Hızlı Başlangıç: Azure PowerShell kullanarak Azure Key Vault'tan sertifika ayarlama ve alma

Bu hızlı başlangıçta Azure PowerShell ile Azure Key Vault'ta bir anahtar kasası oluşturacaksınız. Azure Key Vault, güvenli bir gizli dizi deposu olarak çalışan bir bulut hizmetidir. Anahtarları, parolaları, sertifikaları ve diğer gizli dizileri güvenli bir şekilde depolayabilirsiniz. Key Vault hakkında daha fazla bilgi için Genel Bakış bölümünü inceleyin. Azure PowerShell, komutları veya betikleri kullanarak Azure kaynakları oluşturmak ve yönetmek için kullanılır. Daha sonra bir sertifika depolarsınız.

Önkoşullar

Azure aboneliğiniz yoksa başlamadan önce ücretsiz bir hesap oluşturun.

Kaynak grubu oluşturma

Kaynak grubu, Azure kaynaklarının dağıtıldığı ve yönetildiği bir mantıksal kapsayıcıdır. Eastus konumunda myResourceGroup adlı bir kaynak grubu oluşturmak için Azure PowerShell New-AzResourceGroup cmdlet'ini kullanın.

New-AzResourceGroup -Name "myResourceGroup" -Location "EastUS"

Anahtar kasası oluşturma

Önceki adımda kaynak grubunda bir Key Vault oluşturmak için Azure PowerShell New-AzKeyVault cmdlet'ini kullanın. Bazı bilgiler sağlamanız gerekir:

  • Anahtar kasası adı: Sadece rakamlar (0-9), harfler (a-z, A-Z) ve kısa çizgiler (-) içerebilen 3 ile 24 karakter arasında bir dize

    Önemli

    Her anahtar kasasının benzersiz bir adı olmalıdır. Aşağıdaki örneklerde <vault-name>'yi anahtar kasanızın adıyla değiştirin.

  • Kaynak grubu adı: myResourceGroup

  • Konum: EastUS

New-AzKeyVault -Name "<vault-name>" -ResourceGroupName "myResourceGroup" -Location "EastUS" -EnableRbacAuthorization $true -EnablePurgeProtection

Uyarı

Temizleme koruması, Key Vault en iyi güvenlik uygulamasıdır.

Bu cmdlet'in sağladığı çıktı, yeni oluşturulan anahtar deposunun özelliklerini gösterir. Şu iki özelliği not alın:

  • Kasa Adı: -Name parametresine sağladığınız ad.
  • Kasa URI'si: Bu örnekte kasa URI'si şeklindedir https://<vault-name>.vault.azure.net/. REST API'si aracılığıyla kasanızı kullanan uygulamaların bu URI'yi kullanması gerekir.

Bu noktada Azure hesabınız, bu yeni anahtar kasasında herhangi bir işlemi gerçekleştirmeye yetkili olan tek hesaptır.

Key Vault'ta sertifikaları yönetmek için kullanıcı hesabınıza izin verme

Rol Tabanlı Erişim Denetimi (RBAC) aracılığıyla anahtar kasanıza izinler almak için Azure PowerShell cmdlet'i New-AzRoleAssignment'ı kullanarak "Kullanıcı Asıl Adı" (UPN) öğesine bir rol atayın.

New-AzRoleAssignment -SignInName "<upn>" -RoleDefinitionName "Key Vault Certificates Officer" -Scope "/subscriptions/<subscription-id>/resourceGroups/myResourceGroup/providers/Microsoft.KeyVault/vaults/<vault-name>"

, <upn>ve <subscription-id> değerlerini gerçek değerlerinizle değiştirin<vault-name>. Eğer farklı bir kaynak grubu adı kullandıysanız, "myResourceGroup" yerine bunu koyun. UPN'niz genellikle bir e-posta adresi biçiminde olur (ör. username@domain.com).

Key Vault'a sertifika ekleme

Artık kasaya bir sertifika ekleyebilirsiniz. Bu sertifika bir uygulama tarafından kullanılabilir.

ExampleCertificate adlı ilkeyle otomatik olarak imzalanan bir sertifika oluşturmak için bu komutları kullanın:

Uyarı

Bu hızlı başlangıçta tanıtım amacıyla otomatik olarak imzalanan bir sertifika oluşturulur. Üretim iş yükleri için Key Vault güvenilir bir sertifika yetkilisiyle tümleştirin. Bkz. >Azure Key Vault sertifikalarınızı güvenli bir şekilde belirleme.

$Policy = New-AzKeyVaultCertificatePolicy -SecretContentType "application/x-pkcs12" -SubjectName "CN=<domain-name>" -IssuerName "Self" -ValidityInMonths 6 -ReuseKeyOnRenewal

Add-AzKeyVaultCertificate -VaultName "<vault-name>" -Name "ExampleCertificate" -CertificatePolicy $Policy

Artık URI'sini kullanarak Azure Key Vault'a eklediğiniz bu sertifikaya başvurabilirsiniz. Geçerli sürümü almak için https://<vault-name>.vault.azure.net/certificates/ExampleCertificate komutunu kullanın.

Önceden depolanmış sertifikayı görüntülemek için:

Get-AzKeyVaultCertificate -VaultName "<vault-name>" -Name "ExampleCertificate"

Sorun Giderme:

İşlem geçersiz bir 'Yasak' durum kodu döndürdü

Bu hatayı alırsanız, Azure Key Vault'a erişen hesabın sertifika oluşturmak için uygun izinleri yoktur.

Uygun RBAC rolünü atamak için aşağıdaki Azure PowerShell komutunu çalıştırın:

New-AzRoleAssignment -SignInName <user-principal-name> -RoleDefinitionName "Key Vault Certificates Officer" -Scope "/subscriptions/<subscription-id>/resourceGroups/<resource-group>/providers/Microsoft.KeyVault/vaults/<vault-name>"

Kaynakları temizleme

Bu koleksiyondaki diğer hızlı başlangıçlar ve öğreticiler bu hızlı başlangıcı temel alır. Diğer hızlı başlangıç ve öğreticilerle çalışmaya devam etmeyi planlıyorsanız, bu kaynakları yerinde bırakmak isteyebilirsiniz.

Artık gerekli olmadığında, kaynak grubunu ve tüm ilgili kaynakları kaldırmak için Azure PowerShell Remove-AzResourceGroup cmdlet'ini kullanabilirsiniz.

Remove-AzResourceGroup -Name "myResourceGroup"

Uyarı

Kaynak grubu silindiğinde anahtar kasası da silinir, ancak kasa geçici olarak silinmiş bir duruma girer ve saklama süresi (varsayılan olarak 90 gün) için kurtarılabilir durumda kalır. Bu süre boyunca kasa adı küresel olarak rezerve edilir ve temizleme koruması etkin olduğundan kasa süresi dolmadan temizlenemez. Standart anahtar kasalarında geçici olarak silinen kasalar için ücret uygulanmaz. Daha fazla bilgi için, Key Vault geçici silme özelliğine genel bakış bölümüne bakın.

Sonraki adımlar

Bu hızlı başlangıçta bir Key Vault oluşturdunuz ve içinde bir sertifika depoladunuz. Key Vault ve uygulamalarınızla tümleştirme hakkında daha fazla bilgi edinmek için aşağıdaki makalelere geçin.

  • Last updated on