Перемещение Azure Key Vault в другой регион

Чтобы экспортировать шаблон с помощью портала Azure:

1. Войдите на портал Azure.

2. Выберите все ресурсы и выберите хранилище ключей.

3. Выберите пункты >Автоматизация>Экспорт шаблона.

4. Выберите Скачать в колонке Экспорт шаблона.

5. Найдите скачанный c портала ZIP-файл и распакуйте его в любую выбранную папку.

   В ZIP-файле содержатся JSON-файлы, содержащие шаблон и скрипты для развертывания шаблона.

Для экспорта шаблона выполните с помощью PowerShel следующие действия.

1. С помощью команды Connect-AzAccount войдите в подписку Azure и следуйте инструкциям на экране:

   Connect-AzAccount
   

2. Если удостоверение связано с несколькими подписками, установите активную подписку на подписку хранилища ключей, которую вы хотите переместить.

   $context = Get-AzSubscription -SubscriptionId <subscription-id>
   Set-AzContext $context
   

3. Экспортируйте шаблон исходного хранилища ключей. Эти команды сохраняют шаблон JSON в текущем каталоге.

   $resource = Get-AzResource `
     -ResourceGroupName <resource-group-name> `
     -ResourceName <key-vault-name> `
     -ResourceType Microsoft.KeyVault/vaults `
   Export-AzResourceGroup `
     -ResourceGroupName <resource-group-name> `
     -Resource $resource.ResourceId
   

Чтобы развернуть шаблон с помощью портала Azure, выполните следующие действия.

1. На портале Azure выберите Создать ресурс.

2. В строке Поиск в Marketplace введите развертывание шаблона и нажмите клавишу ВВОД.

3. Выберите Развертывание шаблона.

4. Нажмите кнопку создания.

5. Выберите Создать собственный шаблон в редакторе.

6. Выберите Загрузить файл и следуйте инструкциям, чтобы загрузить файл template.json, скачанный в предыдущем разделе.

7. В файле template.json назовите хранилище ключей, задав значение по умолчанию имени хранилища ключей. В этом примере устанавливается значение по умолчанию для имени mytargetaccountхранилища ключей.

   "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#",
   "contentVersion": "1.0.0.0",
   "parameters": {
       "vaults_name": {
           "defaultValue": "key-vault-name",
           "type": "String"
       }
   },
   

8. Измените свойство location в файле template.json на целевой регион. В этом примере значение целевого региона устанавливается равным centralus.

   "resources": [
       {
           "type": "Microsoft.KeyVault/vaults",
           "apiVersion": "2023-07-01",
           "name": "[parameters('vaults_name')]",
           "location": "centralus",
           ...
       },
       ...
   ]
   

   Чтобы получить коды расположения регионов, см. статью Расположения Azure. Код региона — это имя региона без пробелов, Central US = centralus.

9. Удалите ресурсы для ввода частной конечной точки в шаблоне.

   {
   "type": "Microsoft.KeyVault/vaults/privateEndpointConnections",
   ...
   }
   

10. Если вы настроили конечную точку службы в хранилище ключей в разделе networkAcl в разделе VirtualNetworkRules, добавьте правило для целевой подсети. Убедитесь, что флаг ignoreMissingVnetServiceEndpoint имеет значение False, поэтому IaC не сможет развернуть Key Vault в случае, если конечная точка службы не настроена в целевом регионе.

    parameter.json

    {
      "$schema": "https://schema.management.azure.com/schemas/2015-01-01/deploymentParameters.json#",
      "contentVersion": "1.0.0.0",
      "parameters": {
        "target_vnet_externalid": {
          "value": "virtualnetwork-externalid"
        },
        "target_subnet_name": {
          "value": "subnet-name"
        }
      }
    }
    

    _template.json

        "networkAcls": {
            "bypass": "AzureServices",
            "defaultAction": "Deny",
            "ipRules": [],
            "virtualNetworkRules": [
                {
                    "id": "[concat(parameters('target_vnet_externalid'), concat('/subnets/', parameters('target_subnet_name')]",
                    "ignoreMissingVnetServiceEndpoint": false
                }
            ]
        }
    

Чтобы развернуть шаблон с помощью PowerShell, выполните следующие действия.

1. В файле template.json назовите целевое хранилище ключей, задав значение по умолчанию имени хранилища ключей. В этом примере устанавливается значение по умолчанию для имени key-vault-nameхранилища ключей.

   "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#",
   "contentVersion": "1.0.0.0",
   "parameters": {
       "vaults_name": {
           "defaultValue": "key-vault-name",
           "type": "String"
       }
   },
   

2. Измените свойство location в файле template.json на целевой регион. В этом примере значение целевого региона устанавливается равным eastus.

   "resources": [
       {
           "type": "Microsoft.KeyVault/vaults",
           "apiVersion": "2023-07-01",
           "name": "[parameters('vaults_name')]",
           "location": "eastus",
           ...
       },
       ...
   ]
   

   Коды регионов можно получить, выполнив команду Get-AzLocation.

   Get-AzLocation | format-table
   

3. Удалите ресурсы для ввода частной конечной точки в шаблоне.

   {
   "type": "Microsoft.KeyVault/vaults/privateEndpointConnections",
   ...
   }
   

4. Если вы настроили конечную точку службы в хранилище ключей в разделе networkAcl в разделе VirtualNetworkRules, добавьте правило для целевой подсети. Убедитесь, что флаг ignoreMissingVnetServiceEndpoint имеет значение False, поэтому IaC не сможет развернуть Key Vault в случае, если конечная точка службы не настроена в целевом регионе.

   parameter.json

   {
     "$schema": "https://schema.management.azure.com/schemas/2015-01-01/deploymentParameters.json#",
     "contentVersion": "1.0.0.0",
     "parameters": {
       "target_vnet_externalid": {
         "value": "virtualnetwork-externalid"
       },
       "target_subnet_name": {
         "value": "subnet-name"
       }
     }
   }
   

   template.json

   "networkAcls": {
       "bypass": "AzureServices",
       "defaultAction": "Deny",
       "ipRules": [],
       "virtualNetworkRules": [
           {
               "id": "[concat(parameters('target_vnet_externalid'), concat('/subnets/', parameters('target_subnet_name')]",
               "ignoreMissingVnetServiceEndpoint": false
           }
       ]
   }
   

1. Сохраните файл template.json.

2. Введите или выберите значения свойств:

   • Подписка— выберите подписку Azure.

   • Группа ресурсов: щелкните Создать и укажите имя группы ресурсов.

   • Расположение. Выберите расположение Azure.

3. Выберите "Я согласен с условиями, указанными выше", а затем нажмите кнопку "Выбрать покупку".

4. Политики доступа и параметры конфигурации сети (частные конечные точки) необходимо повторно настроить в новом Хранилище ключей. Обратимое удаление и очистка должны быть перенастроены в новом хранилище ключей и параметрах автоматической очистки.

1. Получите идентификатор подписки, в которой нужно развернуть целевой общедоступный IP-адрес, с помощью Get-AzSubscription:

   Get-AzSubscription
   

2. Для развертывания шаблона используйте следующие команды.

   $resourceGroupName = Read-Host -Prompt "Enter the Resource Group name"
   $location = Read-Host -Prompt "Enter the location (i.e. eastus)"
   
   New-AzResourceGroup -Name $resourceGroupName -Location "$location"
   New-AzResourceGroupDeployment -ResourceGroupName $resourceGroupName -TemplateUri "<name of your local template file>"
   

3. Политики доступа и параметры конфигурации сети (частные конечные точки) необходимо повторно настроить в новом Хранилище ключей. Обратимое удаление и очистка должны быть перенастроены в новом хранилище ключей и в качестве параметров автоматической очистки.