Управление ключами доступа к учетной записи хранения

Чтобы просмотреть и скопировать ключи доступа к учетной записи хранения или строку подключения на портале Azure:

1. На портале Azure перейдите к учетной записи хранения.

2. В меню ресурсов в разделе "Безопасность и сеть" выберите ключи доступа. Отображаются ключи доступа к учетной записи, а также полные строки подключения для каждого ключа.

3. Выберите Показать ключи, чтобы просмотреть ключи доступа и строки подключения, а также включить кнопки для копирования значений.

4. В разделе key1 найдите значение Key. Нажмите кнопку Копировать, чтобы скопировать ключ учетной записи.

5. В качестве альтернативы, можно скопировать всю строку подключения. В разделе key1 найдите значение Строки подключения. Нажмите кнопку Copy, чтобы скопировать строка подключения.

   

Чтобы получить ключи доступа к учетной записи с помощью PowerShell, вызовите команду Get-AzStorageAccountKey.

В этом примере извлекается первый ключ. Чтобы получить второй ключ, используйте Value[1] вместо Value[0]. Не забудьте заменить значения заполнителей в скобках собственными значениями.

$storageAccountKey = `
    (Get-AzStorageAccountKey
    -ResourceGroupName <resource-group> `
    -Name <storage-account>).Value[0]

Чтобы получить список ключей доступа к учетной записи с Azure CLI, выполните команду az storage account keys list, как показано в следующем примере. Не забудьте заменить значения заполнителей в скобках собственными значениями.

az storage account keys list \
  --resource-group <resource-group> \
  --account-name <storage-account>

Чтобы повернуть ключи доступа к учетной записи хранения на портале Azure:

1. Обновите строки подключения в коде приложения, чтобы ссылаться на дополнительный ключ доступа учетной записи хранения.
2. Перейдите к учетной записи хранения на портале Azure.
3. В разделе Безопасность и сетьвыберите Ключи доступа.
4. Чтобы повторно создать первичный ключ доступа для учетной записи хранения, нажмите кнопку Повторно создать рядом с первичным ключом доступа.
5. Обновите строки подключения в коде, чтобы они ссылались на новый основной ключ доступа.
6. Повторите процедуру, чтобы повторно создать вторичный ключ доступа.

Чтобы выполнить ротацию ключей доступа к учетной записи хранения с помощью PowerShell:

1. Обновите строки подключения в коде вашего приложения, чтобы использовать вторичный ключ доступа для аккаунта хранения.

2. Вызовите команду New-AzStorageAccountKey, чтобы повторно создать первичный ключ доступа, как показано в следующем примере:

   New-AzStorageAccountKey -ResourceGroupName <resource-group> `
     -Name <storage-account> `
     -KeyName key1
   

3. Обновите строки подключения в коде, чтобы они ссылались на новый основной ключ доступа.

4. Повторите процедуру, чтобы повторно создать вторичный ключ доступа. Чтобы повторно создать другой ключ, используйте в качестве имени ключа значение key2, а не key1.

Чтобы повернуть ключи доступа к учетной записи хранения с помощью Azure CLI:

1. Обновите строки подключения в коде вашего приложения, чтобы ссылаться на вторичный ключ доступа для аккаунта хранения.

2. Вызовите команду az storage account keys renew, чтобы повторно создать первичный ключ доступа, как показано в следующем примере:

   az storage account keys renew \
     --resource-group <resource-group> \
     --account-name <storage-account> \
     --key primary
   

3. Обновите строки подключения в коде, чтобы они ссылались на новый основной ключ доступа.

4. Повторите процедуру, чтобы повторно создать вторичный ключ доступа. Чтобы повторно создать другой ключ, используйте в качестве имени ключа значение secondary, а не primary.

Чтобы создать политику истечения срока действия ключа на портале Azure, выполните следующие действия.

1. На портале Azure перейдите к учетной записи хранения.
2. В разделе Безопасность и сетьвыберите Ключи доступа. Отображаются ключи доступа к учетной записи, а также полные строки подключения для каждого ключа.
3. Нажмите кнопку Установить напоминание о смене. Если кнопка Установить напоминание о смене ключей неактивна, вам придется сменить каждый из ключей. Следуйте шагам, описанным в Выполнение ротации ключей доступа вручную, чтобы выполнить ротацию ключей.
4. В разделе Установка напоминания о смене ключей доступа установите флажок Включить напоминания о смене ключей и задайте частоту напоминания.
5. Выберите Сохранить.

Чтобы создать политику срока действия ключей с помощью PowerShell, используйте команду Set-AzStorageAccount и задайте для параметра -KeyExpirationPeriodInDay число дней, по истечении которых необходимо выполнить смену ключа доступа.

Свойство KeyCreationTime указывает, когда были созданы или в последний раз заменены ключи доступа к учетной записи. Для старых учетных записей свойство KeyCreationTime может иметь значение NULL, так как раньше это значение не присваивалось. Если свойство KeyCreationTime имеет значение NULL, вы не сможете создать политику срока действия ключей, пока не смените ключи. Это означает, что перед настройкой политики срока действия ключа следует проверить свойство KeyCreationTime для учетной записи хранения.

Следующий пример проверяет, задано ли свойство KeyCreationTime для каждого ключа. Если свойство KeyCreationTime имеет значение, то для учетной записи хранения создается политика срока действия ключей. Не забудьте заменить значения заполнителей в скобках собственными значениями.

$rgName = "<resource-group>"
$accountName = "<account-name>"

$account = Get-AzStorageAccount -ResourceGroupName $rgName -Name $accountName

# Check whether the KeyCreationTime property has a value for each key 
# before creating the key expiration policy.
if ($account.KeyCreationTime.Key1 -eq $null -or $account.KeyCreationTime.Key2 -eq $null)
{
    Write-Host("You must regenerate both keys at least once before setting expiration policy")
}
else
{
    $account = Set-AzStorageAccount -ResourceGroupName $rgName -Name `
        $accountName  -KeyExpirationPeriodInDay 60
}

Вы также можете задать политику срока действия ключа при создании учетной записи хранения, задав параметр -KeyExpirationPeriodInDay команды New-AzStorageAccount.

Чтобы проверить, применяется ли политика, просмотрите свойство KeyPolicy учетной записи хранения.

$account.KeyPolicy

Чтобы создать политику истечения срока действия ключа с Azure CLI, используйте команду az storage account update и задайте для параметра --key-exp-days интервал в днях до смены ключа доступа.

Свойство keyCreationTime указывает, когда были созданы или в последний раз заменены ключи доступа к учетной записи. Для старых учетных записей свойство keyCreationTime может иметь значение NULL, так как раньше это значение не присваивалось. Если свойство keyCreationTime имеет значение NULL, вы не сможете создать политику срока действия ключей, пока не смените ключи. Это означает, что перед настройкой политики срока действия ключа следует проверить свойство keyCreationTime для учетной записи хранения.

Следующий пример проверяет, задано ли свойство keyCreationTime для каждого ключа. Если свойство keyCreationTime имеет значение, то для учетной записи хранения создается политика срока действия ключей. Не забудьте заменить значения заполнителей в скобках собственными значениями.

key1_create_time=$(az storage account show \
    --name <storage-account> \
    --resource-group <resource-group> \
    --query 'keyCreationTime.key1' \
    --output tsv)
key2_create_time=$(az storage account show \
    --name <storage-account> \
    --resource-group <resource-group> \
    --query 'keyCreationTime.key2' \
    --output tsv)

if [ -z "$key1_create_time" ] || [ -z "$key2_create_time" ]; 
then
    echo "You must regenerate both keys at least once before setting expiration policy"
else
    az storage account update \
        --name <storage-account> \
        --resource-group <resource-group> \
        --key-exp-days 60
fi

Вы также можете задать политику срока действия ключа при создании учетной записи хранения, задав параметр --key-exp-days команды az storage account create.

Чтобы проверить, применена ли политика, вызовите команду az storage account show и используйте строку {KeyPolicy:keyPolicy} для параметра -query.

az storage account show \
  -n <storage-account-name> \
  -g <resource-group-name> \
  --query "{KeyPolicy:keyPolicy}"

В выводе консоли отображается период истечения срока действия ключа.

{
  "KeyPolicy": {
    "enableAutoRotation": false,
    "keyExpirationPeriodInDays": 60
  }
}