Add-AzKeyVaultKey

Syntaxe

Add-AzKeyVaultKey
   [-VaultName] <String>
   [-Name] <String>
   -Destination <String>
   [-Disable]
   [-KeyOps <String[]>]
   [-Expires <DateTime>]
   [-NotBefore <DateTime>]
   [-Tag <Hashtable>]
   [-Size <Int32>]
   [-KeyType <String>]
   [-CurveName <String>]
   [-Exportable]
   [-Immutable]
   [-ReleasePolicyPath <String>]
   [-UseDefaultCVMPolicy]
   [-DefaultProfile <IAzureContextContainer>]
   [-WhatIf]
   [-Confirm]
   [<CommonParameters>]

Add-AzKeyVaultKey
   [-VaultName] <String>
   [-Name] <String>
   -KeyFilePath <String>
   [-KeyFilePassword <SecureString>]
   [-Destination <String>]
   [-Disable]
   [-KeyOps <String[]>]
   [-Expires <DateTime>]
   [-NotBefore <DateTime>]
   [-Tag <Hashtable>]
   [-KeyType <String>]
   [-CurveName <String>]
   [-DefaultProfile <IAzureContextContainer>]
   [-WhatIf]
   [-Confirm]
   [<CommonParameters>]

Add-AzKeyVaultKey
   -HsmName <String>
   [-Name] <String>
   [-Disable]
   [-KeyOps <String[]>]
   [-Expires <DateTime>]
   [-NotBefore <DateTime>]
   [-Tag <Hashtable>]
   [-Size <Int32>]
   -KeyType <String>
   [-CurveName <String>]
   [-Exportable]
   [-Immutable]
   [-ReleasePolicyPath <String>]
   [-UseDefaultCVMPolicy]
   [-DefaultProfile <IAzureContextContainer>]
   [-WhatIf]
   [-Confirm]
   [<CommonParameters>]

Add-AzKeyVaultKey
   -HsmName <String>
   [-Name] <String>
   -KeyFilePath <String>
   [-KeyFilePassword <SecureString>]
   [-Disable]
   [-KeyOps <String[]>]
   [-Expires <DateTime>]
   [-NotBefore <DateTime>]
   [-Tag <Hashtable>]
   [-DefaultProfile <IAzureContextContainer>]
   [-WhatIf]
   [-Confirm]
   [<CommonParameters>]

Add-AzKeyVaultKey
   [-InputObject] <PSKeyVault>
   [-Name] <String>
   -Destination <String>
   [-Disable]
   [-KeyOps <String[]>]
   [-Expires <DateTime>]
   [-NotBefore <DateTime>]
   [-Tag <Hashtable>]
   [-Size <Int32>]
   [-KeyType <String>]
   [-CurveName <String>]
   [-Exportable]
   [-Immutable]
   [-ReleasePolicyPath <String>]
   [-UseDefaultCVMPolicy]
   [-DefaultProfile <IAzureContextContainer>]
   [-WhatIf]
   [-Confirm]
   [<CommonParameters>]

Add-AzKeyVaultKey
   [-InputObject] <PSKeyVault>
   [-Name] <String>
   -KeyFilePath <String>
   [-KeyFilePassword <SecureString>]
   [-Destination <String>]
   [-Disable]
   [-KeyOps <String[]>]
   [-Expires <DateTime>]
   [-NotBefore <DateTime>]
   [-Tag <Hashtable>]
   [-KeyType <String>]
   [-CurveName <String>]
   [-DefaultProfile <IAzureContextContainer>]
   [-WhatIf]
   [-Confirm]
   [<CommonParameters>]

Add-AzKeyVaultKey
   [-HsmObject] <PSManagedHsm>
   [-Name] <String>
   [-Disable]
   [-KeyOps <String[]>]
   [-Expires <DateTime>]
   [-NotBefore <DateTime>]
   [-Tag <Hashtable>]
   [-Size <Int32>]
   -KeyType <String>
   [-CurveName <String>]
   [-Exportable]
   [-Immutable]
   [-ReleasePolicyPath <String>]
   [-UseDefaultCVMPolicy]
   [-DefaultProfile <IAzureContextContainer>]
   [-WhatIf]
   [-Confirm]
   [<CommonParameters>]

Add-AzKeyVaultKey
   [-HsmObject] <PSManagedHsm>
   [-Name] <String>
   -KeyFilePath <String>
   [-KeyFilePassword <SecureString>]
   [-Disable]
   [-KeyOps <String[]>]
   [-Expires <DateTime>]
   [-NotBefore <DateTime>]
   [-Tag <Hashtable>]
   [-DefaultProfile <IAzureContextContainer>]
   [-WhatIf]
   [-Confirm]
   [<CommonParameters>]

Add-AzKeyVaultKey
   [-ResourceId] <String>
   [-Name] <String>
   -Destination <String>
   [-Disable]
   [-KeyOps <String[]>]
   [-Expires <DateTime>]
   [-NotBefore <DateTime>]
   [-Tag <Hashtable>]
   [-Size <Int32>]
   [-KeyType <String>]
   [-CurveName <String>]
   [-Exportable]
   [-Immutable]
   [-ReleasePolicyPath <String>]
   [-UseDefaultCVMPolicy]
   [-DefaultProfile <IAzureContextContainer>]
   [-WhatIf]
   [-Confirm]
   [<CommonParameters>]

Add-AzKeyVaultKey
   [-ResourceId] <String>
   [-Name] <String>
   -KeyFilePath <String>
   [-KeyFilePassword <SecureString>]
   [-Destination <String>]
   [-Disable]
   [-KeyOps <String[]>]
   [-Expires <DateTime>]
   [-NotBefore <DateTime>]
   [-Tag <Hashtable>]
   [-KeyType <String>]
   [-CurveName <String>]
   [-DefaultProfile <IAzureContextContainer>]
   [-WhatIf]
   [-Confirm]
   [<CommonParameters>]

Add-AzKeyVaultKey
   -HsmResourceId <String>
   [-Name] <String>
   [-Disable]
   [-KeyOps <String[]>]
   [-Expires <DateTime>]
   [-NotBefore <DateTime>]
   [-Tag <Hashtable>]
   [-Size <Int32>]
   -KeyType <String>
   [-CurveName <String>]
   [-Exportable]
   [-Immutable]
   [-ReleasePolicyPath <String>]
   [-UseDefaultCVMPolicy]
   [-DefaultProfile <IAzureContextContainer>]
   [-WhatIf]
   [-Confirm]
   [<CommonParameters>]

Add-AzKeyVaultKey
   -HsmResourceId <String>
   [-Name] <String>
   -KeyFilePath <String>
   [-KeyFilePassword <SecureString>]
   [-Disable]
   [-KeyOps <String[]>]
   [-Expires <DateTime>]
   [-NotBefore <DateTime>]
   [-Tag <Hashtable>]
   [-DefaultProfile <IAzureContextContainer>]
   [-WhatIf]
   [-Confirm]
   [<CommonParameters>]

Description

Rutina Add-AzKeyVaultKey vytvoří klíč v trezoru klíčů ve službě Azure Key Vault nebo naimportuje klíč do trezoru klíčů. Pomocí této rutiny přidejte klíče pomocí některé z následujících metod:

• Ve službě Key Vault vytvořte klíč v modulu hardwarového zabezpečení (HSM).
• Ve službě Key Vault vytvořte klíč v softwaru.
• Naimportujte klíč z vlastního modulu hardwarového zabezpečení (HSM) do modulů HSM ve službě Key Vault.
• Naimportujte klíč ze souboru .pfx do počítače.
• Naimportujte klíč ze souboru .pfx do modulů hardwarového zabezpečení (HSM) ve službě Key Vault. U některé z těchto operací můžete zadat klíčové atributy nebo přijmout výchozí nastavení. Pokud vytvoříte nebo importujete klíč, který má stejný název jako existující klíč v trezoru klíčů, původní klíč se aktualizuje o hodnoty, které zadáte pro nový klíč. K předchozím hodnotám se dostanete pomocí identifikátoru URI specifického pro verzi pro tuto verzi klíče. Další informace o verzích klíčů a struktuře identifikátorů URI najdete v tématu Klíče a tajné kódy v dokumentaci k rozhraní REST API služby Key Vault. Poznámka: Pokud chcete importovat klíč z vlastního modulu hardwarového zabezpečení, musíte nejprve vygenerovat balíček BYOK (soubor s příponou názvu souboru .byok) pomocí sady nástrojů BYOK služby Azure Key Vault. Další informace najdete v tématu Generování a přenos klíčů chráněných HSM pro Azure Key Vault. Osvědčeným postupem je zálohovat klíč po vytvoření nebo aktualizaci pomocí rutiny Backup-AzKeyVaultKey. Neexistuje žádná funkce odstranění, takže pokud omylem odstraníte klíč nebo ho odstraníte a pak změníte názor, klíč nebude možné obnovit, pokud nemáte zálohu, kterou můžete obnovit.

Příklady

Příklad 1: Vytvoření klíče

Add-AzKeyVaultKey -VaultName 'contoso' -Name 'ITSoftware' -Destination 'Software'

Vault/HSM Name : contoso
Name           : ITSoftware
Key Type       : RSA
Key Size       : 2048
Curve Name     : 
Version        : 67da57e9cadf48a2ad8d366b115843ab
Id             : https://contoso.vault.azure.net:443/keys/ITSoftware/67da57e9cadf48a2ad8d366b115843ab
Enabled        : True
Expires        :
Not Before     :
Created        : 5/21/2018 11:10:58 PM
Updated        : 5/21/2018 11:10:58 PM
Purge Disabled : False
Tags           :

Tento příkaz vytvoří klíč chráněný softwarem s názvem ITSoftware v trezoru klíčů s názvem Contoso.

Příklad 2: Vytvoření klíče EC

Add-AzKeyVaultKey -VaultName test-kv -Name test-key -Destination Software -KeyType EC

Vault/HSM Name : test-kv
Name           : test-key
Key Type       : EC
Key Size       :
Curve Name     : P-256
Version        : 4da74af2b4fd47d6b1aa0b05c9a2ed13
Id             : https://test-kv.vault.azure.net:443/keys/test-key/4da74af2b4fd47d6b1aa0b05c9a2ed13
Enabled        : True
Expires        :
Not Before     :
Created        : 8/24/2021 6:38:34 AM
Updated        : 8/24/2021 6:38:34 AM
Recovery Level : Recoverable+Purgeable
Tags           :

Tento příkaz vytvoří softwarově chráněný klíč EC s názvem test-key v trezoru klíčů s názvem test-kv. Jeho název křivky je ve výchozím nastavení P-256.

Příklad 3: Vytvoření klíče chráněného HSM

Add-AzKeyVaultKey -VaultName 'contoso' -Name 'ITHsm' -Destination 'HSM'

Vault Name     : contoso
Name           : ITHsm
Version        : 67da57e9cadf48a2ad8d366b115843ab
Id             : https://contoso.vault.azure.net:443/keys/ITSoftware/67da57e9cadf48a2ad8d366b115843ab
Enabled        : True
Expires        :
Not Before     :
Created        : 5/21/2018 11:10:58 PM
Updated        : 5/21/2018 11:10:58 PM
Purge Disabled : False
Tags           :

Tento příkaz vytvoří klíč chráněný HSM v trezoru klíčů s názvem Contoso.

Příklad 4: Vytvoření klíče s hodnotami, které nejsou výchozími hodnotami

$KeyOperations = 'decrypt', 'verify'
$Expires = (Get-Date).AddYears(2).ToUniversalTime()
$NotBefore = (Get-Date).ToUniversalTime()
$Tags = @{'Severity' = 'high'; 'Accounting' = "true"}
Add-AzKeyVaultKey -VaultName 'contoso' -Name 'ITHsmNonDefault' -Destination 'HSM' -Expires $Expires -NotBefore $NotBefore -KeyOps $KeyOperations -Disable -Tag $Tags

Vault/HSM Name : contoso
Name           : ITHsmNonDefault
Key Type       : RSA
Key Size       : 2048
Version        : 929bfc14db84439b823ffd1bedadaf5f
Id             : https://contoso.vault.azure.net:443/keys/ITHsmNonDefault/929bfc14db84439b823ffd1bedadaf5f
Enabled        : False
Expires        : 5/21/2020 11:12:43 PM
Not Before     : 5/21/2018 11:12:50 PM
Created        : 5/21/2018 11:13:17 PM
Updated        : 5/21/2018 11:13:17 PM
Purge Disabled : False
Tags           : Name        Value
                 Severity    high
                 Accounting  true

První příkaz uloží hodnoty dešifrovat a ověřit v proměnné $KeyOperations. Druhý příkaz vytvoří objekt DateTime definovaný v UTC pomocí rutiny Get-Date . Tento objekt určuje čas dva roky v budoucnosti. Příkaz uloží toto datum do proměnné $Expires. Další informace potřebujete zadáním Get-Help Get-Date. Třetí příkaz vytvoří objekt DateTime pomocí rutiny Get-Date . Tento objekt určuje aktuální čas UTC. Příkaz uloží toto datum do proměnné $NotBefore. Poslední příkaz vytvoří klíč s názvem ITHsmNonDefault, který je klíč chráněný HSM. Příkaz určuje hodnoty pro povolené operace klíče uložené $KeyOperations. Příkaz určuje časy pro parametry Konec platnosti a NotBefore vytvořené v předchozích příkazech a značky pro vysokou závažnost a IT. Nový klíč je zakázaný. Můžete ho povolit pomocí rutiny Set-AzKeyVaultKey .

Příklad 5: Import klíče chráněného HSM

Add-AzKeyVaultKey -VaultName 'contoso' -Name 'ITByok' -KeyFilePath 'C:\Contoso\ITByok.byok' -Destination 'HSM'

Vault Name     : contoso
Name           : ITByok
Version        : 67da57e9cadf48a2ad8d366b115843ab
Id             : https://contoso.vault.azure.net:443/keys/ITByok/67da57e9cadf48a2ad8d366b115843ab
Enabled        : True
Expires        :
Not Before     :
Created        : 5/21/2018 11:10:58 PM
Updated        : 5/21/2018 11:10:58 PM
Purge Disabled : False
Tags           :

Tento příkaz importuje klíč s názvem ITByok z umístění, které určuje parametr KeyFilePath . Importovaný klíč je klíč chráněný modulem HSM. Pokud chcete importovat klíč z vlastního modulu hardwarového zabezpečení, musíte nejprve vygenerovat balíček BYOK (soubor s příponou názvu souboru .byok) pomocí sady nástrojů BYOK služby Azure Key Vault. Další informace najdete v tématu Generování a přenos klíčů chráněných HSM pro Azure Key Vault.

Příklad 6: Import klíče chráněného softwarem

$Password = ConvertTo-SecureString -String "****" -AsPlainText -Force
Add-AzKeyVaultKey -VaultName 'contoso' -Name 'ITPfx' -KeyFilePath 'C:\Contoso\ITPfx.pfx' -KeyFilePassword $Password

Vault Name     : contoso
Name           : ITPfx
Version        : 67da57e9cadf48a2ad8d366b115843ab
Id             : https://contoso.vault.azure.net:443/keys/ITPfx/67da57e9cadf48a2ad8d366b115843ab
Enabled        : True
Expires        :
Not Before     :
Created        : 5/21/2018 11:10:58 PM
Updated        : 5/21/2018 11:10:58 PM
Purge Disabled : False
Tags           :

První příkaz převede řetězec na zabezpečený řetězec pomocí rutiny ConvertTo-SecureString a pak tento řetězec uloží do proměnné $Password. Další informace potřebujete zadáním Get-Help ConvertTo-SecureString. Druhý příkaz vytvoří softwarové heslo v trezoru klíčů Contoso. Příkaz určuje umístění klíče a heslo uložené v $Password.

Příklad 7: Import klíče a přiřazení atributů

$Password = ConvertTo-SecureString -String "****" -AsPlainText -Force
$Expires = (Get-Date).AddYears(2).ToUniversalTime()
$Tags = @{ 'Severity' = 'high'; 'Accounting' = "true" }
Add-AzKeyVaultKey -VaultName 'contoso' -Name 'ITPfxToHSM' -Destination 'HSM' -KeyFilePath 'C:\Contoso\ITPfx.pfx' -KeyFilePassword $Password -Expires $Expires -Tag $Tags

Vault Name     : contoso
Name           : ITPfxToHSM
Version        : 929bfc14db84439b823ffd1bedadaf5f
Id             : https://contoso.vault.azure.net:443/keys/ITPfxToHSM/929bfc14db84439b823ffd1bedadaf5f
Enabled        : True
Expires        : 5/21/2020 11:12:43 PM
Not Before     :
Created        : 5/21/2018 11:13:17 PM
Updated        : 5/21/2018 11:13:17 PM
Purge Disabled : False
Tags           : Name        Value
                 Severity    high
                 Accounting  true

První příkaz převede řetězec na zabezpečený řetězec pomocí rutiny ConvertTo-SecureString a pak tento řetězec uloží do proměnné $Password. Druhý příkaz vytvoří objekt DateTime pomocí rutiny Get-Date a pak tento objekt uloží do proměnné $Expires. Třetí příkaz vytvoří proměnnou $tags pro nastavení značek pro vysokou závažnost a IT. Poslední příkaz naimportuje klíč jako klíč HSM ze zadaného umístění. Příkaz určuje dobu vypršení platnosti uloženou v $Expires a heslo uložené v $Password a použije značky uložené v $tags.

Příklad 8: Vygenerování klíče Výměny klíčů (KEK) pro funkci Přineste si vlastní klíč (BYOK)

$key = Add-AzKeyVaultKey -VaultName $vaultName -Name $keyName -Destination HSM -Size 2048 -KeyOps "import"

Vygeneruje klíč (označovaný jako klíč výměny klíčů (KEK)). Klíč KEK musí být klíč RSA-HSM, který má pouze operaci importu klíče. Pouze skladová položka Key Vault Premium podporuje klíče RSA-HSM. Další podrobnosti najdete v tématu https://video2.skills-academy.com/azure/key-vault/keys/hsm-protected-keys

Příklad 9: Vytvoření zabezpečeného klíče ve spravovaném hsm

<# release_policy_template.json
{
  "anyOf": [
    {
      "allOf": [
        {
          "claim": "<claim name>",
          "equals": "<value to match>"
        }
      ],
      "authority": "<issuer>"
    }
  ],
  "version": "1.0.0"
}
#>
Add-AzKeyVaultKey -HsmName testmhsm -Name test-key -KeyType RSA -Exportable -ReleasePolicyPath release_policy.json

Vault/HSM Name : testmhsm
Name           : test-key
Key Type       : RSA
Key Size       : 2048
Curve Name     : 
Version        : ed6b026bf0a605042006635713d33ef6
Id             : https://testmhsm.managedhsm.azure.net:443/keys/test-key/ed6b026bf0a605042006635713d33ef6
Enabled        : True
Expires        : 
Not Before     : 
Created        : 6/2/2022 7:14:37 AM
Updated        : 6/2/2022 7:14:37 AM
Recovery Level : Recoverable+Purgeable
Release Policy : 
                 Content Type   : application/json; charset=utf-8
                 Policy Content : {"anyOf":[{"allOf":[{"claim":"x-ms-sgx-is-debuggable","equals":"true"}],"authority":"htt 
                 ps://sharedeus.eus.attest.azure.net/"}],"version":"1.0.0"}
                 Immutable      : False


Tags           :

Vytvořte zabezpečený klíč ve spravovaném hsm s názvem testmhsm. Jeho název je test-klíč a typ je RSA.

Příklad 10: Přidejte klíč pro důvěrný virtuální počítač do trezoru klíčů.

New-AzKeyVault -Name $keyVaultName -Location $location -ResourceGroupName $resourceGroupName -Sku Premium -EnablePurgeProtection -EnabledForDiskEncryption;
$cvmAgent = Get-AzADServicePrincipal -ApplicationId '00001111-aaaa-2222-bbbb-3333cccc4444';
Set-AzKeyVaultAccessPolicy -VaultName $keyVaultName -ResourceGroupName $resourceGroupName -ObjectId $cvmAgent.id -PermissionsToKeys get,release;

$keySize = 3072;
Add-AzKeyVaultKey -VaultName $keyVaultName -Name $keyName -Size $keySize -KeyOps wrapKey,unwrapKey -KeyType RSA -Destination HSM -Exportable -UseDefaultCVMPolicy;

Vault/HSM Name : <Vault Name>
Name           : <Key Name>
Key Type       : RSA
Key Size       : 3072
Curve Name     :
Version        : <Version>
Id             : <Id>
Enabled        : True
Expires        :
Not Before     :
Created        : 9/9/2022 8:36:00 PM
Updated        : 9/9/2022 8:36:00 PM
Recovery Level : Recoverable
Release Policy :
                 Content Type   : application/json; charset=utf-8
                 Policy Content : <Policy Content>
                 Immutable      : False
Tags           :

Parametry

-Confirm

-CurveName

-DefaultProfile

-Destination

-Disable

-Expires

-Exportable

-HsmName

-HsmObject

-HsmResourceId

-Immutable

-InputObject

-KeyFilePassword

-KeyFilePath

-KeyOps

-KeyType

-Name

-NotBefore

-ReleasePolicyPath

-ResourceId

-Size

-Tag

-UseDefaultCVMPolicy

-VaultName

-WhatIf

Vstupy

PSKeyVault

PSManagedHsm

String

Výstupy

PSKeyVaultKey

Související odkazy

• Backup-AzKeyVaultKey
• Get-AzKeyVaultKey
• Remove-AzKeyVaultKey