Add-AzKeyVaultKey

Add-AzKeyVaultKey
    [-VaultName] <String>
    [-Name] <String>
    -Destination <String>
    [-Disable]
    [-KeyOps <String[]>]
    [-Expires <DateTime>]
    [-NotBefore <DateTime>]
    [-Tag <Hashtable>]
    [-Size <Int32>]
    [-KeyType <String>]
    [-CurveName <String>]
    [-Exportable]
    [-Immutable]
    [-ReleasePolicyPath <String>]
    [-UseDefaultCVMPolicy]
    [-DefaultProfile <IAzureContextContainer>]
    [-WhatIf]
    [-Confirm]
    [<CommonParameters>]

Add-AzKeyVaultKey
    [-VaultName] <String>
    [-Name] <String>
    -KeyFilePath <String>
    [-KeyFilePassword <SecureString>]
    [-Destination <String>]
    [-Disable]
    [-KeyOps <String[]>]
    [-Expires <DateTime>]
    [-NotBefore <DateTime>]
    [-Tag <Hashtable>]
    [-KeyType <String>]
    [-CurveName <String>]
    [-DefaultProfile <IAzureContextContainer>]
    [-WhatIf]
    [-Confirm]
    [<CommonParameters>]

Add-AzKeyVaultKey
    [-Name] <String>
    -HsmName <String>
    -KeyType <String>
    [-Disable]
    [-KeyOps <String[]>]
    [-Expires <DateTime>]
    [-NotBefore <DateTime>]
    [-Tag <Hashtable>]
    [-Size <Int32>]
    [-CurveName <String>]
    [-Exportable]
    [-Immutable]
    [-ReleasePolicyPath <String>]
    [-UseDefaultCVMPolicy]
    [-DefaultProfile <IAzureContextContainer>]
    [-WhatIf]
    [-Confirm]
    [<CommonParameters>]

Add-AzKeyVaultKey
    [-Name] <String>
    -HsmName <String>
    -KeyFilePath <String>
    [-KeyFilePassword <SecureString>]
    [-Disable]
    [-KeyOps <String[]>]
    [-Expires <DateTime>]
    [-NotBefore <DateTime>]
    [-Tag <Hashtable>]
    [-DefaultProfile <IAzureContextContainer>]
    [-WhatIf]
    [-Confirm]
    [<CommonParameters>]

Add-AzKeyVaultKey
    [-InputObject] <PSKeyVault>
    [-Name] <String>
    -Destination <String>
    [-Disable]
    [-KeyOps <String[]>]
    [-Expires <DateTime>]
    [-NotBefore <DateTime>]
    [-Tag <Hashtable>]
    [-Size <Int32>]
    [-KeyType <String>]
    [-CurveName <String>]
    [-Exportable]
    [-Immutable]
    [-ReleasePolicyPath <String>]
    [-UseDefaultCVMPolicy]
    [-DefaultProfile <IAzureContextContainer>]
    [-WhatIf]
    [-Confirm]
    [<CommonParameters>]

Add-AzKeyVaultKey
    [-InputObject] <PSKeyVault>
    [-Name] <String>
    -KeyFilePath <String>
    [-KeyFilePassword <SecureString>]
    [-Destination <String>]
    [-Disable]
    [-KeyOps <String[]>]
    [-Expires <DateTime>]
    [-NotBefore <DateTime>]
    [-Tag <Hashtable>]
    [-KeyType <String>]
    [-CurveName <String>]
    [-DefaultProfile <IAzureContextContainer>]
    [-WhatIf]
    [-Confirm]
    [<CommonParameters>]

Add-AzKeyVaultKey
    [-HsmObject] <PSManagedHsm>
    [-Name] <String>
    -KeyType <String>
    [-Disable]
    [-KeyOps <String[]>]
    [-Expires <DateTime>]
    [-NotBefore <DateTime>]
    [-Tag <Hashtable>]
    [-Size <Int32>]
    [-CurveName <String>]
    [-Exportable]
    [-Immutable]
    [-ReleasePolicyPath <String>]
    [-UseDefaultCVMPolicy]
    [-DefaultProfile <IAzureContextContainer>]
    [-WhatIf]
    [-Confirm]
    [<CommonParameters>]

Add-AzKeyVaultKey
    [-HsmObject] <PSManagedHsm>
    [-Name] <String>
    -KeyFilePath <String>
    [-KeyFilePassword <SecureString>]
    [-Disable]
    [-KeyOps <String[]>]
    [-Expires <DateTime>]
    [-NotBefore <DateTime>]
    [-Tag <Hashtable>]
    [-DefaultProfile <IAzureContextContainer>]
    [-WhatIf]
    [-Confirm]
    [<CommonParameters>]

Add-AzKeyVaultKey
    [-ResourceId] <String>
    [-Name] <String>
    -Destination <String>
    [-Disable]
    [-KeyOps <String[]>]
    [-Expires <DateTime>]
    [-NotBefore <DateTime>]
    [-Tag <Hashtable>]
    [-Size <Int32>]
    [-KeyType <String>]
    [-CurveName <String>]
    [-Exportable]
    [-Immutable]
    [-ReleasePolicyPath <String>]
    [-UseDefaultCVMPolicy]
    [-DefaultProfile <IAzureContextContainer>]
    [-WhatIf]
    [-Confirm]
    [<CommonParameters>]

Add-AzKeyVaultKey
    [-ResourceId] <String>
    [-Name] <String>
    -KeyFilePath <String>
    [-KeyFilePassword <SecureString>]
    [-Destination <String>]
    [-Disable]
    [-KeyOps <String[]>]
    [-Expires <DateTime>]
    [-NotBefore <DateTime>]
    [-Tag <Hashtable>]
    [-KeyType <String>]
    [-CurveName <String>]
    [-DefaultProfile <IAzureContextContainer>]
    [-WhatIf]
    [-Confirm]
    [<CommonParameters>]

Add-AzKeyVaultKey
    [-Name] <String>
    -HsmResourceId <String>
    -KeyType <String>
    [-Disable]
    [-KeyOps <String[]>]
    [-Expires <DateTime>]
    [-NotBefore <DateTime>]
    [-Tag <Hashtable>]
    [-Size <Int32>]
    [-CurveName <String>]
    [-Exportable]
    [-Immutable]
    [-ReleasePolicyPath <String>]
    [-UseDefaultCVMPolicy]
    [-DefaultProfile <IAzureContextContainer>]
    [-WhatIf]
    [-Confirm]
    [<CommonParameters>]

Add-AzKeyVaultKey
    [-Name] <String>
    -HsmResourceId <String>
    -KeyFilePath <String>
    [-KeyFilePassword <SecureString>]
    [-Disable]
    [-KeyOps <String[]>]
    [-Expires <DateTime>]
    [-NotBefore <DateTime>]
    [-Tag <Hashtable>]
    [-DefaultProfile <IAzureContextContainer>]
    [-WhatIf]
    [-Confirm]
    [<CommonParameters>]

Il cmdlet Add-AzKeyVaultKey crea una chiave in un insieme di credenziali delle chiavi in Azure Key Vault o importa una chiave in un insieme di credenziali delle chiavi. Usare questo cmdlet per aggiungere chiavi usando uno dei metodi seguenti:

• Creare una chiave in un modulo di protezione hardware (HSM) nel servizio Key Vault.
• Creare una chiave nel software nel servizio Key Vault.
• Importare una chiave dal proprio modulo di protezione hardware (HSM) ai moduli di protezione hardware nel servizio Key Vault.
• Importare una chiave da un file pfx nel computer.
• Importare una chiave da un file pfx nel computer in moduli di protezione hardware (HSM) nel servizio Key Vault. Per una di queste operazioni, è possibile fornire attributi chiave o accettare le impostazioni predefinite. Se si crea o si importa una chiave con lo stesso nome di una chiave esistente nell'insieme di credenziali delle chiavi, la chiave originale viene aggiornata con i valori specificati per la nuova chiave. È possibile accedere ai valori precedenti usando l'URI specifico della versione per tale versione della chiave. Per informazioni sulle versioni principali e sulla struttura URI, vedere Informazioni su chiavi e segreti nella documentazione dell'API REST di Key Vault. Nota: per importare una chiave dal proprio modulo di sicurezza hardware, è prima necessario generare un pacchetto BYOK (un file con estensione byok) usando il set di strumenti BYOK di Azure Key Vault. Per altre informazioni, vedere Come generare e trasferire chiavi HSM-Protected per Azure Key Vault. Come procedura consigliata, eseguire il backup della chiave dopo la creazione o l'aggiornamento usando il cmdlet Backup-AzKeyVaultKey. Non esiste alcuna funzionalità di annullamento, quindi se si elimina accidentalmente la chiave o la si elimina e quindi si cambia idea, la chiave non è recuperabile a meno che non si disponga di un backup di esso che è possibile ripristinare.

Add-AzKeyVaultKey -VaultName 'contoso' -Name 'ITSoftware' -Destination 'Software'

Vault/HSM Name : contoso
Name           : ITSoftware
Key Type       : RSA
Key Size       : 2048
Curve Name     :
Version        : 67da57e9cadf48a2ad8d366b115843ab
Id             : https://contoso.vault.azure.net:443/keys/ITSoftware/67da57e9cadf48a2ad8d366b115843ab
Enabled        : True
Expires        :
Not Before     :
Created        : 5/21/2018 11:10:58 PM
Updated        : 5/21/2018 11:10:58 PM
Purge Disabled : False
Tags           :

Questo comando crea una chiave protetta da software denominata ITSoftware nell'insieme di credenziali delle chiavi denominato Contoso.

Add-AzKeyVaultKey -VaultName test-kv -Name test-key -Destination Software -KeyType EC

Vault/HSM Name : test-kv
Name           : test-key
Key Type       : EC
Key Size       :
Curve Name     : P-256
Version        : 4da74af2b4fd47d6b1aa0b05c9a2ed13
Id             : https://test-kv.vault.azure.net:443/keys/test-key/4da74af2b4fd47d6b1aa0b05c9a2ed13
Enabled        : True
Expires        :
Not Before     :
Created        : 8/24/2021 6:38:34 AM
Updated        : 8/24/2021 6:38:34 AM
Recovery Level : Recoverable+Purgeable
Tags           :

Questo comando crea una chiave EC protetta da software denominata test-key nell'insieme di credenziali delle chiavi denominato test-kv. Il nome della curva è P-256 per impostazione predefinita.

Add-AzKeyVaultKey -VaultName 'contoso' -Name 'ITHsm' -Destination 'HSM'

Vault Name     : contoso
Name           : ITHsm
Version        : 67da57e9cadf48a2ad8d366b115843ab
Id             : https://contoso.vault.azure.net:443/keys/ITSoftware/67da57e9cadf48a2ad8d366b115843ab
Enabled        : True
Expires        :
Not Before     :
Created        : 5/21/2018 11:10:58 PM
Updated        : 5/21/2018 11:10:58 PM
Purge Disabled : False
Tags           :

Questo comando crea una chiave protetta da HSM nell'insieme di credenziali delle chiavi denominato Contoso.

$KeyOperations = 'decrypt', 'verify'
$Expires = (Get-Date).AddYears(2).ToUniversalTime()
$NotBefore = (Get-Date).ToUniversalTime()
$Tags = @{'Severity' = 'high'; 'Accounting' = "true"}
Add-AzKeyVaultKey -VaultName 'contoso' -Name 'ITHsmNonDefault' -Destination 'HSM' -Expires $Expires -NotBefore $NotBefore -KeyOps $KeyOperations -Disable -Tag $Tags

Vault/HSM Name : contoso
Name           : ITHsmNonDefault
Key Type       : RSA
Key Size       : 2048
Version        : 929bfc14db84439b823ffd1bedadaf5f
Id             : https://contoso.vault.azure.net:443/keys/ITHsmNonDefault/929bfc14db84439b823ffd1bedadaf5f
Enabled        : False
Expires        : 5/21/2020 11:12:43 PM
Not Before     : 5/21/2018 11:12:50 PM
Created        : 5/21/2018 11:13:17 PM
Updated        : 5/21/2018 11:13:17 PM
Purge Disabled : False
Tags           : Name        Value
                 Severity    high
                 Accounting  true

Il primo comando archivia i valori decrittografare e verificare nella variabile $KeyOperations. Il secondo comando crea un oggetto DateTime definito in formato UTC usando il cmdlet Get-Date . L'oggetto specifica un periodo di due anni in futuro. Il comando archivia tale data nella variabile $Expires. Per altre informazioni, digitare Get-Help Get-Date. Il terzo comando crea un oggetto DateTime usando il cmdlet Get-Date . L'oggetto specifica l'ora UTC corrente. Il comando archivia tale data nella variabile $NotBefore. Il comando finale crea una chiave denominata ITHsmNonDefault che è una chiave protetta da HSM. Il comando specifica i valori per le operazioni chiave consentite archiviate $KeyOperations. Il comando specifica i tempi per il Expires e NotBefore parametri creati nei comandi precedenti e tag per gravità elevata e IT. La nuova chiave è disabilitata. È possibile abilitarlo usando il cmdlet Set-AzKeyVaultKey .

Add-AzKeyVaultKey -VaultName 'contoso' -Name 'ITByok' -KeyFilePath 'C:\Contoso\ITByok.byok' -Destination 'HSM'

Vault Name     : contoso
Name           : ITByok
Version        : 67da57e9cadf48a2ad8d366b115843ab
Id             : https://contoso.vault.azure.net:443/keys/ITByok/67da57e9cadf48a2ad8d366b115843ab
Enabled        : True
Expires        :
Not Before     :
Created        : 5/21/2018 11:10:58 PM
Updated        : 5/21/2018 11:10:58 PM
Purge Disabled : False
Tags           :

Questo comando importa la chiave denominata ITByok dal percorso specificato dal parametro KeyFilePath. La chiave importata è una chiave protetta da HSM. Per importare una chiave dal proprio modulo di sicurezza hardware, è prima necessario generare un pacchetto BYOK (un file con estensione byok) usando il set di strumenti BYOK di Azure Key Vault. Per altre informazioni, vedere Come generare e trasferire chiavi HSM-Protected per Azure Key Vault.

$Password = ConvertTo-SecureString -String "****" -AsPlainText -Force
Add-AzKeyVaultKey -VaultName 'contoso' -Name 'ITPfx' -KeyFilePath 'C:\Contoso\ITPfx.pfx' -KeyFilePassword $Password

Vault Name     : contoso
Name           : ITPfx
Version        : 67da57e9cadf48a2ad8d366b115843ab
Id             : https://contoso.vault.azure.net:443/keys/ITPfx/67da57e9cadf48a2ad8d366b115843ab
Enabled        : True
Expires        :
Not Before     :
Created        : 5/21/2018 11:10:58 PM
Updated        : 5/21/2018 11:10:58 PM
Purge Disabled : False
Tags           :

Il primo comando converte una stringa in una stringa sicura usando il cmdlet ConvertTo-SecureString e quindi archivia tale stringa nella variabile $Password. Per altre informazioni, digitare Get-Help ConvertTo-SecureString. Il secondo comando crea una password software nell'insieme di credenziali delle chiavi contoso. Il comando specifica il percorso per la chiave e la password archiviata in $Password.

$Password = ConvertTo-SecureString -String "****" -AsPlainText -Force
$Expires = (Get-Date).AddYears(2).ToUniversalTime()
$Tags = @{ 'Severity' = 'high'; 'Accounting' = "true" }
Add-AzKeyVaultKey -VaultName 'contoso' -Name 'ITPfxToHSM' -Destination 'HSM' -KeyFilePath 'C:\Contoso\ITPfx.pfx' -KeyFilePassword $Password -Expires $Expires -Tag $Tags

Vault Name     : contoso
Name           : ITPfxToHSM
Version        : 929bfc14db84439b823ffd1bedadaf5f
Id             : https://contoso.vault.azure.net:443/keys/ITPfxToHSM/929bfc14db84439b823ffd1bedadaf5f
Enabled        : True
Expires        : 5/21/2020 11:12:43 PM
Not Before     :
Created        : 5/21/2018 11:13:17 PM
Updated        : 5/21/2018 11:13:17 PM
Purge Disabled : False
Tags           : Name        Value
                 Severity    high
                 Accounting  true

Il primo comando converte una stringa in una stringa sicura usando il cmdlet ConvertTo-SecureString e quindi archivia tale stringa nella variabile $Password. Il secondo comando crea un oggetto DateTime usando il cmdlet Get-Date e quindi archivia tale oggetto nella variabile $Expires. Il terzo comando crea la variabile $tags per impostare i tag per la gravità elevata e l'IT. Il comando finale importa una chiave come chiave HSM dal percorso specificato. Il comando specifica l'ora di scadenza archiviata in $Expires e la password archiviata in $Password e applica i tag archiviati in $tags.

$key = Add-AzKeyVaultKey -VaultName $vaultName -Name $keyName -Destination HSM -Size 2048 -KeyOps "import"

Genera una chiave (denominata chiave di scambio delle chiavi(KEK) . La chiave kek deve essere una chiave RSA-HSM che include solo l'operazione di importazione della chiave. Solo lo SKU Premium di Key Vault supporta le chiavi RSA-HSM. Per altri dettagli, vedere https://learn.microsoft.com/azure/key-vault/keys/hsm-protected-keys

<# release_policy_template.json
{
  "anyOf": [
    {
      "allOf": [
        {
          "claim": "<claim name>",
          "equals": "<value to match>"
        }
      ],
      "authority": "<issuer>"
    }
  ],
  "version": "1.0.0"
}
#>
Add-AzKeyVaultKey -HsmName testmhsm -Name test-key -KeyType RSA -Exportable -ReleasePolicyPath release_policy.json

Vault/HSM Name : testmhsm
Name           : test-key
Key Type       : RSA
Key Size       : 2048
Curve Name     :
Version        : ed6b026bf0a605042006635713d33ef6
Id             : https://testmhsm.managedhsm.azure.net:443/keys/test-key/ed6b026bf0a605042006635713d33ef6
Enabled        : True
Expires        :
Not Before     :
Created        : 6/2/2022 7:14:37 AM
Updated        : 6/2/2022 7:14:37 AM
Recovery Level : Recoverable+Purgeable
Release Policy :
                 Content Type   : application/json; charset=utf-8
                 Policy Content : {"anyOf":[{"allOf":[{"claim":"x-ms-sgx-is-debuggable","equals":"true"}],"authority":"htt
                 ps://sharedeus.eus.attest.azure.net/"}],"version":"1.0.0"}
                 Immutable      : False


Tags           :

Creare una chiave sicura in hsm gestito denominato testmhsm. Il nome è test-key e il tipo è RSA.

New-AzKeyVault -Name $keyVaultName -Location $location -ResourceGroupName $resourceGroupName -Sku Premium -EnablePurgeProtection -EnabledForDiskEncryption;
$cvmAgent = Get-AzADServicePrincipal -ApplicationId '00001111-aaaa-2222-bbbb-3333cccc4444';
Set-AzKeyVaultAccessPolicy -VaultName $keyVaultName -ResourceGroupName $resourceGroupName -ObjectId $cvmAgent.id -PermissionsToKeys get,release;

$keySize = 3072;
Add-AzKeyVaultKey -VaultName $keyVaultName -Name $keyName -Size $keySize -KeyOps wrapKey,unwrapKey -KeyType RSA -Destination HSM -Exportable -UseDefaultCVMPolicy;

Vault/HSM Name : <Vault Name>
Name           : <Key Name>
Key Type       : RSA
Key Size       : 3072
Curve Name     :
Version        : <Version>
Id             : <Id>
Enabled        : True
Expires        :
Not Before     :
Created        : 9/9/2022 8:36:00 PM
Updated        : 9/9/2022 8:36:00 PM
Recovery Level : Recoverable
Release Policy :
                 Content Type   : application/json; charset=utf-8
                 Policy Content : <Policy Content>
                 Immutable      : False
Tags           :

Questo cmdlet supporta i parametri comuni: -Debug, -ErrorAction, -ErrorVariable, -InformationAction, -InformationVariable, -OutBuffer, -OutVariable, -PipelineVariable, -ProgressAction, -Verbose, -WarningAction e -WarningVariable. Per altre informazioni, vedi about_CommonParameters.