Zarządzanie kluczami dostępu do konta magazynu

Aby wyświetlić i skopiować klucze dostępu lub łańcuch połączenia do konta pamięci z portalu Azure:

1. W portalu Azure przejdź do swojego konta magazynowego.

2. W menu zasobów w obszarze Zabezpieczenia i sieć wybierz pozycję Klucze dostępu. Klucze dostępu do konta są wyświetlane, a także kompletne łańcuchy połączeń dla każdego klucza.

3. Wybierz pozycję Pokaż klucze, aby wyświetlić klucze dostępu i parametry połączenia oraz włączyć przyciski kopiowania wartości.

4. Pod key1, znajdź wartość klucz. Wybierz przycisk Kopiuj, aby skopiować klucz konta.

5. Alternatywnie, możesz skopiować cały ciąg połączenia. W obszarze key1 znajdź wartość ciągu połączenia. Wybierz przycisk Copy aby skopiować parametry połączenia.

   

Aby pobrać klucze dostępu do konta za pomocą programu PowerShell, wywołaj polecenie Get-AzStorageAccountKey .

Poniższy przykład pobiera pierwszy klucz. Aby pobrać drugi klucz, użyj polecenia Value[1] zamiast Value[0]. Pamiętaj, aby zastąpić wartości symboli zastępczych w nawiasach własnymi wartościami.

$storageAccountKey = `
    (Get-AzStorageAccountKey
    -ResourceGroupName <resource-group> `
    -Name <storage-account>).Value[0]

Aby wyświetlić listę kluczy dostępu do konta za pomocą Azure CLI, wywołaj az storage account keys list polecenia, jak pokazano w poniższym przykładzie. Pamiętaj, aby zastąpić wartości symboli zastępczych w nawiasach własnymi wartościami.

az storage account keys list \
  --resource-group <resource-group> \
  --account-name <storage-account>

Aby obrócić klucze dostępu do konta magazynu w portalu Azure:

1. Zaktualizuj parametry połączenia w kodzie aplikacji, aby odwoływać się do klucza dostępu pomocniczego dla konta magazynowego.
2. Przejdź do konta magazynowego w portalu Azure.
3. W obszarze Zabezpieczenia i sieć wybierz pozycję Klucze dostępu.
4. Aby wygenerować ponownie podstawowy klucz dostępu dla konta magazynu, wybierz przycisk Ponownie wygeneruj obok podstawowego klucza dostępu.
5. Zaktualizuj parametry połączenia w kodzie za pomocą odwołania do nowego podstawowego klucza dostępu.
6. W ten sam sposób wygeneruj ponownie pomocniczy klucz dostępu.

Aby obrócić klucze dostępu do konta magazynu za pomocą programu PowerShell:

1. Zaktualizuj parametry połączenia w kodzie aplikacji, aby odwoływać się do klucza pomocniczego dla konta magazynowego.

2. Wywołaj polecenie New-AzStorageAccountKey , aby wygenerować ponownie podstawowy klucz dostępu, jak pokazano w poniższym przykładzie:

   New-AzStorageAccountKey -ResourceGroupName <resource-group> `
     -Name <storage-account> `
     -KeyName key1
   

3. Zaktualizuj parametry połączenia w kodzie za pomocą odwołania do nowego podstawowego klucza dostępu.

4. W ten sam sposób wygeneruj ponownie pomocniczy klucz dostępu. Aby ponownie wygenerować klucz pomocniczy, użyj key2 jako nazwy klucza zamiast key1.

Aby rotować klucze dostępu do konta magazynu przy użyciu Azure CLI:

1. Zaktualizuj parametry połączenia w kodzie aplikacji, aby odwoływać się do klucza pomocniczego dla konta magazynowego.

2. Wywołaj polecenie az storage account keys renew, aby ponownie wygenerować podstawowy klucz dostępu, jak pokazano w poniższym przykładzie:

   az storage account keys renew \
     --resource-group <resource-group> \
     --account-name <storage-account> \
     --key primary
   

3. Zaktualizuj parametry połączenia w kodzie za pomocą odwołania do nowego podstawowego klucza dostępu.

4. W ten sam sposób wygeneruj ponownie pomocniczy klucz dostępu. Aby ponownie wygenerować klucz pomocniczy, użyj secondary jako nazwy klucza zamiast primary.

Aby utworzyć zasady wygasania kluczy w portalu Azure:

1. W portalu Azure przejdź do swojego konta magazynowego.
2. W obszarze Zabezpieczenia i sieć wybierz pozycję Klucze dostępu. Klucze dostępu do konta są wyświetlane, a także kompletne łańcuchy połączeń dla każdego klucza.
3. Wybierz przycisk Ustaw przypomnienie o rotacji. Jeśli przycisk Ustaw przypomnienie o rotacji jest wyszarzony, należy odnowić każdy z kluczy. Wykonaj kroki opisane w temacie Ręczne obracanie kluczy dostępu, aby obrócić klucze.
4. W Ustaw przypomnienie o rotacji kluczy dostępu zaznacz pole Włącz przypomnienia o rotacji kluczy dostępu i ustaw częstotliwość przypomnienia.
5. Wybierz pozycję Zapisz.

Aby utworzyć zasady wygasania kluczy za pomocą programu PowerShell, użyj polecenia Set-AzStorageAccount i ustaw -KeyExpirationPeriodInDay parametr na interwał w dniach do momentu rotacji klucza dostępu.

Właściwość KeyCreationTime wskazuje, kiedy klucze dostępu do konta zostały utworzone lub ostatnio obracane. Starsze konta mogą mieć wartość null dla KeyCreationTime właściwości, ponieważ jeszcze jej nie ustawiono. KeyCreationTime Jeśli właściwość ma wartość null, nie można utworzyć zasad wygasania kluczy do momentu rotacji kluczy. Z tego powodu warto sprawdzić KeyCreationTime właściwość konta magazynu przed podjęciem próby ustawienia zasad wygasania kluczy.

Poniższy przykład sprawdza, czy KeyCreationTime właściwość została ustawiona dla każdego klucza. KeyCreationTime Jeśli właściwość ma wartość, zostanie utworzona zasada wygasania klucza dla konta magazynu. Pamiętaj, aby zastąpić wartości symboli zastępczych w nawiasach własnymi wartościami.

$rgName = "<resource-group>"
$accountName = "<account-name>"

$account = Get-AzStorageAccount -ResourceGroupName $rgName -Name $accountName

# Check whether the KeyCreationTime property has a value for each key 
# before creating the key expiration policy.
if ($account.KeyCreationTime.Key1 -eq $null -or $account.KeyCreationTime.Key2 -eq $null)
{
    Write-Host("You must regenerate both keys at least once before setting expiration policy")
}
else
{
    $account = Set-AzStorageAccount -ResourceGroupName $rgName -Name `
        $accountName  -KeyExpirationPeriodInDay 60
}

Zasady wygasania kluczy można również ustawić, ustawiając parametr -KeyExpirationPeriodInDay polecenia New-AzStorageAccount podczas tworzenia konta magazynowego.

Aby sprawdzić, czy zasady zostały zastosowane, sprawdź atrybut konta magazynowania KeyPolicy.

$account.KeyPolicy

Aby utworzyć zasady wygasania kluczy za pomocą Azure CLI, użyj polecenia az storage account update i ustaw parametr --key-exp-days na okres w dniach, po którym klucz dostępu powinien zostać zrotowany.

Właściwość keyCreationTime wskazuje, kiedy klucze dostępu do konta zostały utworzone lub ostatnio obracane. Starsze konta mogą mieć wartość null dla właściwości keyCreationTime, ponieważ jeszcze nie została ustawiona. keyCreationTime Jeśli właściwość ma wartość null, nie można utworzyć zasad wygasania kluczy do momentu rotacji kluczy. Z tego powodu warto sprawdzić keyCreationTime właściwość konta magazynu przed podjęciem próby ustawienia zasad wygasania kluczy.

Poniższy przykład sprawdza, czy keyCreationTime właściwość została ustawiona dla każdego klucza. keyCreationTime Jeśli właściwość ma wartość, zostanie utworzona zasada wygasania klucza dla konta magazynu. Pamiętaj, aby zastąpić wartości symboli zastępczych w nawiasach własnymi wartościami.

key1_create_time=$(az storage account show \
    --name <storage-account> \
    --resource-group <resource-group> \
    --query 'keyCreationTime.key1' \
    --output tsv)
key2_create_time=$(az storage account show \
    --name <storage-account> \
    --resource-group <resource-group> \
    --query 'keyCreationTime.key2' \
    --output tsv)

if [ -z "$key1_create_time" ] || [ -z "$key2_create_time" ]; 
then
    echo "You must regenerate both keys at least once before setting expiration policy"
else
    az storage account update \
        --name <storage-account> \
        --resource-group <resource-group> \
        --key-exp-days 60
fi

Możesz również ustawić zasady wygasania kluczy podczas tworzenia konta magazynowego, ustawiając parametr --key-exp-days polecenia az storage account create.

Aby sprawdzić, czy polityka została zastosowana, wywołaj polecenie az storage account show i użyj ciągu {KeyPolicy:keyPolicy} dla parametru -query.

az storage account show \
  -n <storage-account-name> \
  -g <resource-group-name> \
  --query "{KeyPolicy:keyPolicy}"

Okres wygaśnięcia klucza jest wyświetlany w danych wyjściowych konsoli.

{
  "KeyPolicy": {
    "enableAutoRotation": false,
    "keyExpirationPeriodInDays": 60
  }
}