快速入门：使用 Azure CLI 创建机密账本

Azure机密账本是一项云服务，它为敏感数据日志和必须保持不变的记录提供高完整性存储。 在本快速入门中，你将使用 Azure CLI 创建机密账本、查看和更新其属性，并将其删除。

有关 Azure 机密账本的详细信息以及机密账本中可存储哪些内容的示例，请参阅关于 Microsoft Azure 机密账本。

如果没有 Azure 帐户，请在开始前创建一个免费帐户。

先决条件

• 在 Azure Cloud Shell 中使用 Bash 环境。 有关详细信息，请参阅 Azure Cloud Shell 入门。

  

• 如需在本地运行 CLI 参考命令，请安装 Azure CLI。 如果在 Windows 或 macOS 上运行，请考虑在 Docker 容器中运行 Azure CLI。 有关详细信息，请参阅如何在 Docker 容器中运行 Azure CLI。

  • 如果使用的是本地安装，请使用 az login 命令登录到 Azure CLI。 若要完成身份验证过程，请遵循终端中显示的步骤。 有关其他登录选项，请参阅 使用 Azure CLI 向 Azure 进行身份验证。

  • 出现提示时，请在首次使用时安装 Azure CLI 扩展。 有关扩展的详细信息，请参阅 使用和管理 Azure CLI 中的扩展。

  • 运行az version命令，以查看已安装的版本和依赖库。 若要升级到最新版本，请运行az upgrade。

• 订阅所有者 - 只有在 Azure 订阅上具有所有者权限的用户才能创建机密账本。 在继续此快速入门之前，请先确认你具有适当的访问权限。

创建资源组

资源组是在其中部署和管理 Azure 资源的逻辑容器。 使用 az group create 命令在 eastus 位置创建一个名为 myResourceGroup 的资源组 。

az group create --name "myResourceGroup" --location "EastUS"

获取主体 ID

若要创建机密账本，需要Microsoft Entra 主体 ID（也称为对象 ID）。 若要获取主体 ID，请使用 Azure CLI az ad signed-in-user 命令，并按 objectId 筛选结果：

az ad signed-in-user show --query objectId

结果采用格式 xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx。

创建机密账本

使用 Azure CLI az confidentialledger create 命令在新资源组中创建机密账本。

az confidentialledger create --name "<ledger-name>" --resource-group "<resource-group>" --location "EastUS" --ledger-type "Public" --aad-based-security-principals ledger-role-name="Administrator" principal-id="<principal-id>"

操作成功会返回新创建的账本的属性。 记下 ledgerUri。 在我们的示例中，此 URI 为“https://myledger.confidential-ledger.azure.com"。

你需要此 URI 来处理来自数据平面的机密账本。

查看并更新你的机密账本属性

可以使用 Azure CLI az confidentialledger show 命令查看与新创建的机密账本关联的属性。

az confidentialledger show --name "<ledger-name>" --resource-group "<resource-group>"

返回的 JSON 对象显示账本的属性，其中包括您的角色：

"ledgerRoleName": "Administrator",

使用 Azure CLI az confidentialledger update 命令更新机密账本的属性。 例如，若要通过控制平面将分配给你的账本角色从管理员更改为读取者，请使用创建账本时所用的相同主体 ID 运行以下命令。 在更改自己的角色之前，请确保账本中仍有另一位管理员。

az confidentialledger update --name "<ledger-name>" --resource-group "<resource-group>" --ledger-type "Public" --aad-based-security-principals "[{principal-id:<principal-id>,ledger-role-name:Reader}]"

如果再次运行 az confidentialledger show ，则会看到账本资源中更新的角色：

"ledgerRoleName": "Reader",

对于其他常规的用户管理更新，请使用数据平面 API。 若要了解通过控制平面和数据平面分配的账本角色有何不同，请参阅 “选择如何管理账本用户”。

清理资源

本系列中的其他快速入门和教程是在本快速入门的基础上制作的。 如果打算继续使用后续的快速入门和教程，则可能需要保留这些资源。

如果不再需要资源组和所有相关的资源，可以使用 Azure CLI az group delete 命令将其删除：

az group delete --name "myResourceGroup"

后续步骤

在本快速入门中，你使用 Azure CLI 创建了机密账本。 若要详细了解 Azure 机密账本以及如何将其与应用程序集成，请继续阅读以下文章。

• Microsoft Azure 机密账本概述