Správa přístupových klíčů účtu úložiště

Zobrazení a zkopírování přístupových klíčů k účtu úložiště nebo připojovací řetězec z webu Azure Portal:

1. Na webu Azure Portal přejděte do svého účtu úložiště.

2. V části Zabezpečení a sítě vyberte Přístupové klíče. Zobrazí se přístupové klíče vašeho účtu a také úplný připojovací řetězec pro jednotlivé klíče.

3. Výběrem možnosti Zobrazit klíče zobrazíte přístupové klíče a připojovací řetězec a povolíte tlačítka pro kopírování hodnot.

4. V části klíč1 najděte hodnotu Klíče . Výběrem tlačítka Kopírovat zkopírujte klíč účtu.

5. Případně můžete zkopírovat celý připojovací řetězec. V části key1 vyhledejte hodnotu připojovacího řetězce . Výběrem tlačítka Kopírovat zkopírujte připojovací řetězec.

   

Pokud chcete načíst přístupové klíče účtu pomocí PowerShellu , zavolejte příkaz Get-AzStorageAccountKey .

Následující příklad načte první klíč. Chcete-li načíst druhý klíč, použijte Value[1] místo Value[0]. Nezapomeňte nahradit zástupné hodnoty v hranatých závorkách vlastními hodnotami.

$storageAccountKey = `
    (Get-AzStorageAccountKey
    -ResourceGroupName <resource-group> `
    -Name <storage-account>).Value[0]

Pokud chcete vypsat přístupové klíče účtu pomocí Azure CLI, zavolejte příkaz az storage account keys list list , jak je znázorněno v následujícím příkladu. Nezapomeňte nahradit zástupné hodnoty v hranatých závorkách vlastními hodnotami.

az storage account keys list \
  --resource-group <resource-group> \
  --account-name <storage-account>

Obměna přístupových klíčů účtu úložiště na webu Azure Portal:

1. Aktualizujte připojovací řetězec v kódu aplikace tak, aby odkazovat na sekundární přístupový klíč pro účet úložiště.
2. Na webu Azure Portal přejděte ke svému účtu úložiště.
3. V části Zabezpečení a sítě vyberte Přístupové klíče.
4. Pokud chcete znovu vygenerovat primární přístupový klíč pro účet úložiště, vyberte tlačítko Znovu vygenerovat vedle primárního přístupového klíče.
5. Aktualizujte připojovací řetězce v kódu tak, aby odkazovaly na nový primární přístupový klíč.
6. Stejným způsobem pak znovu vygenerujte sekundární přístupový klíč.

Obměna přístupových klíčů účtu úložiště pomocí PowerShellu:

1. Aktualizujte připojovací řetězec v kódu aplikace tak, aby odkazovat na sekundární přístupový klíč pro účet úložiště.

2. Voláním příkazu New-AzStorageAccountKey vygenerujte primární přístupový klíč, jak je znázorněno v následujícím příkladu:

   New-AzStorageAccountKey -ResourceGroupName <resource-group> `
     -Name <storage-account> `
     -KeyName key1
   

3. Aktualizujte připojovací řetězce v kódu tak, aby odkazovaly na nový primární přístupový klíč.

4. Stejným způsobem pak znovu vygenerujte sekundární přístupový klíč. Chcete-li znovu vygenerovat sekundární klíč, použijte key2 jako název klíče místo key1.

Obměna přístupových klíčů k účtu úložiště pomocí Azure CLI:

1. Aktualizujte připojovací řetězec v kódu aplikace tak, aby odkazovat na sekundární přístupový klíč pro účet úložiště.

2. Voláním příkazu az storage account keys renew vygenerujte primární přístupový klíč, jak je znázorněno v následujícím příkladu:

   az storage account keys renew \
     --resource-group <resource-group> \
     --account-name <storage-account> \
     --key primary
   

3. Aktualizujte připojovací řetězce v kódu tak, aby odkazovaly na nový primární přístupový klíč.

4. Stejným způsobem pak znovu vygenerujte sekundární přístupový klíč. Chcete-li znovu vygenerovat sekundární klíč, použijte secondary jako název klíče místo primary.

Vytvoření zásady vypršení platnosti klíče na webu Azure Portal:

1. Na webu Azure Portal přejděte do svého účtu úložiště.
2. V části Zabezpečení a sítě vyberte Přístupové klíče. Zobrazí se přístupové klíče vašeho účtu a také úplný připojovací řetězec pro jednotlivé klíče.
3. Vyberte tlačítko Nastavit připomenutí otočení. Pokud je tlačítko Nastavit připomenutí otočení neaktivní, budete muset otočit jednotlivé klávesy. Pokud chcete klíče otočit, postupujte podle kroků popsaných v části Ruční otočení přístupových klíčů .
4. V části Nastavit připomenutí pro otáčení přístupových klíčů zaškrtněte políčko Povolit připomenutí obměny klíčů a nastavte frekvenci připomenutí.
5. Zvolte Uložit.

Pokud chcete vytvořit zásadu vypršení platnosti klíče pomocí PowerShellu, použijte příkaz Set-AzStorageAccount a nastavte -KeyExpirationPeriodInDay parametr na interval v dnech, dokud se přístupový klíč nesmí otočit.

Tato KeyCreationTime vlastnost označuje, kdy byly vytvořeny nebo naposledy otočeny přístupové klíče účtu. Starší účty můžou mít pro KeyCreationTime vlastnost hodnotu null, protože ještě nebyla nastavena. Pokud má KeyCreationTime vlastnost hodnotu null, nemůžete vytvořit zásadu vypršení platnosti klíče, dokud klíče neotáčíte. Z tohoto důvodu je vhodné před pokusem o nastavení zásad vypršení platnosti klíče zkontrolovat KeyCreationTime vlastnost účtu úložiště.

Následující příklad zkontroluje, zda KeyCreationTime je vlastnost nastavena pro každý klíč. Pokud má KeyCreationTime vlastnost hodnotu, vytvoří se pro účet úložiště zásada vypršení platnosti klíče. Nezapomeňte nahradit zástupné hodnoty v hranatých závorkách vlastními hodnotami.

$rgName = "<resource-group>"
$accountName = "<account-name>"

$account = Get-AzStorageAccount -ResourceGroupName $rgName -Name $accountName

# Check whether the KeyCreationTime property has a value for each key 
# before creating the key expiration policy.
if ($account.KeyCreationTime.Key1 -eq $null -or $account.KeyCreationTime.Key2 -eq $null)
{
    Write-Host("You must regenerate both keys at least once before setting expiration policy")
}
else
{
    $account = Set-AzStorageAccount -ResourceGroupName $rgName -Name `
        $accountName  -KeyExpirationPeriodInDay 60
}

Zásady vypršení platnosti klíče můžete nastavit také při vytváření účtu úložiště nastavením -KeyExpirationPeriodInDay parametru příkazu New-AzStorageAccount .

Pokud chcete ověřit, že se zásada použila, zkontrolujte vlastnost účtu KeyPolicy úložiště.

$account.KeyPolicy

Pokud chcete vytvořit zásadu vypršení platnosti klíče pomocí Azure CLI, použijte příkaz az storage account update a nastavte --key-exp-days parametr na interval v dnech, dokud se přístupový klíč nesmí otočit.

Tato keyCreationTime vlastnost označuje, kdy byly vytvořeny nebo naposledy otočeny přístupové klíče účtu. Starší účty můžou mít pro keyCreationTime vlastnost hodnotu null, protože ještě nebyla nastavena. Pokud má keyCreationTime vlastnost hodnotu null, nemůžete vytvořit zásadu vypršení platnosti klíče, dokud klíče neotáčíte. Z tohoto důvodu je vhodné před pokusem o nastavení zásad vypršení platnosti klíče zkontrolovat keyCreationTime vlastnost účtu úložiště.

Následující příklad zkontroluje, zda keyCreationTime je vlastnost nastavena pro každý klíč. Pokud má keyCreationTime vlastnost hodnotu, vytvoří se pro účet úložiště zásada vypršení platnosti klíče. Nezapomeňte nahradit zástupné hodnoty v hranatých závorkách vlastními hodnotami.

key1_create_time=$(az storage account show \
    --name <storage-account> \
    --resource-group <resource-group> \
    --query 'keyCreationTime.key1' \
    --output tsv)
key2_create_time=$(az storage account show \
    --name <storage-account> \
    --resource-group <resource-group> \
    --query 'keyCreationTime.key2' \
    --output tsv)

if [ -z "$key1_create_time" ] || [ -z "$key2_create_time" ]; 
then
    echo "You must regenerate both keys at least once before setting expiration policy"
else
    az storage account update \
        --name <storage-account> \
        --resource-group <resource-group> \
        --key-exp-days 60
fi

Zásady vypršení platnosti klíče můžete nastavit také při vytváření účtu úložiště nastavením --key-exp-days parametru příkazu az storage account create .

Pokud chcete ověřit, že se zásada použila, zavolejte příkaz az storage account show a použijte řetězec {KeyPolicy:keyPolicy} pro -query parametr.

az storage account show \
  -n <storage-account-name> \
  -g <resource-group-name> \
  --query "{KeyPolicy:keyPolicy}"

Ve výstupu konzoly se zobrazí období vypršení platnosti klíče.

{
  "KeyPolicy": {
    "enableAutoRotation": false,
    "keyExpirationPeriodInDays": 60
  }
}