Gérer les clés d’accès au compte de stockage

Pour afficher et copier les clés d’accès ou la chaîne de connexion de votre compte de stockage à partir du portail Azure :

1. Dans le portail Azure, accédez à votre compte de stockage.

2. Sous Sécurité + mise en réseau, sélectionnez Clés d’accès. Vos clés d’accès au compte s’affichent, ainsi que la chaîne de connexion complète de chaque clé.

3. Sélectionnez Afficher les clés pour afficher vos clés et les chaînes de connexion, et pour activer les boutons permettant de copier les valeurs.

4. Sous key1, trouvez la valeur de Clé. Sélectionnez le bouton Copier pour copier la clé de compte.

5. Vous pouvez aussi copier la chaîne de connexion complète. Sous key1, recherchez la Chaîne de connexion. Sélectionnez le bouton Copier pour copier la chaîne de connexion.

   

Pour récupérer les clés d’accès à votre compte avec PowerShell, appelez la commande Get-AzStorageAccountKey.

L’exemple suivant récupère la première clé. Pour récupérer la deuxième, utilisez Value[1] au lieu de Value[0]. N’oubliez pas de remplacer les valeurs d’espace réservé entre crochets par vos propres valeurs.

$storageAccountKey = `
    (Get-AzStorageAccountKey
    -ResourceGroupName <resource-group> `
    -Name <storage-account>).Value[0]

Pour répertorier les clés d’accès à votre compte avec Azure CLI, appelez la commande az storage account keys list, comme dans l’exemple suivant. N’oubliez pas de remplacer les valeurs d’espace réservé entre crochets par vos propres valeurs.

az storage account keys list \
  --resource-group <resource-group> \
  --account-name <storage-account>

Pour opérer la rotation des clés d’accès de votre compte de stockage dans le portail Azure :

1. Mettez à jour les chaînes de connexion dans votre code d’application pour désigner la clé d’accès secondaire du compte de stockage.
2. Accédez à votre compte de stockage dans le Portail Azure.
3. Sous Sécurité + mise en réseau, sélectionnez Clés d’accès.
4. Pour régénérer la clé d’accès primaire de votre compte de stockage, sélectionnez le bouton Régénérer en regard de la clé d’accès primaire.
5. Mettez à jour les chaînes de connexion dans votre code pour désigner la nouvelle clé d’accès principale.
6. Regénérez la clé d’accès secondaire de la même manière.

Pour opérer la rotation des clés d’accès de votre compte de stockage avec PowerShell :

1. Mettez à jour les chaînes de connexion dans votre code d’application pour désigner la clé d’accès secondaire du compte de stockage.

2. Appelez la commande New-AzStorageAccountKey pour régénérer la clé d’accès primaire, comme illustré dans l’exemple suivant :

   New-AzStorageAccountKey -ResourceGroupName <resource-group> `
     -Name <storage-account> `
     -KeyName key1
   

3. Mettez à jour les chaînes de connexion dans votre code pour désigner la nouvelle clé d’accès principale.

4. Régénérez la clé d’accès secondaire de la même manière. Pour régénérer la clé secondaire, utilisez key2 comme nom de clé à la place de key1.

Pour opérer la rotation des clés d’accès de votre compte de stockage avec Azure CLI :

1. Mettez à jour les chaînes de connexion dans votre code d’application pour désigner la clé d’accès secondaire du compte de stockage.

2. Appelez la commande az storage account keys renew pour régénérer la clé d’accès primaire, comme illustré dans l’exemple suivant :

   az storage account keys renew \
     --resource-group <resource-group> \
     --account-name <storage-account> \
     --key primary
   

3. Mettez à jour les chaînes de connexion dans votre code pour désigner la nouvelle clé d’accès principale.

4. Régénérez la clé d’accès secondaire de la même manière. Pour régénérer la clé secondaire, utilisez secondary comme nom de clé au lieu de primary.

Pour créer une politique d'expiration des clés dans le portail Azure :

1. Dans le portail Azure, accédez à votre compte de stockage.
2. Sous Sécurité + mise en réseau, sélectionnez Clés d’accès. Vos clés d’accès au compte s’affichent, ainsi que la chaîne de connexion complète de chaque clé.
3. Sélectionnez le bouton Définir le rappel de rotation. Si le bouton Définir le rappel de rotation est grisé, vous devez faire pivoter chacune de vos touches. Suivez les étapes décrites dans Faire pivoter manuellement des clés d’accès pour faire pivoter les clés.
4. Dans Définir un rappel pour faire pivoter les clés d'accès, activez la case à cocher Activer les rappels pour faire pivoter les clés d'accès et définissez une fréquence pour le rappel.
5. Sélectionnez Enregistrer.

Pour créer une stratégie d’expiration de clé avec PowerShell, utilisez la commande Set-AzStorageAccount et définissez le paramètre -KeyExpirationPeriodInDay sur l’intervalle en jours avant la prochaine rotation des clés d’accès.

La propriété KeyCreationTime indique si les clés d’accès au compte ont été créées ou retournées pour la dernière fois. Les comptes plus anciens peuvent avoir une valeur Null pour la propriété KeyCreationTime, car elle n’a pas encore été définie. Si la propriété KeyCreationTime est Null, vous ne pouvez pas créer de stratégie d’expiration de clé tant que vous n’avez pas fait pivoter les clés. Pour cette raison, il est important de vérifier la propriété KeyCreationTime du compte de stockage avant d’essayer de définir la stratégie d’expiration de clé.

L’exemple suivant vérifie si la propriété KeyCreationTime a été définie pour chaque clé. Si la propriété KeyCreationTime a une valeur, une stratégie d’expiration de clé est créée pour le compte de stockage. N’oubliez pas de remplacer les valeurs d’espace réservé entre crochets par vos propres valeurs.

$rgName = "<resource-group>"
$accountName = "<account-name>"

$account = Get-AzStorageAccount -ResourceGroupName $rgName -Name $accountName

# Check whether the KeyCreationTime property has a value for each key 
# before creating the key expiration policy.
if ($account.KeyCreationTime.Key1 -eq $null -or $account.KeyCreationTime.Key2 -eq $null)
{
    Write-Host("You must regenerate both keys at least once before setting expiration policy")
}
else
{
    $account = Set-AzStorageAccount -ResourceGroupName $rgName -Name `
        $accountName  -KeyExpirationPeriodInDay 60
}

Vous pouvez également définir la stratégie d’expiration de clé lorsque vous créez un compte de stockage en définissant le paramètre -KeyExpirationPeriodInDay de la commande New-AzStorageAccount.

Pour vérifier que la stratégie a été appliquée, vérifiez la propriété KeyPolicy du compte de stockage.

$account.KeyPolicy

Pour créer une stratégie d’expiration de clé avec Azure CLI, utilisez la commande az storage account update et définissez le paramètre --key-exp-days sur l’intervalle en jours avant la prochaine rotation des clés d’accès.

La propriété keyCreationTime indique si les clés d’accès au compte ont été créées ou retournées pour la dernière fois. Les comptes plus anciens peuvent avoir une valeur Null pour la propriété keyCreationTime, car elle n’a pas encore été définie. Si la propriété keyCreationTime est Null, vous ne pouvez pas créer de stratégie d’expiration de clé tant que vous n’avez pas fait pivoter les clés. Pour cette raison, il est important de vérifier la propriété keyCreationTime du compte de stockage avant d’essayer de définir la stratégie d’expiration de clé.

L’exemple suivant vérifie si la propriété keyCreationTime a été définie pour chaque clé. Si la propriété keyCreationTime a une valeur, une stratégie d’expiration de clé est créée pour le compte de stockage. N’oubliez pas de remplacer les valeurs d’espace réservé entre crochets par vos propres valeurs.

key1_create_time=$(az storage account show \
    --name <storage-account> \
    --resource-group <resource-group> \
    --query 'keyCreationTime.key1' \
    --output tsv)
key2_create_time=$(az storage account show \
    --name <storage-account> \
    --resource-group <resource-group> \
    --query 'keyCreationTime.key2' \
    --output tsv)

if [ -z "$key1_create_time" ] || [ -z "$key2_create_time" ]; 
then
    echo "You must regenerate both keys at least once before setting expiration policy"
else
    az storage account update \
        --name <storage-account> \
        --resource-group <resource-group> \
        --key-exp-days 60
fi

Vous pouvez également définir la stratégie d’expiration de clé lorsque vous créez un compte de stockage en définissant le paramètre --key-exp-days de la commande az storage account create.

Pour vérifier que la stratégie a été appliquée, appelez la commande az storage account show et utilisez la chaîne {KeyPolicy:keyPolicy} pour le paramètre -query.

az storage account show \
  -n <storage-account-name> \
  -g <resource-group-name> \
  --query "{KeyPolicy:keyPolicy}"

La période d’expiration de la clé apparaît dans la sortie de la console.

{
  "KeyPolicy": {
    "enableAutoRotation": false,
    "keyExpirationPeriodInDays": 60
  }
}