İki kimlik doğrulama kimlik bilgisi kümesine sahip kaynaklar için gizli dizi döndürmeyi otomatikleştirme

Azure hizmetlerinde kimlik doğrulamanın en iyi yolu yönetilen kimlik kullanmaktır, ancak bunun bir seçenek olmadığı bazı senaryolar vardır. Böyle durumlarda erişim anahtarları veya parolalar kullanılır. Erişim anahtarlarını ve parolaları sık sık döndürmeniz gerekir.

Bu öğreticide, iki kimlik doğrulama kimlik bilgisi kümesi kullanan veritabanları ve hizmetler için gizli dizilerin düzenli olarak döndürülerek otomatikleştirilmesi gösterilmektedir. Özellikle, bu öğreticide Azure Key Vault'ta depolanan Azure Depolama hesabı anahtarlarının gizli dizi olarak nasıl döndürüldiği gösterilmektedir. Azure Event Grid bildirimi tarafından tetiklenen bir işlev kullanacaksınız.

Bu öğreticide açıklanan döndürme çözümü aşağıdadır:

Bu çözümde Azure Key Vault, depolama hesabı bireysel erişim anahtarlarını aynı gizli dizinin sürümleri olarak depolar ve sonraki sürümlerde birincil ve ikincil anahtar arasında değişiklik gösterir. Gizli anahtarın en son sürümünde bir erişim anahtarı depolandığında, alternatif anahtar yeniden oluşturulur ve gizli dizinin yeni sürümü olarak Key Vault'a eklenir. Çözüm, en yeni yeniden oluşturulan anahtara yenilemek için uygulamanın tüm döndürme döngüsünü sağlar.

1. Key Vault, gizli dizinin sona erme tarihinden otuz gün önce event Grid'de neredeyse süre sonu olayını yayımlar.
2. Event Grid olay aboneliklerini denetler ve olaya abone olan işlev uygulaması uç noktasını çağırmak için HTTP POST kullanır.
3. İşlev uygulaması alternatif anahtarı (en son anahtarı değil) tanımlar ve yeniden oluşturmak için depolama hesabını çağırır.
4. İşlev uygulaması, yeni oluşturulan anahtarı Azure Key Vault'a gizli dizinin yeni sürümü olarak ekler.

Önkoşullar

• Azure aboneliği. Ücretsiz bir tane oluşturun.
• Azure Cloud Shell. Bu öğreticide PowerShell env ile Cloud Shell portalı kullanılıyor
• Azure Key Vault.
• İki Azure depolama hesabı.

Mevcut bir anahtar kasanız ve mevcut depolama hesaplarınız yoksa bu dağıtım bağlantısını kullanabilirsiniz:

1. Kaynak grubu'nun altında Yeni oluştur’u seçin. Grup kasası döndürmesini adlandırın ve Tamam'ı seçin.

2. Gözden geçir ve oluştur’u seçin.

3. Oluştur'u belirleyin.

   

Artık bir anahtar kasanız ve iki depolama hesabınız olacak. Bu komutu çalıştırarak Azure CLI veya Azure PowerShell'de bu kurulumu doğrulayabilirsiniz:

az resource list -o table -g vaultrotation

Get-AzResource -Name 'vaultrotation*' | Format-Table

Sonuç şu çıkışa benzer olacaktır:

Name                     ResourceGroup         Location    Type                               Status
-----------------------  --------------------  ----------  ---------------------------------  --------
vaultrotation-kv         vaultrotation      westus      Microsoft.KeyVault/vaults
vaultrotationstorage     vaultrotation      westus      Microsoft.Storage/storageAccounts
vaultrotationstorage2    vaultrotation      westus      Microsoft.Storage/storageAccounts

Anahtar döndürme işlevini oluşturma ve dağıtma

Ardından, gerekli diğer bileşenlere ek olarak sistem tarafından yönetilen bir kimliğe sahip bir işlev uygulaması oluşturacaksınız. Depolama hesabı anahtarları için döndürme işlevini de dağıtacaksınız.

İşlev uygulaması döndürme işlevi aşağıdaki bileşenleri ve yapılandırmayı gerektirir:

• Azure Uygulaması Hizmeti planı
• İşlev uygulaması tetikleyicilerini yönetmek için bir depolama hesabı
• Key Vault'ta gizli dizilere erişmek için erişim ilkesi
• Depolama hesabı erişim anahtarlarına erişebilmesi için işlev uygulamasına atanan Depolama Hesabı Anahtarı Operatör Hizmeti rolü
• Olay tetikleyicisi ve HTTP tetikleyicisi (isteğe bağlı döndürme) ile anahtar döndürme işlevi
• SecretNearExpiry olayı için Event Grid olay aboneliği

1. Azure şablonu dağıtım bağlantısını seçin:

   

2. Kaynak grubu listesinde kasa döndürme'yi seçin.

3. Depolama Hesabı RG kutusuna, depolama hesabınızın bulunduğu kaynak grubunun adını girin. Depolama hesabınız zaten anahtar döndürme işlevini dağıtabileceğiniz aynı kaynak grubunda bulunuyorsa [resourceGroup().name] varsayılan değerini koruyun.

4. Depolama Hesabı Adı kutusuna, döndürülecek erişim anahtarlarını içeren depolama hesabının adını girin. Önkoşullar'da oluşturulan depolama hesabını kullanıyorsanız varsayılan [concat(resourceGroup().name, 'storage')] değerini koruyun.

5. Key Vault RG kutusuna anahtar kasanızın bulunduğu kaynak grubunun adını girin. Anahtar kasanız anahtar döndürme işlevini dağıtabileceğiniz aynı kaynak grubunda zaten varsa [resourceGroup().name] varsayılan değerini koruyun.

6. Anahtar Kasası Adı kutusuna anahtar kasasının adını girin. Önkoşullar'da oluşturulan anahtar kasasını kullanıyorsanız varsayılan [concat(resourceGroup().name, '-kv')] değerini koruyun.

7. App Service Plan Türü kutusunda barındırma planı'nı seçin. Premium Plan yalnızca anahtar kasanız güvenlik duvarının arkasında olduğunda gereklidir.

8. İşlev Uygulaması Adı kutusuna işlev uygulamasının adını girin.

9. Gizli Dizi Adı kutusuna erişim anahtarlarını depoladığınız gizli dizinin adını girin.

10. Depo URL'si kutusuna işlev kodunun GitHub konumunu girin. Bu öğreticide kullanabilirsiniz https://github.com/Azure-Samples/KeyVault-Rotation-StorageAccountKey-PowerShell.git .

11. Gözden geçir ve oluştur’u seçin.

12. Oluştur'u belirleyin.

    

Önceki adımları tamamladıktan sonra depolama hesabınız, sunucu grubunuz, işlev uygulamanız ve Application Insights'larınız olur. Dağıtım tamamlandığında şu sayfayı görürsünüz:

Döndürme işlevinin dağıtım şablonlarını ve kodunu Azure Örnekleri'nde bulabilirsiniz.

Depolama hesabı erişim anahtarlarını Key Vault gizli dizilerine ekleme

İlk olarak, kullanıcı sorumlunuza gizli dizileri yönetme izinleri vermek için erişim ilkenizi ayarlayın:

az keyvault set-policy --upn <email-address-of-user> --name vaultrotation-kv --secret-permissions set delete get list

Set-AzKeyVaultAccessPolicy -UserPrincipalName <email-address-of-user> --name vaultrotation-kv -PermissionsToSecrets set,delete,get,list

Artık değeri depolama hesabı erişim anahtarı olan yeni bir gizli dizi oluşturabilirsiniz. Ayrıca, döndürme işlevinin depolama hesabındaki anahtarı yeniden oluşturabilmesi için gizli diziye eklemek için depolama hesabı kaynak kimliği, gizli dizi geçerlilik süresi ve anahtar kimliği gerekir.

Depolama hesabı kaynak kimliğini belirleyin. Bu değeri özelliğinde id bulabilirsiniz.

az storage account show -n vaultrotationstorage

Get-AzStorageAccount -Name vaultrotationstorage -ResourceGroupName vaultrotation | Select-Object -Property *

Anahtar değerlerini alabilmeniz için depolama hesabı erişim anahtarlarını listeleyin:

az storage account keys list -n vaultrotationstorage

Get-AzStorageAccountKey -Name vaultrotationstorage -ResourceGroupName vaultrotation

Anahtar kasasına 60 günlük geçerlilik süresi, depolama hesabı kaynak kimliği ve tanıtım amacıyla hemen sona erme tarihini yarın olarak ayarlamak üzere gizli dizi ekleyin. ve storageAccountResourceIdiçin key1Value aldığınız değerleri kullanarak bu komutu çalıştırın:

tomorrowDate=$(date -u -d "+1 day" +"%Y-%m-%dT%H:%M:%SZ")
az keyvault secret set --name storageKey --vault-name vaultrotation-kv --value <key1Value> --tags "CredentialId=key1" "ProviderAddress=<storageAccountResourceId>" "ValidityPeriodDays=60" --expires $tomorrowDate

$tomorrowDate = (Get-Date).AddDays(+1).ToString('yyy-MM-ddTHH:mm:ssZ')
$secretValue = ConvertTo-SecureString -String '<key1Value>' -AsPlainText -Force
$tags = @{
    CredentialId='key1'
    ProviderAddress='<storageAccountResourceId>'
    ValidityPeriodDays='60'
}
Set-AzKeyVaultSecret -Name storageKey -VaultName vaultrotation-kv -SecretValue $secretValue -Tag $tags -Expires $tomorrowDate

Bu gizli dizi birkaç dakika içinde olayı tetikler SecretNearExpiry . Bu olay da süre sonu 60 güne ayarlanmış gizli diziyi döndürmek için işlevi tetikler. Bu yapılandırmada 'SecretNearExpiry' olayı her 30 günde bir tetiklenir (süre dolmadan 30 gün önce) ve döndürme işlevi anahtar1 ile anahtar2 arasında dönüşe geçiş yapar.

Depolama hesabı anahtarını ve Key Vault gizli dizisini alarak erişim anahtarlarının yeniden üretildiğini doğrulayabilir ve bunları karşılaştırabilirsiniz.

Gizli dizi bilgilerini almak için şu komutu kullanın:

az keyvault secret show --vault-name vaultrotation-kv --name storageKey

Get-AzKeyVaultSecret -VaultName vaultrotation-kv -Name storageKey -AsPlainText

Alternatif keyName olarak güncelleştirildiğini CredentialId ve yeniden oluşturulduğunu value fark edin:

Değerleri karşılaştırmak için erişim anahtarlarını alın:

az storage account keys list -n vaultrotationstorage 

Get-AzStorageAccountKey -Name vaultrotationstorage -ResourceGroupName vaultrotation

Anahtarın value anahtar kasasındaki gizli diziyle aynı olduğuna dikkat edin:

Birden çok depolama hesabı için mevcut döndürme işlevini kullanma

Birden çok depolama hesabının anahtarlarını döndürmek için aynı işlev uygulamasını yeniden kullanabilirsiniz.

Mevcut bir işleve döndürmek üzere depolama hesabı anahtarları eklemek için şunları yapmanız gerekir:

• Depolama hesabı erişim anahtarlarına erişebilmesi için işlev uygulamasına atanan Depolama Hesabı Anahtarı İşleci Hizmeti rolü.
• SecretNearExpiry olayı için event Grid olay aboneliği.

1. Azure şablonu dağıtım bağlantısını seçin:

   

2. Kaynak grubu listesinde kasa döndürme'yi seçin.

3. Depolama Hesabı RG kutusuna, depolama hesabınızın bulunduğu kaynak grubunun adını girin. Depolama hesabınız zaten anahtar döndürme işlevini dağıtabileceğiniz aynı kaynak grubunda bulunuyorsa [resourceGroup().name] varsayılan değerini koruyun.

4. Depolama Hesabı Adı kutusuna, döndürülecek erişim anahtarlarını içeren depolama hesabının adını girin.

5. Key Vault RG kutusuna anahtar kasanızın bulunduğu kaynak grubunun adını girin. Anahtar kasanız anahtar döndürme işlevini dağıtabileceğiniz aynı kaynak grubunda zaten varsa [resourceGroup().name] varsayılan değerini koruyun.

6. Anahtar Kasası Adı kutusuna anahtar kasasının adını girin.

7. İşlev Uygulaması Adı kutusuna işlev uygulamasının adını girin.

8. Gizli Dizi Adı kutusuna erişim anahtarlarını depoladığınız gizli dizinin adını girin.

9. Gözden geçir ve oluştur’u seçin.

10. Oluştur'u belirleyin.

    

Key Vault gizli dizilerine depolama hesabı erişim anahtarı ekleme

Depolama hesabı kaynak kimliğini belirleyin. Bu değeri özelliğinde id bulabilirsiniz.

az storage account show -n vaultrotationstorage2

Get-AzStorageAccount -Name vaultrotationstorage -ResourceGroupName vaultrotation | Select-Object -Property *

Key2 değerini alabilmeniz için depolama hesabı erişim anahtarlarını listeleyin:

az storage account keys list -n vaultrotationstorage2

Get-AzStorageAccountKey -Name vaultrotationstorage2 -ResourceGroupName vaultrotation

Anahtar kasasına 60 günlük geçerlilik süresi, depolama hesabı kaynak kimliği ve tanıtım amacıyla hemen sona erme tarihini yarın olarak ayarlamak üzere gizli dizi ekleyin. ve storageAccountResourceIdiçin key2Value aldığınız değerleri kullanarak bu komutu çalıştırın:

tomorrowDate=$(date -u -d "+1 day" +"%Y-%m-%dT%H:%M:%SZ")
az keyvault secret set --name storageKey2 --vault-name vaultrotation-kv --value <key2Value> --tags "CredentialId=key2" "ProviderAddress=<storageAccountResourceId>" "ValidityPeriodDays=60" --expires $tomorrowDate

$tomorrowDate = (get-date).AddDays(+1).ToString("yyyy-MM-ddTHH:mm:ssZ")
$secretValue = ConvertTo-SecureString -String '<key1Value>' -AsPlainText -Force
$tags = @{
    CredentialId='key2';
    ProviderAddress='<storageAccountResourceId>';
    ValidityPeriodDays='60'
}
Set-AzKeyVaultSecret -Name storageKey2 -VaultName vaultrotation-kv -SecretValue $secretValue -Tag $tags -Expires $tomorrowDate

Gizli dizi bilgilerini almak için şu komutu kullanın:

az keyvault secret show --vault-name vaultrotation-kv --name storageKey2

Get-AzKeyVaultSecret -VaultName vaultrotation-kv -Name storageKey2 -AsPlainText

Alternatif keyName olarak güncelleştirildiğini CredentialId ve yeniden oluşturulduğunu value fark edin:

Değerleri karşılaştırmak için erişim anahtarlarını alın:

az storage account keys list -n vaultrotationstorage 

Get-AzStorageAccountKey -Name vaultrotationstorage -ResourceGroupName vaultrotation

Anahtarın value anahtar kasasındaki gizli diziyle aynı olduğuna dikkat edin:

Gizli dizi için döndürmeyi devre dışı bırakma

Yalnızca bu gizli dizi için Event Grid aboneliğini silerek gizli dizi döndürmeyi devre dışı bırakabilirsiniz. Azure PowerShell Remove-AzEventGridSubscription cmdlet'ini veya Azure CLI az event grid event--subscription delete komutunu kullanın.

İki kimlik bilgisi kümesi için Key Vault döndürme işlevleri

İki kimlik bilgisi kümesi ve kullanıma hazır birkaç işlev için döndürme işlevleri şablonu:

• Proje şablonu
• Redis Önbelleği
• Depolama Hesabı
• Azure Cosmos DB

Sonraki adımlar

• Öğretici: Bir kimlik bilgisi kümesi için gizli dizi döndürme
• Genel Bakış: Azure Event Grid ile Key Vault'un izlenmesi
• Nasıl yapılır: Azure portalında ilk işlevinizi oluşturma
• Nasıl yapılır: Key Vault gizli dizisi değiştiğinde e-posta alma
• Başvuru: Azure Key Vault için Azure Event Grid olay şeması