Gerenciar chaves de acesso à conta de armazenamento

Para exibir e copiar as chaves de acesso ou a cadeia de conexão da conta de armazenamento do portal do Azure:

1. No portal do Azure, vá para sua conta de armazenamento.

2. Em Segurança + rede, selecione Chaves de acesso. As chaves de acesso da conta são apresentadas, bem como a cadeia de ligação completa para cada chave.

3. Selecione Mostrar teclas para mostrar suas teclas de acesso e cadeias de conexão e para habilitar botões para copiar os valores.

4. Em key1, localize o valor da chave . Selecione o botão Copiar para copiar a chave da conta.

5. Como alternativa, você pode copiar toda a cadeia de conexão. Em key1, localize o valor da cadeia de conexão . Selecione o botão Copiar para copiar a cadeia de conexão.

   

Para recuperar as chaves de acesso da sua conta com o PowerShell, chame o comando Get-AzStorageAccountKey .

O exemplo a seguir recupera a primeira chave. Para recuperar a segunda chave, use Value[1] em vez de Value[0]. Lembre-se de substituir os valores de espaço reservado entre colchetes pelos seus próprios valores.

$storageAccountKey = `
    (Get-AzStorageAccountKey
    -ResourceGroupName <resource-group> `
    -Name <storage-account>).Value[0]

Para listar suas chaves de acesso de conta com a CLI do Azure, chame o comando az storage account keys list , conforme mostrado no exemplo a seguir. Lembre-se de substituir os valores de espaço reservado entre colchetes pelos seus próprios valores.

az storage account keys list \
  --resource-group <resource-group> \
  --account-name <storage-account>

Para alternar as chaves de acesso da sua conta de armazenamento no portal do Azure:

1. Atualize as cadeias de conexão no código do aplicativo para fazer referência à chave de acesso secundária da conta de armazenamento.
2. Navegue até sua conta de armazenamento no portal do Azure.
3. Em Segurança + rede, selecione Chaves de acesso.
4. Para regenerar a chave de acesso primária da sua conta de armazenamento, selecione o botão Regenerar junto à chave de acesso primária.
5. Atualize as cadeias de ligação no código para fazer referência à nova chave de acesso primária.
6. Regenere a chave de acesso secundária da mesma forma.

Para girar as chaves de acesso da conta de armazenamento com o PowerShell:

1. Atualize as cadeias de conexão no código do aplicativo para fazer referência à chave de acesso secundária da conta de armazenamento.

2. Chame o comando New-AzStorageAccountKey para regenerar a chave de acesso primária, conforme mostrado no exemplo a seguir:

   New-AzStorageAccountKey -ResourceGroupName <resource-group> `
     -Name <storage-account> `
     -KeyName key1
   

3. Atualize as cadeias de ligação no código para fazer referência à nova chave de acesso primária.

4. Regenere a chave de acesso secundária da mesma forma. Para regenerar a chave secundária, use key2 como o nome da chave em vez de key1.

Para girar as chaves de acesso da conta de armazenamento com a CLI do Azure:

1. Atualize as cadeias de conexão no código do aplicativo para fazer referência à chave de acesso secundária da conta de armazenamento.

2. Chame o comando az storage account keys renew para regenerar a chave de acesso primária, conforme mostrado no exemplo a seguir:

   az storage account keys renew \
     --resource-group <resource-group> \
     --account-name <storage-account> \
     --key primary
   

3. Atualize as cadeias de ligação no código para fazer referência à nova chave de acesso primária.

4. Regenere a chave de acesso secundária da mesma forma. Para regenerar a chave secundária, use secondary como o nome da chave em vez de primary.

Para criar uma política de expiração de chave no portal do Azure:

1. No portal do Azure, vá para sua conta de armazenamento.
2. Em Segurança + rede, selecione Chaves de acesso. As chaves de acesso da conta são apresentadas, bem como a cadeia de ligação completa para cada chave.
3. Selecione o botão Definir lembrete de rotação. Se o botão Definir lembrete de rotação estiver acinzentado, você precisará girar cada uma das chaves. Siga os passos descritos em Rodar manualmente as teclas de acesso para rodar as chaves.
4. Em Definir um lembrete para girar as teclas de acesso, marque a caixa de seleção Ativar lembretes de rotação de teclas e defina uma frequência para o lembrete.
5. Selecione Guardar.

Para criar uma política de expiração de chave com o PowerShell, use o comando Set-AzStorageAccount e defina o -KeyExpirationPeriodInDay parâmetro para o intervalo em dias até que a chave de acesso seja girada.

A KeyCreationTime propriedade indica quando as chaves de acesso da conta foram criadas ou giradas pela última vez. Contas mais antigas podem ter um valor nulo para a KeyCreationTime propriedade porque ela ainda não foi definida. Se a KeyCreationTime propriedade for null, você não poderá criar uma política de expiração de chave até girar as chaves. Por esse motivo, é uma boa ideia verificar a KeyCreationTime propriedade da conta de armazenamento antes de tentar definir a política de expiração de chave.

O exemplo a seguir verifica se a KeyCreationTime propriedade foi definida para cada chave. Se a KeyCreationTime propriedade tiver um valor, uma política de expiração de chave será criada para a conta de armazenamento. Lembre-se de substituir os valores de espaço reservado entre colchetes pelos seus próprios valores.

$rgName = "<resource-group>"
$accountName = "<account-name>"

$account = Get-AzStorageAccount -ResourceGroupName $rgName -Name $accountName

# Check whether the KeyCreationTime property has a value for each key 
# before creating the key expiration policy.
if ($account.KeyCreationTime.Key1 -eq $null -or $account.KeyCreationTime.Key2 -eq $null)
{
    Write-Host("You must regenerate both keys at least once before setting expiration policy")
}
else
{
    $account = Set-AzStorageAccount -ResourceGroupName $rgName -Name `
        $accountName  -KeyExpirationPeriodInDay 60
}

Você também pode definir a política de expiração de chave ao criar uma conta de armazenamento definindo o -KeyExpirationPeriodInDay parâmetro do comando New-AzStorageAccount .

Para verificar se a política foi aplicada, verifique a propriedade da conta de KeyPolicy armazenamento.

$account.KeyPolicy

Para criar uma política de expiração de chave com a CLI do Azure, use o comando az storage account update e defina o --key-exp-days parâmetro para o intervalo em dias até que a chave de acesso seja girada.

A keyCreationTime propriedade indica quando as chaves de acesso da conta foram criadas ou giradas pela última vez. Contas mais antigas podem ter um valor nulo para a keyCreationTime propriedade porque ela ainda não foi definida. Se a keyCreationTime propriedade for null, você não poderá criar uma política de expiração de chave até girar as chaves. Por esse motivo, é uma boa ideia verificar a keyCreationTime propriedade da conta de armazenamento antes de tentar definir a política de expiração de chave.

O exemplo a seguir verifica se a keyCreationTime propriedade foi definida para cada chave. Se a keyCreationTime propriedade tiver um valor, uma política de expiração de chave será criada para a conta de armazenamento. Lembre-se de substituir os valores de espaço reservado entre colchetes pelos seus próprios valores.

key1_create_time=$(az storage account show \
    --name <storage-account> \
    --resource-group <resource-group> \
    --query 'keyCreationTime.key1' \
    --output tsv)
key2_create_time=$(az storage account show \
    --name <storage-account> \
    --resource-group <resource-group> \
    --query 'keyCreationTime.key2' \
    --output tsv)

if [ -z "$key1_create_time" ] || [ -z "$key2_create_time" ]; 
then
    echo "You must regenerate both keys at least once before setting expiration policy"
else
    az storage account update \
        --name <storage-account> \
        --resource-group <resource-group> \
        --key-exp-days 60
fi

Você também pode definir a política de expiração de chave ao criar uma conta de armazenamento definindo o --key-exp-days parâmetro do comando az storage account create .

Para verificar se a política foi aplicada, chame o comando az storage account show e use a cadeia de caracteres {KeyPolicy:keyPolicy} para o -query parâmetro.

az storage account show \
  -n <storage-account-name> \
  -g <resource-group-name> \
  --query "{KeyPolicy:keyPolicy}"

O período de expiração da chave aparece na saída do console.

{
  "KeyPolicy": {
    "enableAutoRotation": false,
    "keyExpirationPeriodInDays": 60
  }
}