Verwalten von Speicherkonto-Zugriffsschlüsseln

Führen Sie folgende Schritte durch, um die Zugriffsschlüssel oder Verbindungszeichenfolge Ihres Speicherkontos aus dem Azure-Portal anzuzeigen oder zu kopieren:

1. Wechseln Sie im portal Azure zu Ihrem Speicherkonto.

2. Wählen Sie im Ressourcenmenü unter Sicherheit und Netzwerk die Option Zugriffsschlüssel aus. Ihre Kontozugriffsschlüssel sowie die vollständige Verbindungszeichenfolge für jeden Schlüssel werden angezeigt.

3. Wählen Sie Schlüssel anzeigen aus, um Ihre Zugriffsschlüssel und Verbindungszeichenfolgen anzuzeigen und Schaltflächen zum Kopieren der Werte zu aktivieren.

4. Suchen Sie unter key1 nach dem Wert für Schlüssel. Wählen Sie die Schaltfläche Kopieren aus, um den Kontoschlüssel zu kopieren.

5. Alternativ können Sie die gesamte Verbindungszeichenfolge kopieren. Suchen Sie unter key1 nach dem Wert für Verbindungszeichenfolge. Wählen Sie die Schaltfläche Copy aus, um die Verbindungszeichenfolge zu kopieren.

   

Rufen Sie den Befehl Get-AzStorageAccountKey auf, um Ihre Kontozugriffsschlüssel mit PowerShell abzurufen.

Im folgenden Beispiel wird der erste Schlüssel abgerufen. Verwenden Sie Value[1] anstelle von Value[0], um den zweiten Schlüssel abzurufen. Denken Sie daran, die Platzhalterwerte in den spitzen Klammern durch Ihre eigenen Werte zu ersetzen.

$storageAccountKey = `
    (Get-AzStorageAccountKey
    -ResourceGroupName <resource-group> `
    -Name <storage-account>).Value[0]

Rufen Sie zum Auflisten ihrer Kontozugriffsschlüssel mit Azure CLI den Befehl az storage account keys list auf, wie im folgenden Beispiel gezeigt. Denken Sie daran, die Platzhalterwerte in den spitzen Klammern durch Ihre eigenen Werte zu ersetzen.

az storage account keys list \
  --resource-group <resource-group> \
  --account-name <storage-account>

So wechseln Sie im Azure-Portal die Zugriffsschlüssel für Ihr Speicherkonto:

1. Aktualisieren Sie die Verbindungszeichenfolgen im Anwendungscode, sodass sie auf den sekundären Zugriffsschlüssel des Speicherkontos verweisen.
2. Navigieren Sie im portal Azure zu Ihrem Speicherkonto.
3. Wählen Sie unter Sicherheit + Netzwerk die Option Zugriffsschlüssel aus.
4. Klicken Sie auf die Schaltfläche Neu generieren neben dem primären Zugriffsschlüssel, um den primären Zugriffsschlüssel für Ihr Speicherkonto neu zu generieren.
5. Aktualisieren Sie die Verbindungszeichenfolgen in Ihrem Code, um auf den neuen primären Zugriffsschlüssel zu verweisen.
6. Generieren Sie den sekundären Zugriffsschlüssel auf die gleiche Weise erneut.

Gehen Sie wie folgt vor, um Ihre Speicherkonto-Zugriffsschlüssel mit PowerShell zu rotieren:

1. Aktualisieren Sie die Verbindungszeichenfolgen im Anwendungscode, sodass sie auf den sekundären Zugriffsschlüssel des Speicherkontos verweisen.

2. Rufen Sie den Befehl New-AzStorageAccountKey auf, um den primären Zugriffsschlüssel neu zu generieren, wie im folgenden Beispiel zu sehen:

   New-AzStorageAccountKey -ResourceGroupName <resource-group> `
     -Name <storage-account> `
     -KeyName key1
   

3. Aktualisieren Sie die Verbindungszeichenfolgen in Ihrem Code, um auf den neuen primären Zugriffsschlüssel zu verweisen.

4. Generieren Sie den sekundären Zugriffsschlüssel auf die gleiche Weise erneut. Verwenden Sie key2 anstelle von key1 als Schlüsselnamen, um den sekundären Schlüssel neu zu generieren.

So wechseln Sie die Zugriffsschlüssel Ihres Speicherkontos mithilfe der Azure CLI:

1. Aktualisieren Sie die Verbindungszeichenfolgen im Anwendungscode, sodass sie auf den sekundären Zugriffsschlüssel des Speicherkontos verweisen.

2. Rufen Sie den Befehl az storage account keys renew auf, um den primären Zugriffsschlüssel neu zu generieren, wie im folgenden Beispiel zu sehen:

   az storage account keys renew \
     --resource-group <resource-group> \
     --account-name <storage-account> \
     --key primary
   

3. Aktualisieren Sie die Verbindungszeichenfolgen in Ihrem Code, um auf den neuen primären Zugriffsschlüssel zu verweisen.

4. Generieren Sie den sekundären Zugriffsschlüssel auf die gleiche Weise erneut. Verwenden Sie secondary anstelle von primary als Schlüsselnamen, um den sekundären Schlüssel neu zu generieren.

So erstellen Sie eine Schlüsselablaufrichtlinie im Azure-Portal:

1. Wechseln Sie im portal Azure zu Ihrem Speicherkonto.
2. Wählen Sie unter Sicherheit + Netzwerk die Option Zugriffsschlüssel aus. Ihre Kontozugriffsschlüssel sowie die vollständige Verbindungszeichenfolge für jeden Schlüssel werden angezeigt.
3. Wählen Sie die Schaltfläche Rotationserinnerung festlegen aus. Wenn die Schaltfläche Rotationserinnerung festlegen abgeblendet ist, müssen Sie jeden Ihrer Schlüssel rotieren. Führen Sie die unter Manuelles Rotieren von Zugriffsschlüsseln beschriebenen Schritte aus, um die Schlüssel zu rotieren.
4. Aktivieren Sie unter Eine Erinnerung an die Zugriffsschlüsselrotation festlegen das Kontrollkästchen Die Erinnerung an die Schlüsselrotation aktivieren, und legen Sie eine Häufigkeit für die Erinnerung fest.
5. Wählen Sie Speichern aus.

Verwenden Sie zum Erstellen einer Richtlinie für den Schlüsselablauf mit PowerShell den Befehl Set-AzStorageAccount, und legen Sie den Parameter -KeyExpirationPeriodInDay auf das Intervall in Tagen fest, nach dem der Zugriffsschlüssel rotiert werden muss.

Die KeyCreationTime-Eigenschaft gibt an, wann die Kontozugriffsschlüssel erstellt oder zuletzt rotiert wurden. Ältere Konten weisen möglicherweise einen NULL-Wert für die KeyCreationTime-Eigenschaft auf, weil sie noch nicht festgelegt wurde. Wenn die KeyCreationTime-Eigenschaft NULL ist, können Sie erst dann eine Schlüsselablaufrichtlinie erstellen, wenn Sie die Schlüssel rotieren. Aus diesem Grund ist es eine gute Idee, die KeyCreationTime-Eigenschaft für das Speicherkonto zu überprüfen, bevor Sie versuchen, die Ablaufrichtlinie für den Schlüssel festzulegen.

Im folgenden Beispiel wird überprüft, ob die KeyCreationTime-Eigenschaft für jeden Schlüssel festgelegt wurde. Wenn die KeyCreationTime-Eigenschaft einen Wert aufweist, wird eine Ablaufrichtlinie für den Schlüssel für das Speicherkonto erstellt. Denken Sie daran, die Platzhalterwerte in den spitzen Klammern durch Ihre eigenen Werte zu ersetzen.

$rgName = "<resource-group>"
$accountName = "<account-name>"

$account = Get-AzStorageAccount -ResourceGroupName $rgName -Name $accountName

# Check whether the KeyCreationTime property has a value for each key 
# before creating the key expiration policy.
if ($account.KeyCreationTime.Key1 -eq $null -or $account.KeyCreationTime.Key2 -eq $null)
{
    Write-Host("You must regenerate both keys at least once before setting expiration policy")
}
else
{
    $account = Set-AzStorageAccount -ResourceGroupName $rgName -Name `
        $accountName  -KeyExpirationPeriodInDay 60
}

Sie können die Schlüsselablaufrichtlinie auch beim Erstellen eines Speicherkontos festlegen, indem Sie den Parameter -KeyExpirationPeriodInDay des Befehls New-AzStorageAccount festlegen.

Überprüfen Sie die KeyPolicy-Eigenschaft des Speicherkontos, um zu überprüfen, ob die Richtlinie angewendet wurde.

$account.KeyPolicy

Verwenden Sie zum Erstellen einer Schlüsselablaufrichtlinie mit Azure CLI den Befehl az storage account update und legen Sie den Parameter --key-exp-days auf das Intervall in Tagen fest, bis die Zugriffstaste gedreht werden soll.

Die keyCreationTime-Eigenschaft gibt an, wann die Kontozugriffsschlüssel erstellt oder zuletzt rotiert wurden. Ältere Konten weisen möglicherweise einen NULL-Wert für die keyCreationTime-Eigenschaft auf, weil sie noch nicht festgelegt wurde. Wenn die keyCreationTime-Eigenschaft NULL ist, können Sie erst dann eine Schlüsselablaufrichtlinie erstellen, wenn Sie die Schlüssel rotieren. Aus diesem Grund ist es eine gute Idee, die keyCreationTime-Eigenschaft für das Speicherkonto zu überprüfen, bevor Sie versuchen, die Ablaufrichtlinie für den Schlüssel festzulegen.

Im folgenden Beispiel wird überprüft, ob die keyCreationTime-Eigenschaft für jeden Schlüssel festgelegt wurde. Wenn die keyCreationTime-Eigenschaft einen Wert aufweist, wird eine Ablaufrichtlinie für den Schlüssel für das Speicherkonto erstellt. Denken Sie daran, die Platzhalterwerte in den spitzen Klammern durch Ihre eigenen Werte zu ersetzen.

key1_create_time=$(az storage account show \
    --name <storage-account> \
    --resource-group <resource-group> \
    --query 'keyCreationTime.key1' \
    --output tsv)
key2_create_time=$(az storage account show \
    --name <storage-account> \
    --resource-group <resource-group> \
    --query 'keyCreationTime.key2' \
    --output tsv)

if [ -z "$key1_create_time" ] || [ -z "$key2_create_time" ]; 
then
    echo "You must regenerate both keys at least once before setting expiration policy"
else
    az storage account update \
        --name <storage-account> \
        --resource-group <resource-group> \
        --key-exp-days 60
fi

Sie können die Schlüsselablaufrichtlinie auch beim Erstellen eines Speicherkontos festlegen, indem Sie den Parameter --key-exp-days des Befehls az storage account create festlegen.

Um zu überprüfen, ob die Richtlinie angewendet wurde, rufen Sie den Befehl az storage account show auf, und verwenden Sie die Zeichenfolge {KeyPolicy:keyPolicy} für den Parameter -query.

az storage account show \
  -n <storage-account-name> \
  -g <resource-group-name> \
  --query "{KeyPolicy:keyPolicy}"

Der Ablaufzeitraum des Schlüssels wird in der Konsolenausgabe angezeigt.

{
  "KeyPolicy": {
    "enableAutoRotation": false,
    "keyExpirationPeriodInDays": 60
  }
}