Краткое руководство. Настройка и получение сертификата из Azure Key Vault с помощью Azure CLI

Из этого краткого руководства вы узнаете, как создать хранилище ключей в Azure Key Vault с помощью Azure CLI. Azure Key Vault — это облачная служба, которая работает как защищенное хранилище секретов. Вы можете безопасно хранить ключи, пароли, сертификаты и другие секреты. Дополнительные сведения о хранилище ключей см. в разделе Обзор. Azure CLI используется для создания ресурсов Azure и управления ими с помощью скриптов и команд. После завершения этого вы сохраните сертификат.

Если у вас нет аккаунта Azure, создайте бесплатную учетную запись перед началом.

Требования

  • Для работы с этим кратким руководством требуется Azure CLI версии 2.0.4 или более поздней. Если вы используете Azure Cloud Shell, последняя версия уже установлена.

Создать группу ресурсов

Группа ресурсов — это логический контейнер, в котором происходит развертывание ресурсов Azure и управление ими. С помощью команды az group create создайте группу ресурсов с именем myResourceGroup в расположении eastus.

az group create --name "myResourceGroup" --location "EastUS"

Создание хранилища ключей

Чтобы создать хранилище ключей в группе ресурсов из предыдущего шага, используйте команду az keyvault create в Azure CLI. Необходимо будет указать следующие сведения:

  • Имя хранилища ключей. Строка длиной от 3 до 24 символов, которая может содержать только цифры (0–9), буквы (a–z, A–Z) и дефисы (-)

    Внимание

    Каждое хранилище ключей должно иметь уникальное имя. Замените <vault-name> именем хранилища ключей в следующих примерах.

  • Имя группы ресурсов: myResourceGroup

  • Расположение: EastUS

az keyvault create --name "<vault-name>" --resource-group "myResourceGroup" --enable-rbac-authorization true --enable-purge-protection true

Замечание

Защита от очистки — это рекомендуемая практика обеспечения безопасности Key Vault.

Вывод этой команды показывает свойства новосозданного хранилища ключей. Обратите внимание на эти два свойства.

  • Имя хранилища: имя, предоставленное параметру --name .
  • URI хранилища: В данном примере URI хранилища — это https://<vault-name>.vault.azure.net/. Необходимо, чтобы приложения, использующие ваше хранилище через REST API, использовали этот URI.

Предоставление учетным записям пользователя разрешений на управление сертификатами в Key Vault

Чтобы получить разрешения для хранилища ключей с помощью контроль доступа на основе ролей (RBAC), назначьте роль для "User Principal Name" (UPN) с помощью команды az role assignment create.

az role assignment create --role "Key Vault Certificates Officer" --assignee "<upn>" --scope "/subscriptions/<subscription-id>/resourceGroups/myResourceGroup/providers/Microsoft.KeyVault/vaults/<vault-name>"

Замените <upn>, <subscription-id>а <vault-name> также фактическими значениями. Если вы использовали другое имя группы ресурсов, замените myResourceGroup. Ваше имя пользователя (UPN) обычно имеет формат адреса электронной почты, например username@domain.com.

Добавление сертификата в Key Vault

Чтобы добавить сертификат в хранилище, вам нужно выполнить несколько дополнительных действий. Этот сертификат может использоваться приложением.

Выполните приведенные ниже команды, чтобы создать самозаверяющий сертификат с политикой по умолчанию — ExampleCertificate.

Замечание

В этом кратком руководстве создается самоподписанный сертификат в демонстрационных целях. Для рабочих нагрузок интегрируйте Key Vault с доверенным центром сертификации. См. раздел Защита сертификатов в Azure Key Vault.

az keyvault certificate create --vault-name "<vault-name>" -n ExampleCertificate -p "$(az keyvault certificate get-default-policy)"

Теперь сертификат, добавленный в Azure Key Vault, можно вызвать, используя его URI. Используйте https://<vault-name>.vault.azure.net/certificates/ExampleCertificate , чтобы получить текущую версию.

Чтобы просмотреть ранее сохраненный сертификат, выполните следующие действия:


az keyvault certificate show --name "ExampleCertificate" --vault-name "<vault-name>"

Вы создали Key Vault, сохранили в нем сертификат и извлекли его.

Очистка ресурсов

Другие краткие руководства и учебные пособия в этой коллекции основаны на этом материале. Если вы планируете продолжить работу с последующими быстрыми стартовыми руководствами и обучающими материалами, можете оставить эти ресурсы без изменений.

Вы можете удалить ставшую ненужной группу ресурсов и все связанные с ней ресурсы с помощью Azure CLI, выполнив команду az group delete:

az group delete --name "myResourceGroup"

Замечание

При удалении группы ресурсов также удаляется хранилище ключей, но затем оно переходит в состояние обратимого удаления и может быть восстановлено в течение срока хранения (по умолчанию 90 дней). Имя хранилища остается зарезервированным глобально в течение этого периода, и поскольку защита очистки включена, хранилище не может быть удалено рано. Для стандартных хранилищ ключей плата за хранилища, помеченные как обратимо удаленные, не взимается. Дополнительные сведения см. в разделе Обзор обратимого удаления в Key Vault.

Следующие шаги

Из этого краткого руководства вы узнали, как создать Key Vault и сохранить в нем сертификат. Дополнительные сведения о Key Vault и его интеграции в приложения см. в следующих статьях.

  • Last updated on