Administración de las claves de acceso de la cuenta de almacenamiento

Para ver y copiar la cadena de conexión o las claves de acceso de la cuenta de almacenamiento desde Azure Portal:

1. En Azure Portal, vaya a la cuenta de almacenamiento.

2. En Seguridad y redes, seleccione Claves de acceso. Aparecen las claves de acceso de la cuenta, así como la cadena de conexión completa de cada clave.

3. Seleccione Mostrar claves para mostrar las claves de acceso y las cadenas de conexión y habilitar los botones para copiar los valores.

4. En key1, busque el valor de Clave. Seleccione el botón Copiar para copiar la clave de la cuenta.

5. Como alternativa, puede copiar la cadena de conexión completa. En key1, busque el valor Cadena de conexión. Seleccione el botón Copiar para copiar la cadena correspondiente.

   

Para recuperar las claves de acceso a la cuenta con PowerShell, llame al comando Get-AzStorageAccountKey.

En el ejemplo siguiente se recupera la primera clave. Para recuperar la segunda clave, use Value[1] en lugar de Value[0]. No olvide reemplazar los valores del marcador de posición entre corchetes con sus propios valores.

$storageAccountKey = `
    (Get-AzStorageAccountKey
    -ResourceGroupName <resource-group> `
    -Name <storage-account>).Value[0]

Para enumerar las claves de acceso a la cuenta con la CLI de Azure, llame al comando az storage account keys list, tal como se muestra en el ejemplo siguiente. No olvide reemplazar los valores del marcador de posición entre corchetes con sus propios valores.

az storage account keys list \
  --resource-group <resource-group> \
  --account-name <storage-account>

Para rotar las claves de acceso a la cuenta de almacenamiento en Azure Portal:

1. Actualice las cadenas de conexión en el código de su aplicación para hacer referencia a la clave de acceso secundaria de la cuenta de almacenamiento.
2. Vaya a la cuenta de almacenamiento en Azure Portal.
3. En Seguridad y redes, seleccione Claves de acceso.
4. Para regenerar la clave de acceso principal de la cuenta de almacenamiento, seleccione el botón Regenerar que se encuentra junto a la clave de acceso principal.
5. Actualice las cadenas de conexión en su código para hacer referencia a la nueva clave de acceso primaria.
6. Vuelva a generar la clave de acceso secundaria de la misma forma.

Para rotar las claves de acceso a la cuenta de almacenamiento con PowerShell:

1. Actualice las cadenas de conexión en el código de su aplicación para hacer referencia a la clave de acceso secundaria de la cuenta de almacenamiento.

2. Llame al comando New-AzStorageAccountKey para regenerar la clave de acceso principal, tal como se muestra en este ejemplo:

   New-AzStorageAccountKey -ResourceGroupName <resource-group> `
     -Name <storage-account> `
     -KeyName key1
   

3. Actualice las cadenas de conexión en su código para hacer referencia a la nueva clave de acceso primaria.

4. Vuelva a generar la clave de acceso secundaria de la misma forma. Para regenerar la clave secundaria, use key2 como el nombre de clave en lugar de key1.

Para rotar las claves de acceso a la cuenta de almacenamiento con la CLI de Azure:

1. Actualice las cadenas de conexión en el código de su aplicación para hacer referencia a la clave de acceso secundaria de la cuenta de almacenamiento.

2. Llame al comando az storage account keys renew para regenerar la clave de cuenta principal, tal como se muestra en este ejemplo:

   az storage account keys renew \
     --resource-group <resource-group> \
     --account-name <storage-account> \
     --key primary
   

3. Actualice las cadenas de conexión en su código para hacer referencia a la nueva clave de acceso primaria.

4. Vuelva a generar la clave de acceso secundaria de la misma forma. Para regenerar la clave secundaria, use secondary como el nombre de clave en lugar de primary.

Para crear una directiva de expiración de claves en Azure Portal, haga lo siguiente:

1. En Azure Portal, vaya a la cuenta de almacenamiento.
2. En Seguridad y redes, seleccione Claves de acceso. Aparecen las claves de acceso de la cuenta, así como la cadena de conexión completa de cada clave.
3. Seleccione el botón Establecer recordatorio de rotación. Si el botón Establecer recordatorio de rotación está atenuado, tendrá que rotar cada una de las claves. Siga los pasos descritos en Rotación manual de las claves de acceso para rotar las claves.
4. En Set a reminder to rotate access keys (Establecer recordatorio de rotación), active la casilla Enable key rotation reminders (Habilitar recordatorios de rotación de claves) y establezca una frecuencia para el recordatorio.
5. Seleccione Guardar.

Para crear una directiva de expiración de claves, use el comando Set-AzStorageAccount y establezca el parámetro -KeyExpirationPeriodInDay en el intervalo de días en que una clave de acceso debería rotar.

La propiedad KeyCreationTime indica cuándo se crearon o rotaron por última vez las claves de acceso de la cuenta. Las cuentas anteriores pueden tener un valor NULL para la propiedad KeyCreationTime porque aún no se ha establecido. Si la propiedad KeyCreationTime es NULL, no puede crear una directiva de expiración de claves hasta que rote las claves. Por este motivo, es recomendable comprobar la propiedad KeyCreationTime de la cuenta de almacenamiento antes de intentar establecer la directiva de expiración de claves.

En el ejemplo siguiente se comprueba si la propiedad KeyCreationTime se ha establecido para cada clave. Si la propiedad KeyCreationTime tiene un valor, se crea una directiva de expiración de claves para la cuenta de almacenamiento. No olvide reemplazar los valores del marcador de posición entre corchetes con sus propios valores.

$rgName = "<resource-group>"
$accountName = "<account-name>"

$account = Get-AzStorageAccount -ResourceGroupName $rgName -Name $accountName

# Check whether the KeyCreationTime property has a value for each key 
# before creating the key expiration policy.
if ($account.KeyCreationTime.Key1 -eq $null -or $account.KeyCreationTime.Key2 -eq $null)
{
    Write-Host("You must regenerate both keys at least once before setting expiration policy")
}
else
{
    $account = Set-AzStorageAccount -ResourceGroupName $rgName -Name `
        $accountName  -KeyExpirationPeriodInDay 60
}

También puede establecer la directiva de expiración de claves al crear una cuenta de almacenamiento si establece el parámetro -KeyExpirationPeriodInDay del comando New-AzStorageAccount.

Para comprobar que se ha aplicado la directiva, compruebe la propiedad KeyPolicy de la cuenta de almacenamiento.

$account.KeyPolicy

Para crear una directiva de expiración de claves con la CLI de Azure, use el comando az storage account update y establezca el parámetro --key-exp-days en el intervalo de días en que una clave de acceso debería rotar.

La propiedad keyCreationTime indica cuándo se crearon o rotaron por última vez las claves de acceso de la cuenta. Las cuentas anteriores pueden tener un valor NULL para la propiedad keyCreationTime porque aún no se ha establecido. Si la propiedad keyCreationTime es NULL, no puede crear una directiva de expiración de claves hasta que rote las claves. Por este motivo, es recomendable comprobar la propiedad keyCreationTime de la cuenta de almacenamiento antes de intentar establecer la directiva de expiración de claves.

En el ejemplo siguiente se comprueba si la propiedad keyCreationTime se ha establecido para cada clave. Si la propiedad keyCreationTime tiene un valor, se crea una directiva de expiración de claves para la cuenta de almacenamiento. No olvide reemplazar los valores del marcador de posición entre corchetes con sus propios valores.

key1_create_time=$(az storage account show \
    --name <storage-account> \
    --resource-group <resource-group> \
    --query 'keyCreationTime.key1' \
    --output tsv)
key2_create_time=$(az storage account show \
    --name <storage-account> \
    --resource-group <resource-group> \
    --query 'keyCreationTime.key2' \
    --output tsv)

if [ -z "$key1_create_time" ] || [ -z "$key2_create_time" ]; 
then
    echo "You must regenerate both keys at least once before setting expiration policy"
else
    az storage account update \
        --name <storage-account> \
        --resource-group <resource-group> \
        --key-exp-days 60
fi

También puede establecer la directiva de expiración de claves al crear una cuenta de almacenamiento si establece el parámetro --key-exp-days del comando az storage account create.

Para comprobar que se ha aplicado la directiva, llame al comando az storage account show y use la cadena {KeyPolicy:keyPolicy} para el parámetro -query.

az storage account show \
  -n <storage-account-name> \
  -g <resource-group-name> \
  --query "{KeyPolicy:keyPolicy}"

El período de expiración de la clave aparece en la salida de la consola.

{
  "KeyPolicy": {
    "enableAutoRotation": false,
    "keyExpirationPeriodInDays": 60
  }
}