Краткое руководство. Создание хранилища ключей Azure и ключа с помощью Terraform

Статья
10/03/2023

Azure Key Vault — это облачная служба, которая предоставляет защищенное хранилище для секретов, таких как ключи, пароли и сертификаты. В этой статье рассматривается процесс развертывания файла Terraform для создания хранилища ключей и ключа.

Terraform поддерживает определение, предварительный просмотр и развертывание облачной инфраструктуры. С помощью Terraform можно создавать файлы конфигурации с применением синтаксиса HCL. Синтаксис HCL позволяет указать поставщика облачных служб, например Azure, и элементы, составляющие облачную инфраструктуру. После создания файлов конфигурации создается план выполнения, который позволяет предварительно просматривать изменения инфраструктуры до их развертывания. После проверки изменений примените план выполнения для развертывания инфраструктуры.

Вы узнаете, как выполнять следующие задачи:

Создайте случайное значение для имени группы ресурсов Azure с помощью random_pet
Создание группы ресурсов Azure с помощью azurerm_resource_group
Создание случайного значения с помощью random_string
Создание хранилища ключей Azure с помощью azurerm_key_vault
Создание ключа хранилища ключей Azure с помощью azurerm_key_vault_key

Предварительные требования

Установка и настройка Terraform

Реализация кода Terraform

Примечание

Пример кода для этой статьи находится в репозитории Azure Terraform на GitHub. Вы можете просмотреть файл журнала, содержащий результаты тестирования из текущей и предыдущей версий Terraform.

См. другие статьи и примеры кода, в которых показано, как использовать Terraform для управления ресурсами Azure.

Создайте каталог для тестирования и выполнения примера кода Terraform и сделайте его текущим каталогом.

Создайте файл с именем providers.tf и вставьте следующий код:

terraform {
  required_version = ">=1.0"
  required_providers {
    azurerm = {
      source  = "hashicorp/azurerm"
      version = "~>3.0"
    }
    random = {
      source  = "hashicorp/random"
      version = "~>3.0"
    }
  }
}
provider "azurerm" {
  features {}
}

Создайте файл с именем main.tf и вставьте следующий код:

resource "random_pet" "rg_name" {
  prefix = var.resource_group_name_prefix
}

resource "azurerm_resource_group" "rg" {
  name     = random_pet.rg_name.id
  location = var.resource_group_location
}

data "azurerm_client_config" "current" {}

resource "random_string" "azurerm_key_vault_name" {
  length  = 13
  lower   = true
  numeric = false
  special = false
  upper   = false
}

locals {
  current_user_id = coalesce(var.msi_id, data.azurerm_client_config.current.object_id)
}

resource "azurerm_key_vault" "vault" {
  name                       = coalesce(var.vault_name, "vault-${random_string.azurerm_key_vault_name.result}")
  location                   = azurerm_resource_group.rg.location
  resource_group_name        = azurerm_resource_group.rg.name
  tenant_id                  = data.azurerm_client_config.current.tenant_id
  sku_name                   = var.sku_name
  soft_delete_retention_days = 7

  access_policy {
    tenant_id = data.azurerm_client_config.current.tenant_id
    object_id = local.current_user_id

    key_permissions    = var.key_permissions
    secret_permissions = var.secret_permissions
  }
}

resource "random_string" "azurerm_key_vault_key_name" {
  length  = 13
  lower   = true
  numeric = false
  special = false
  upper   = false
}

resource "azurerm_key_vault_key" "key" {
  name = coalesce(var.key_name, "key-${random_string.azurerm_key_vault_key_name.result}")

  key_vault_id = azurerm_key_vault.vault.id
  key_type     = var.key_type
  key_size     = var.key_size
  key_opts     = var.key_ops

  rotation_policy {
    automatic {
      time_before_expiry = "P30D"
    }

    expire_after         = "P90D"
    notify_before_expiry = "P29D"
  }
}

Создайте файл с именем variables.tf и вставьте следующий код:

variable "resource_group_location" {
  type        = string
  description = "Location for all resources."
  default     = "eastus"
}

variable "resource_group_name_prefix" {
  type        = string
  description = "Prefix of the resource group name that's combined with a random ID so name is unique in your Azure subscription."
  default     = "rg"
}

variable "vault_name" {
  type        = string
  description = "The name of the key vault to be created. The value will be randomly generated if blank."
  default     = ""
}

variable "key_name" {
  type        = string
  description = "The name of the key to be created. The value will be randomly generated if blank."
  default     = ""
}

variable "sku_name" {
  type        = string
  description = "The SKU of the vault to be created."
  default     = "standard"
  validation {
    condition     = contains(["standard", "premium"], var.sku_name)
    error_message = "The sku_name must be one of the following: standard, premium."
  }
}

variable "key_permissions" {
  type        = list(string)
  description = "List of key permissions."
  default     = ["List", "Create", "Delete", "Get", "Purge", "Recover", "Update", "GetRotationPolicy", "SetRotationPolicy"]
}

variable "secret_permissions" {
  type        = list(string)
  description = "List of secret permissions."
  default     = ["Set"]
}

variable "key_type" {
  description = "The JsonWebKeyType of the key to be created."
  default     = "RSA"
  type        = string
  validation {
    condition     = contains(["EC", "EC-HSM", "RSA", "RSA-HSM"], var.key_type)
    error_message = "The key_type must be one of the following: EC, EC-HSM, RSA, RSA-HSM."
  }
}

variable "key_ops" {
  type        = list(string)
  description = "The permitted JSON web key operations of the key to be created."
  default     = ["decrypt", "encrypt", "sign", "unwrapKey", "verify", "wrapKey"]
}

variable "key_size" {
  type        = number
  description = "The size in bits of the key to be created."
  default     = 2048
}

variable "msi_id" {
  type        = string
  description = "The Managed Service Identity ID. If this value isn't null (the default), 'data.azurerm_client_config.current.object_id' will be set to this value."
  default     = null
}

Создайте файл с именем outputs.tf и вставьте следующий код:

output "resource_group_name" {
  value = azurerm_resource_group.rg.name
}

output "azurerm_key_vault_name" {
  value = azurerm_key_vault.vault.name
}

output "azurerm_key_vault_id" {
  value = azurerm_key_vault.vault.id
}

Инициализация Terraform

Запустите terraform init, чтобы инициализировать развертывание Terraform. Эта команда скачивает поставщик Azure, необходимый для управления ресурсами Azure.

terraform init -upgrade

Основные моменты:

Параметр -upgrade обновляет необходимые подключаемые модули поставщика до последней версии, соответствующей ограничениям версии конфигурации.

Создание плана выполнения Terraform

Чтобы создать план выполнения, выполните terraform plan.

terraform plan -out main.tfplan

Основные моменты:

Команда terraform plan создает план выполнения, но не выполняет его. Вместо этого она определяет, какие действия необходимы для создания конфигурации, заданной в файлах конфигурации. Этот шаблон позволяет проверить, соответствует ли план выполнения вашим ожиданиям, прежде чем вы начнете вносить изменения в фактические ресурсы.
Необязательный параметр -out позволяет указать выходной файл для плана. Использование параметра -out гарантирует, что проверяемый план полностью соответствует применяемому.
Дополнительные сведения о сохранении планов выполнения и обеспечении безопасности см. в разделе о предупреждениях безопасности.

Применение плана выполнения Terraform

Выполните terraform apply, чтобы применить план выполнения к вашей облачной инфраструктуре.

terraform apply main.tfplan

Основные моменты:

В примере terraform apply команды предполагается, что вы ранее выполняли terraform plan -out main.tfplan.
Если для параметра -out указано другое имя файла, используйте то же имя в вызове к terraform apply.
Если вы не использовали параметр -out, вызовите terraform apply без параметров.

Получите имя хранилища ключей Azure.

azurerm_key_vault_name=$(terraform output -raw azurerm_key_vault_name)

Выполните команду az keyvault key list , чтобы отобразить сведения о ключах хранилища ключей.
```
az keyvault key list --vault-name $azurerm_key_vault_name
```

Получите имя хранилища ключей Azure.

$azurerm_key_vault_name=$(terraform output -raw azurerm_key_vault_name)

Выполните командлет Get-AzKeyVault , чтобы отобразить сведения о новом хранилище ключей.
```
Get-AzKeyVaultKey -VaultName $azurerm_key_vault_name
```

Очистка ресурсов

Если вам больше не нужны ресурсы, созданные через Terraform, выполните следующие действия:

Выполните команду terraform plan и укажите флаг destroy.
```
terraform plan -destroy -out main.destroy.tfplan
```
Основные моменты:
- Команда terraform plan создает план выполнения, но не выполняет его. Вместо этого она определяет, какие действия необходимы для создания конфигурации, заданной в файлах конфигурации. Этот шаблон позволяет проверить, соответствует ли план выполнения вашим ожиданиям, прежде чем вы начнете вносить изменения в фактические ресурсы.
- Необязательный параметр -out позволяет указать выходной файл для плана. Использование параметра -out гарантирует, что проверяемый план полностью соответствует применяемому.
- Дополнительные сведения о сохранении планов выполнения и обеспечении безопасности см. в разделе о предупреждениях безопасности.
Выполните команду terraform apply, чтобы применить план выполнения.
```
terraform apply main.destroy.tfplan
```

Устранение неполадок с Terraform в Azure

Устранение распространенных проблем при использовании Terraform в Azure

Дальнейшие действия

Обзор системы безопасности Key Vault

Краткое руководство. Создание хранилища ключей Azure и ключа с помощью Terraform

Предварительные требования

Реализация кода Terraform

Инициализация Terraform

Создание плана выполнения Terraform

Применение плана выполнения Terraform

Проверка результатов

Очистка ресурсов

Устранение неполадок с Terraform в Azure

Дальнейшие действия

Дополнительные ресурсы