Краткое руководство. Настройка службы "Аттестация Azure" с помощью Azure CLI

  • Статья

Начните работу со службой "Аттестация Azure" с помощью Azure CLI.

Предварительные требования

Если у вас еще нет подписки Azure, создайте бесплатную учетную запись, прежде чем начинать работу.

Начало работы

  1. Установите это расширение с помощью команды CLI, приведенной ниже.

    az extension add --name attestation

  2. Проверка версии

    az extension show --name attestation --query version

  3. Примените следующую команду, чтобы войти в Azure:

    az login

  4. Если нужно, перейдите к подписке для службы "Аттестация Azure":

    az account set --subscription 00000000-0000-0000-0000-000000000000

  5. Зарегистрируйте в этой подписке поставщик ресурсов Microsoft.Attestation с помощью команды az provider register:

    az provider register --name Microsoft.Attestation

    Дополнительные сведения о поставщиках ресурсов Azure, настройке этих поставщиков и управлении ими см. в статье Поставщики и типы ресурсов Azure.

    Примечание

    Для каждой подписки поставщик ресурсов регистрируется однократно.

  6. Создайте группу ресурсов для поставщика аттестации. В эту же группу ресурсов можно поместить и другие ресурсы Azure, в том числе виртуальные машины с экземплярами клиентского приложения. Выполните команду az group create, чтобы создать группу ресурсов, или примените существующую группу ресурсов:

    az group create --name attestationrg --location uksouth

Создание поставщика аттестации и управление им

Ниже приведены команды, которые можно использовать для создания поставщика аттестации и управления им.

  1. Выполните команду az attestation create, чтобы создать поставщик аттестации с требованием подписывания политик:

    az attestation create --name "myattestationprovider" --resource-group "MyResourceGroup" --location westus

  2. Выполните команду az attestation show, чтобы получить сведения о свойствах поставщика аттестации, включая сведения о состоянии и URI аттестации:

    az attestation show --name "myattestationprovider" --resource-group "MyResourceGroup"

    С помощью этой команды отображаются значения, аналогичные приведенным ниже:

    Id:/subscriptions/MySubscriptionID/resourceGroups/MyResourceGroup/providers/Microsoft.Attestation/attestationProviders/MyAttestationProvider
Location: MyLocation
ResourceGroupName: MyResourceGroup
Name: MyAttestationProvider
Status: Ready
TrustModel: AAD
AttestUri: https://MyAttestationProvider.us.attest.azure.net
Tags:
TagsTable:

Поставщик аттестации можно удалить с помощью команды az attestation delete:

az attestation delete --name "myattestationprovider" --resource-group "sample-resource-group"

Управление политикой

Управлять политиками для поставщика аттестации можно с помощью описанных здесь команд (один тип аттестации за раз).

Команда az attestation policy show возвращает текущую политику для указанной среды TEE:

az attestation policy show --name "myattestationprovider" --resource-group "MyResourceGroup" --attestation-type SGX-IntelSDK

Примечание

С помощью этой команды политика отображается в форматах текста и JWT.

Поддерживаются следующие типы TEE:

  • SGX-IntelSDK
  • SGX-OpenEnclaveSDK
  • TPM

Используйте команду az attestation policy set, чтобы задать новую политику для указанного типа аттестации.

Чтобы задать политику в текстовом формате для заданного типа аттестации с помощью пути к файлу, сделайте следующее:

az attestation policy set --name testatt1 --resource-group testrg --attestation-type SGX-IntelSDK --new-attestation-policy-file "{file_path}"

Чтобы задать политику в формате JWT для заданного типа аттестации с помощью пути к файлу, сделайте следующее:

az attestation policy set --name "myattestationprovider" --resource-group "MyResourceGroup" \
--attestation-type SGX-IntelSDK -f "{file_path}" --policy-format JWT

Дальнейшие действия