Sdílet prostřednictvím

Rychlý start: Nastavení a načtení certifikátu ze služby Azure Key Vault pomocí Azure PowerShellu

  • Článek

V tomto rychlém startu vytvoříte trezor klíčů ve službě Azure Key Vault pomocí Azure PowerShellu. Azure Key Vault je cloudová služba, která funguje jako zabezpečené úložiště tajných kódů. Můžete bezpečně ukládat klíče, hesla, certifikáty a další tajné klíče. Další informace o službě Key Vault najdete v tématu Přehled. Azure PowerShell slouží k vytváření a správě prostředků Azure pomocí příkazů nebo skriptů. Potom uložíte certifikát.

Pokud ještě nemáte předplatné Azure, vytvořte si napřed bezplatný účet.

Azure Cloud Shell

Azure hostí interaktivní prostředí Azure Cloud Shell, které můžete používat v prohlížeči. Pro práci se službami Azure můžete v prostředí Cloud Shell použít buď Bash, nebo PowerShell. Předinstalované příkazy Cloud Shellu můžete použít ke spuštění kódu v tomto článku, aniž byste museli instalovat cokoli do místního prostředí.

Spuštění služby Azure Cloud Shell:

Možnost Příklad nebo odkaz
Vyberte Vyzkoušet v pravém horním rohu bloku kódu nebo příkazu. Výběrem možnosti Vyzkoušet se kód ani příkaz automaticky nekopíruje do Cloud Shellu. Snímek obrazovky znázorňující příklad možnosti Vyzkoušet pro Azure Cloud Shell
Přejděte na adresu https://shell.azure.com nebo výběrem tlačítka Spustit Cloud Shell otevřete Cloud Shell v prohlížeči. Tlačítko pro spuštění Azure Cloud Shellu
Zvolte tlačítko Cloud Shell v pruhu nabídky v pravém horním rohu webu Azure Portal. Snímek obrazovky znázorňující tlačítko Cloud Shell na webu Azure Portal

Použití Azure Cloud Shellu:

  1. Spusťte Cloud Shell.

  2. Výběrem tlačítka Kopírovat v bloku kódu (nebo bloku příkazů) zkopírujte kód nebo příkaz.

  3. Vložte kód nebo příkaz do relace Cloud Shellu tak, že ve Windows a Linuxu vyberete ctrl+Shift+V nebo vyberete Cmd+Shift+V v macOS.

  4. Stisknutím klávesy Enter spusťte kód nebo příkaz.

Pokud se rozhodnete nainstalovat a používat PowerShell místně, tento kurz vyžaduje modul Azure PowerShell verze 1.0.0 nebo novější. Zadáním $PSVersionTable.PSVersion vyhledejte verzi. Pokud potřebujete upgrade, přečtěte si téma Instalace modulu Azure PowerShell. Pokud používáte PowerShell místně, je také potřeba spustit příkaz Connect-AzAccount pro vytvoření připojení k Azure.

Connect-AzAccount

Vytvoření skupiny zdrojů

Skupina prostředků je logický kontejner, ve kterém se nasazují a spravují prostředky Azure. Pomocí rutiny Azure PowerShell New-AzResourceGroup vytvořte skupinu prostředků myResourceGroup v umístění eastus.

New-AzResourceGroup -Name "myResourceGroup" -Location "EastUS"

Vytvořte trezor klíčů.

Pomocí rutiny Azure PowerShell New-AzKeyVault vytvořte trezor klíčů ve skupině prostředků z předchozího kroku. Budete muset zadat několik informací:

  • Název trezoru klíčů: Řetězec 3 až 24 znaků, který může obsahovat pouze čísla (0–9), písmena (a-z, A-Z) a pomlčky (-)

    Důležité

    Každý trezor klíčů musí mít jedinečný název. Nahraďte <název-unique-keyvault-name> názvem vašeho trezoru klíčů v následujících příkladech.

  • Název skupiny prostředků: myResourceGroup.

  • Umístění: EastUS.

New-AzKeyVault -Name "<your-unique-keyvault-name>" -ResourceGroupName "myResourceGroup" -Location "EastUS"

Výstup této rutiny zobrazuje vlastnosti nově vytvořeného trezoru klíčů. Poznamenejte si hodnoty dvou vlastností uvedených níže:

  • Název trezoru: Název, který jste zadali do parametru -Name výše.
  • Identifikátor URI trezoru: V tomto příkladu je to https://< uruš-unique-keyvault-name.vault.azure.net/>. Aplikace, které používají váš trezor prostřednictvím REST API musí používat tento identifikátor URI.

V tuto chvíli je váš účet Azure jediným účtem s oprávněním provádět jakékoli operace s tímto novým trezorem.

Udělení přístupu k trezoru klíčů

Pokud chcete udělit oprávnění aplikace k trezoru klíčů prostřednictvím řízení přístupu na základě role (RBAC), přiřaďte roli pomocí rutiny Azure PowerShellu New-AzRoleAssignment.

New-AzRoleAssignment -RoleDefinitionName "Key Vault Secrets User" -SignInName "<your-email-address>" -Scope "/subscriptions/<subscription-id>/resourceGroups/<resource-group-name>/providers/Microsoft.KeyVault/vaults/<your-unique-keyvault-name>"

Nahraďte <svoji-e-mailovou adresu>, <ID> předplatného, <název> skupiny prostředků a <název_jedinečné-keyvault-name> skutečnými hodnotami. <vaše-e-mailová adresa> je vaše přihlašovací jméno. Místo toho můžete použít -ObjectId parametr a ID objektu Microsoft Entra.

Přidání certifikátu do služby Key Vault

Teď můžete do trezoru přidat certifikát. Tento certifikát může používat aplikace.

Pomocí těchto příkazů vytvořte certifikát podepsaný svým držitelem pomocí zásad s názvem ExampleCertificate :

$Policy = New-AzKeyVaultCertificatePolicy -SecretContentType "application/x-pkcs12" -SubjectName "CN=contoso.com" -IssuerName "Self" -ValidityInMonths 6 -ReuseKeyOnRenewal

Add-AzKeyVaultCertificate -VaultName "<your-unique-keyvault-name>" -Name "ExampleCertificate" -CertificatePolicy $Policy

Teď můžete odkazovat na tento certifikát, který jste přidali do služby Azure Key Vault, pomocí jeho identifikátoru URI. Aktuální verzi získáte pomocí https://<your-unique-keyvault-name>.vault.azure.net/certificates/ExampleCertificate.

Zobrazení dříve uloženého certifikátu:

Get-AzKeyVaultCertificate -VaultName "<your-unique-keyvault-name>" -Name "ExampleCertificate"

Řešení potíží:

Operace vrátila neplatný stavový kód Zakázáno.

Pokud se zobrazí tato chyba, účet, který přistupuje ke službě Azure Key Vault, nemá správná oprávnění k vytváření certifikátů.

Spuštěním následujícího příkazu Azure PowerShellu přiřaďte správná oprávnění:

Set-AzKeyVaultAccessPolicy -VaultName <KeyVaultName> -ObjectId <AzureObjectID> -PermissionsToCertificates get,list,update,create

Vyčištění prostředků

Další rychlé starty a kurzy v této kolekci vycházejí z tohoto rychlého startu. Pokud chcete pokračovat v práci s dalšími rychlými starty a kurzy, možná budete chtít tyto prostředky zachovat.

Pokud už ji nepotřebujete, můžete k odebrání skupiny prostředků a všech souvisejících prostředků použít rutinu Remove-AzResourceGroup Azure PowerShellu.

Remove-AzResourceGroup -Name "myResourceGroup"

Další kroky

V tomto rychlém startu jste vytvořili službu Key Vault a uložili jste do ní certifikát. Další informace o službě Key Vault a její integraci s vašimi aplikacemi najdete v následujících článcích.