管理存储帐户访问密钥

若要从 Azure 门户查看和复制存储帐户访问密钥或连接字符串，请执行以下步骤：

1. 在 Azure 门户中，转到存储帐户。

2. 在资源菜单中的“安全性 + 网络”下，选择“访问密钥”。 将显示您的帐户访问密钥，以及每个密钥的完整连接字符串。

3. 选择“显示密钥”，即可显示访问密钥和连接字符串，以及允许按钮复制值。

4. 在“key1”下找到“密钥”的值。 选择“复制”按钮以复制帐户密钥。

5. 或者，您可以复制整个连接字符串。 在“key1”下，找到“连接字符串”值。 选择 Copy 按钮，复制连接字符串。

   

若要使用 PowerShell 检索帐户访问密钥，请调用 Get-AzStorageAccountKey 命令。

以下示例将检索第一个密钥。 若要检索第二个密钥，请使用 Value[1] 而不是 Value[0]。 请记得将括号中的占位符值替换为你自己的值。

$storageAccountKey = `
    (Get-AzStorageAccountKey
    -ResourceGroupName <resource-group> `
    -Name <storage-account>).Value[0]

若要使用 Azure CLI 列出帐户访问密钥，请调用 az 存储帐户密钥列表命令，如以下示例所示。 请记得将括号中的占位符值替换为你自己的值。

az storage account keys list \
  --resource-group <resource-group> \
  --account-name <storage-account>

若要在 Azure 门户中轮换存储帐户访问密钥，请执行以下操作：

1. 更新应用程序代码中的连接字符串以引用存储帐户的辅助访问密钥。
2. 在 Azure 门户中导航到存储帐户。
3. 在“安全性 + 网络”下，选择“访问密钥” 。
4. 若要为存储帐户重新生成主访问密钥，请选择主访问密钥旁边的“重新生成”按钮。
5. 更新代码中的连接字符串以引用新的主访问密钥。
6. 以相同方式重新生成辅助访问密钥。

使用 PowerShell 轮换存储帐户访问密钥：

1. 更新应用程序代码中的连接字符串以引用存储帐户的辅助访问密钥。

2. 调用 New-AzStorageAccountKey 命令以重新生成主访问密钥，如以下示例中所示：

   New-AzStorageAccountKey -ResourceGroupName <resource-group> `
     -Name <storage-account> `
     -KeyName key1
   

3. 更新代码中的连接字符串以引用新的主访问密钥。

4. 以相同方式重新生成辅助访问密钥。 若要重新生成辅助密钥，请将 key2（而不是 key1）用作密钥名称。

若要使用Azure CLI轮换存储帐户访问密钥，请执行以下操作：

1. 更新应用程序代码中的连接字符串以引用存储帐户的辅助访问密钥。

2. 调用 az storage account keys renew 命令以重新生成主访问密钥，如以下示例中所示：

   az storage account keys renew \
     --resource-group <resource-group> \
     --account-name <storage-account> \
     --key primary
   

3. 更新代码中的连接字符串以引用新的主访问密钥。

4. 以相同方式重新生成辅助访问密钥。 若要重新生成辅助密钥，请将 secondary（而不是 primary）用作密钥名称。

若要在Azure门户中创建密钥过期策略，请执行以下操作：

1. 在 Azure 门户中，转到存储帐户。
2. 在“安全性 + 网络”下，选择“访问密钥” 。 将显示您的帐户访问密钥，以及每个密钥的完整连接字符串。
3. 选择“设置轮换提醒”按钮。 如果“设置轮换提醒”按钮灰显，则需要轮换每个密钥。 按照手动轮换访问密钥中所述的步骤轮换密钥。
4. 在“设置提醒以轮换访问密钥”中，选择“启用密钥轮换提醒”复选框，并设置提醒的频率。
5. 选择“保存”。

若要使用 PowerShell 创建密钥过期策略，请使用 Set-AzStorageAccount 命令，并将 -KeyExpirationPeriodInDay 参数设置为应轮换访问密钥的间隔天数。

属性 KeyCreationTime 指示帐户访问密钥的创建时间或上次轮换时间。 较旧帐户的 KeyCreationTime 属性的值可能为 null，因为尚未设置。 如果 KeyCreationTime 属性为 null，则不能在轮换密钥之前创建密钥过期策略。 因此，建议在尝试设置密钥过期策略之前检查存储帐户的 KeyCreationTime 属性。

以下示例检查是否已针对每个密钥设置 KeyCreationTime 属性。 如果 KeyCreationTime 属性具有值，则为存储帐户创建密钥过期策略。 请记得将括号中的占位符值替换为你自己的值。

$rgName = "<resource-group>"
$accountName = "<account-name>"

$account = Get-AzStorageAccount -ResourceGroupName $rgName -Name $accountName

# Check whether the KeyCreationTime property has a value for each key 
# before creating the key expiration policy.
if ($account.KeyCreationTime.Key1 -eq $null -or $account.KeyCreationTime.Key2 -eq $null)
{
    Write-Host("You must regenerate both keys at least once before setting expiration policy")
}
else
{
    $account = Set-AzStorageAccount -ResourceGroupName $rgName -Name `
        $accountName  -KeyExpirationPeriodInDay 60
}

创建存储帐户时，还可以通过设置 -KeyExpirationPeriodInDay 命令的 参数来设置密钥过期策略。

若要验证是否已应用该策略，请查看存储帐户的 KeyPolicy 属性。

$account.KeyPolicy

若要创建具有Azure CLI的密钥过期策略，请使用 az 存储帐户更新命令并将 --key-exp-days 参数设置为间隔（以天为单位，直到轮换访问密钥）。

属性 keyCreationTime 指示帐户访问密钥的创建时间或上次轮换时间。 较旧帐户的 keyCreationTime 属性的值可能为 null，因为尚未设置。 如果 keyCreationTime 属性为 null，则不能在轮换密钥之前创建密钥过期策略。 因此，建议在尝试设置密钥过期策略之前检查存储帐户的 keyCreationTime 属性。

以下示例检查是否已针对每个密钥设置 keyCreationTime 属性。 如果 keyCreationTime 属性具有值，则为存储帐户创建密钥过期策略。 请记得将括号中的占位符值替换为你自己的值。

key1_create_time=$(az storage account show \
    --name <storage-account> \
    --resource-group <resource-group> \
    --query 'keyCreationTime.key1' \
    --output tsv)
key2_create_time=$(az storage account show \
    --name <storage-account> \
    --resource-group <resource-group> \
    --query 'keyCreationTime.key2' \
    --output tsv)

if [ -z "$key1_create_time" ] || [ -z "$key2_create_time" ]; 
then
    echo "You must regenerate both keys at least once before setting expiration policy"
else
    az storage account update \
        --name <storage-account> \
        --resource-group <resource-group> \
        --key-exp-days 60
fi

创建存储帐户时，还可以通过设置 --key-exp-days 命令的 参数来设置密钥过期策略。

若要验证已应用的策略，请调用 az storage account show 命令，并在 {KeyPolicy:keyPolicy} 参数中使用字符串 -query。

az storage account show \
  -n <storage-account-name> \
  -g <resource-group-name> \
  --query "{KeyPolicy:keyPolicy}"

密钥有效期会显示在控制台输出中。

{
  "KeyPolicy": {
    "enableAutoRotation": false,
    "keyExpirationPeriodInDays": 60
  }
}