.4 o successiva. Se si usa Azure Cloud Shell, la versione più recente è già installata.

Creare un gruppo di risorse

Un gruppo di risorse è un contenitore logico in cui vengono distribuite e gestite le risorse di Azure. Usare il comando az group create per creare un gruppo di risorse denominato myResourceGroup nell'area eastus.

az group create --name "myResourceGroup" --location "EastUS"

Creare un insieme di credenziali delle chiavi

Usa il comando az keyvault create di Azure CLI per creare un Key Vault nel gruppo di risorse del passaggio precedente. Sarà necessario specificare alcune informazioni:

  • Nome Key Vault: una stringa contenente da 3 a 24 caratteri, limitati a numeri (0-9), lettere (a-z, A-Z) e trattini (-)

    Importante

    Ogni key vault deve avere un nome univoco. Negli esempi seguenti, sostituire <your-unique-keyvault-name> con il nome del tuo Key Vault.

  • Nome del gruppo di risorse: myResourceGroup.

  • Posizione: EastUS.

az keyvault create --name "<your-unique-keyvault-name>" --resource-group "myResourceGroup"

L'output di questo comando mostra le proprietà del nuovo Key Vault appena creato. Prendere nota delle due proprietà seguenti:

  • Nome del Vault: Il nome che hai fornito al parametro --name.
  • URI dell’insieme di credenziali: in questo esempio, l’URI dell’insieme di credenziali è https://<your-unique-keyvault-name>.vault.azure.net/. Le applicazioni che usano l'insieme di credenziali tramite l'API REST devono usare questo URI.

Concedere all'account utente le autorizzazioni per gestire i segreti in Key Vault

Per ottenere le autorizzazioni per l’insieme di credenziali delle chiavi tramite il controllo degli accessi in base al ruolo (RBAC), assegnare un ruolo all’UPN (User Principal Name) usando il comando dell’interfaccia della riga di comando di Azure az role assignment create.

az role assignment create --role "Key Vault Secrets Officer" --assignee "<upn>" --scope "/subscriptions/<subscription-id>/resourceGroups/<resource-group-name>/providers/Microsoft.KeyVault/vaults/<your-unique-keyvault-name>"

Sostituire <upn>, <subscription-id>, <resource-group-name> e <your-unique-keyvault-name> con i valori effettivi. L'UPN in genere sarà nel formato di un indirizzo e-mail (ad esempio, username@domain.com).

Aggiungere un segreto a Key Vault

Per aggiungere un segreto all'insieme di credenziali, sono sufficienti un paio di passaggi aggiuntivi. Questa password può essere usata da un'applicazione. La password sarà denominata ExamplePassword e al suo interno verrà archiviato il valore di hVFkk965BuUv.

Usare il seguente comando az keyvault secret set dell’interfaccia della riga di comando di Azure per creare in Key Vault un segreto denominato ExamplePassword in cui verrà archiviato il valore hVFkk965BuUv:

az keyvault secret set --vault-name "<your-unique-keyvault-name>" --name "ExamplePassword" --value "hVFkk965BuUv"

Recuperare un segreto da Key Vault

È ora possibile fare riferimento a questa password aggiunta ad Azure Key Vault usando il relativo URI. Usare https://<your-unique-keyvault-name>.vault.azure.net/secrets/ExamplePassword per ottenere la versione corrente.

Per visualizzare il valore contenuto nel segreto come testo normale, usare il comando az keyvault secret show dell'interfaccia della riga di comando di Azure:

az keyvault secret show --name "ExamplePassword" --vault-name "<your-unique-keyvault-name>" --query "value"

A questo punto è stata creata un'istanza di Key Vault nella quale è stato archiviato e recuperato un segreto.

Pulire le risorse

Altri avvii rapidi ed esercitazioni in questa raccolta si basano su questo avvio rapido. Se prevedi di continuare a lavorare con le guide introduttive e i tutorial successivi, potresti voler lasciare queste risorse intatte.

Quando non sono più necessari, è possibile rimuovere il gruppo di risorse e tutte le risorse correlate tramite il comando az group delete dell'interfaccia della riga di comando di Azure:

az group delete --name "myResourceGroup"

Passaggi successivi

In questo argomento di avvio rapido è stata creata un'istanza di Key Vault in cui è stato archiviato un segreto. Per altre informazioni sul servizio Key Vault e su come integrarlo nelle applicazioni, continuare con gli articoli seguenti.