Управление ключами доступа к учетной записи хранения

Чтобы просмотреть и скопировать ключи доступа к учетной записи хранения или строку подключения через портал Azure:

1. Войдите в свою учетную запись хранения на портале Azure.

2. В разделе Безопасность и сетьвыберите Ключи доступа. Появятся ключи доступа к учетной записи и полная строка подключения для каждого ключа.

3. Выберите Показать ключи, чтобы просмотреть ключи доступа и строки подключения, а также включить кнопки для копирования значений.

4. В разделе key1 найдите значение Ключа. Нажмите кнопку Копировать, чтобы скопировать ключ учетной записи.

5. Кроме того, можно скопировать всю строку подключения. В разделе key1 найдите значение Строки подключения. Нажмите кнопку Копировать, чтобы скопировать строку подключения.

   

Чтобы получить ключи доступа к учетной записи с помощью PowerShell, вызовите команду Get-AzStorageAccountKey.

В этом примере извлекается первый ключ. Чтобы получить второй ключ, используйте Value[1] вместо Value[0]. Не забудьте заменить значения заполнителей в скобках собственными значениями.

$storageAccountKey = `
    (Get-AzStorageAccountKey
    -ResourceGroupName <resource-group> `
    -Name <storage-account>).Value[0]

Чтобы получить список ключей доступа к учетной записи с помощью Azure CLI, вызовите команду az storage account keys list, как показано в следующем примере. Не забудьте заменить значения заполнителей в скобках собственными значениями.

az storage account keys list \
  --resource-group <resource-group> \
  --account-name <storage-account>

Для ротации ключей доступа к учетной записи хранения через портал Azure:

1. Обновите строки подключения в коде приложения, чтобы ссылаться на дополнительный ключ доступа учетной записи хранения.
2. Войдите в свою учетную запись хранения на портале Azure.
3. В разделе Безопасность и сетьвыберите Ключи доступа.
4. Чтобы повторно создать первичный ключ доступа для учетной записи хранения, нажмите кнопку Повторно создать рядом с первичным ключом доступа.
5. Обновите строки подключения в коде, чтобы они ссылались на новый основной ключ доступа.
6. Повторите процедуру, чтобы повторно создать вторичный ключ доступа.

Чтобы произвести ротацию ключей учетной записи хранения с помощью PowerShell:

1. Обновите строки подключения в коде приложения, чтобы ссылаться на дополнительный ключ доступа учетной записи хранения.

2. Вызовите команду New-AzStorageAccountKey, чтобы повторно создать первичный ключ доступа, как показано в следующем примере:

   New-AzStorageAccountKey -ResourceGroupName <resource-group> `
     -Name <storage-account> `
     -KeyName key1
   

3. Обновите строки подключения в коде, чтобы они ссылались на новый основной ключ доступа.

4. Повторите процедуру, чтобы повторно создать вторичный ключ доступа. Чтобы повторно создать другой ключ, используйте в качестве имени ключа значение key2, а не key1.

Чтобы произвести ротацию ключей учетной записи хранения с помощью Azure CLI:

1. Обновите строки подключения в коде приложения, чтобы ссылаться на дополнительный ключ доступа учетной записи хранения.

2. Вызовите команду az storage account keys renew, чтобы повторно создать первичный ключ доступа, как показано в следующем примере:

   az storage account keys renew \
     --resource-group <resource-group> \
     --account-name <storage-account> \
     --key primary
   

3. Обновите строки подключения в коде, чтобы они ссылались на новый основной ключ доступа.

4. Повторите процедуру, чтобы повторно создать вторичный ключ доступа. Чтобы повторно создать другой ключ, используйте в качестве имени ключа значение secondary, а не primary.

Чтобы создать политику срока действия ключей на портале Azure, выполните следующие действия:

1. Войдите в свою учетную запись хранения на портале Azure.
2. В разделе Безопасность и сетьвыберите Ключи доступа. Появятся ключи доступа к учетной записи и полная строка подключения для каждого ключа.
3. Нажмите кнопку Установить напоминание о смене ключей. Если кнопка Установить напоминание о смене ключей неактивна, вам придется сменить каждый из ключей. Соответствующие действия описаны в руководстве Выполнение ротации ключей доступа вручную.
4. В разделе Установка напоминания о смене ключей доступа установите флажок Включить напоминания о смене ключей и задайте частоту напоминания.
5. Выберите Сохранить.

Чтобы создать политику срока действия ключей с помощью PowerShell, используйте команду Set-AzStorageAccount и задайте для параметра -KeyExpirationPeriodInDay число дней, по истечении которых необходимо выполнить смену ключа доступа.

Свойство KeyCreationTime указывает, когда были созданы или в последний раз заменены ключи доступа к учетной записи. Для старых учетных записей свойство KeyCreationTime может иметь значение NULL, так как раньше это значение не присваивалось. Если свойство KeyCreationTime имеет значение NULL, вы не сможете создать политику срока действия ключей, пока не смените ключи. Это означает, что перед настройкой политики срока действия ключа следует проверить свойство KeyCreationTime для учетной записи хранения.

Следующий пример проверяет, задано ли свойство KeyCreationTime для каждого ключа. Если свойство KeyCreationTime имеет значение, то для учетной записи хранения создается политика срока действия ключей. Не забудьте заменить значения заполнителей в скобках собственными значениями.

$rgName = "<resource-group>"
$accountName = "<account-name>"

$account = Get-AzStorageAccount -ResourceGroupName $rgName -Name $accountName

# Check whether the KeyCreationTime property has a value for each key 
# before creating the key expiration policy.
if ($account.KeyCreationTime.Key1 -eq $null -or $account.KeyCreationTime.Key2 -eq $null)
{
    Write-Host("You must regenerate both keys at least once before setting expiration policy")
}
else
{
    $account = Set-AzStorageAccount -ResourceGroupName $rgName -Name `
        $accountName  -KeyExpirationPeriodInDay 60
}

Вы также можете задать политику срока действия ключа при создании учетной записи хранения, задав параметр -KeyExpirationPeriodInDay команды New-AzStorageAccount.

Чтобы проверить, применяется ли политика, просмотрите свойство KeyPolicy учетной записи хранения.

$account.KeyPolicy

Чтобы создать политику срока действия ключей с помощью Azure CLI, используйте команду az storage account update и задайте для параметра --key-exp-days число дней, по истечении которых необходимо выполнить смену ключа доступа.

Свойство keyCreationTime указывает, когда были созданы или в последний раз заменены ключи доступа к учетной записи. Для старых учетных записей свойство keyCreationTime может иметь значение NULL, так как раньше это значение не присваивалось. Если свойство keyCreationTime имеет значение NULL, вы не сможете создать политику срока действия ключей, пока не смените ключи. Это означает, что перед настройкой политики срока действия ключа следует проверить свойство keyCreationTime для учетной записи хранения.

Следующий пример проверяет, задано ли свойство keyCreationTime для каждого ключа. Если свойство keyCreationTime имеет значение, то для учетной записи хранения создается политика срока действия ключей. Не забудьте заменить значения заполнителей в скобках собственными значениями.

key1_create_time=$(az storage account show \
    --name <storage-account> \
    --resource-group <resource-group> \
    --query 'keyCreationTime.key1' \
    --output tsv)
key2_create_time=$(az storage account show \
    --name <storage-account> \
    --resource-group <resource-group> \
    --query 'keyCreationTime.key2' \
    --output tsv)

if [ -z "$key1_create_time" ] || [ -z "$key2_create_time" ]; 
then
    echo "You must regenerate both keys at least once before setting expiration policy"
else
    az storage account update \
        --name <storage-account> \
        --resource-group <resource-group> \
        --key-exp-days 60
fi

Вы также можете задать политику срока действия ключа при создании учетной записи хранения, задав параметр --key-exp-days команды az storage account create.

Чтобы проверить, применена ли политика, вызовите команду az storage account show и используйте строку {KeyPolicy:keyPolicy} для параметра -query.

az storage account show \
  -n <storage-account-name> \
  -g <resource-group-name> \
  --query "{KeyPolicy:keyPolicy}"

В выходных данных консоли появится период истечения срока действия ключа.

{
  "KeyPolicy": {
    "enableAutoRotation": false,
    "keyExpirationPeriodInDays": 60
  }
}