Краткое руководство: Настройка аттестации Azure с помощью Azure CLI

Приступите к использованию аттестации Azure с помощью Azure CLI.

Предпосылки

Если у вас нет подписки на Azure, создайте бесплатную учетную запись перед началом.

Начало работы

  1. Установите это расширение с помощью приведенной ниже команды CLI

    az extension add --name attestation

  2. Проверка версии

    az extension show --name attestation --query version

  3. Используйте следующую команду для входа в Azure:

    az login

  4. При необходимости переключитесь на подписку Azure Attestation.

    az account set --subscription 00000000-0000-0000-0000-000000000000

  5. Зарегистрируйте поставщика ресурсов Microsoft.Attestation в подписке с помощью команды az provider register :

    az provider register --name Microsoft.Attestation

    Дополнительные сведения о поставщиках ресурсов Azure и их настройке и управлении ими см. в статье "Поставщики и типы ресурсов Azure".

    Замечание

    Необходимо зарегистрировать поставщика ресурсов для подписки только один раз.

  6. Создайте группу ресурсов для поставщика аттестации. Другие ресурсы Azure можно поместить в ту же группу ресурсов, включая виртуальную машину с экземпляром клиентского приложения. Выполните команду az group create , чтобы создать группу ресурсов или использовать существующую группу ресурсов:

    az group create --name attestationrg --location uksouth

Создание и управление поставщиком аттестации

Ниже приведены команды, которые можно использовать для создания и управления поставщиком аттестации:

  1. Выполните команду az attestation create, чтобы создать поставщика аттестации без требования подписи политики.

    az attestation create --name "<attestation-provider-name>" --resource-group "<resource-group>" --location westus

  2. Выполните команду az attestation show , чтобы получить свойства поставщика аттестации, такие как состояние и AttestURI:

    az attestation show --name "<attestation-provider-name>" --resource-group "<resource-group>"

    Эта команда отображает значения, такие как следующие выходные данные:

    Id:/subscriptions/MySubscriptionID/resourceGroups/MyResourceGroup/providers/Microsoft.Attestation/attestationProviders/MyAttestationProvider
Location: MyLocation
ResourceGroupName: MyResourceGroup
Name: MyAttestationProvider
Status: Ready
TrustModel: AAD
AttestUri: https://MyAttestationProvider.us.attest.azure.net
Tags:
TagsTable:

Команду az attestation delete можно использовать для удаления поставщика аттестации.

az attestation delete --name "<attestation-provider-name>" --resource-group "<resource-group>"

Управление политикой

Используйте команды, описанные здесь, для управления политиками поставщика аттестации, обрабатывая по одному типу аттестации за раз.

Команда az attestation policy show возвращает текущую политику для указанного TEE:

az attestation policy show --name "<attestation-provider-name>" --resource-group "<resource-group>" --attestation-type SGX-IntelSDK

Замечание

Команда отображает политику как в текстовом, так и в формате JWT.

Перечисленные ниже типы TEE поддерживаются:

  • SGX-IntelSDK
  • SGX-OpenEnclaveSDK
  • TPM

Используйте команду az attestation policy set , чтобы задать новую политику для указанного типа аттестации.

Чтобы задать политику в текстовом формате для заданного типа аттестации, используя путь к файлу:

az attestation policy set --name testatt1 --resource-group testrg --attestation-type SGX-IntelSDK --new-attestation-policy-file "{file_path}"

Чтобы задать политику в формате JWT для заданного типа аттестации, используя путь к файлу:

az attestation policy set --name "<attestation-provider-name>" --resource-group "<resource-group>" \
--attestation-type SGX-IntelSDK -f "{file_path}" --policy-format JWT

Дальнейшие шаги

  • Последнее обновление: