Schnellstart: Erstellen Sie mit Bicep einen Azure Key Vault und ein Zertifikat

Azure Key Vault ist ein Clouddienst, der einen sicheren Speicher für geheime Schlüssel bereitstellt, z. B. Schlüssel, Kennwörter und Zertifikate. In dieser Schnellstartanleitung geht es um die Bereitstellung einer Bicep-Datei zum Erstellen eines Schlüsseltresors und eines selbstsignierten Zertifikats.

Bicep ist eine domänenspezifische Sprache (Domain-Specific Language, DSL), die eine deklarative Syntax zur Bereitstellung von Azure-Ressourcen verwendet. Sie bietet eine präzise Syntax, zuverlässige Typsicherheit und Unterstützung für die Wiederverwendung von Code. Bicep bietet die beste Entwicklungserfahrung für Ihre Infrastructure-as-Code-Lösungen in Azure.

Voraussetzungen

• Wenn Sie noch kein Azure-Abonnement haben, erstellen Sie ein kostenloses Konto, bevor Sie beginnen.

Überprüfen Sie die Bicep-Datei

Die in dieser Schnellstartanleitung verwendete Vorlage stammt von der Seite mit den Azure-Schnellstartvorlagen.

@description('The name of the key vault to be created.')
param vaultName string

@description('The name of the certificate to be created.')
param certificateName string

@description('The location of the resources.')
param location string = resourceGroup().location

@description('The SKU of the vault to be created.')
@allowed([
  'standard'
  'premium'
])
param skuName string = 'standard'

@description('The common name (subject) for the self-signed certificate. Defaults to the certificate name.')
param certificateCommonName string = certificateName

@description('The validity of the certificate in months.')
@minValue(1)
@maxValue(1200)
param validityInMonths int = 12

resource vault 'Microsoft.KeyVault/vaults@2023-07-01' = {
  name: vaultName
  location: location
  properties: {
    enableRbacAuthorization: true
    enableSoftDelete: true
    softDeleteRetentionInDays: 90
    enablePurgeProtection: true
    enabledForDeployment: false
    enabledForDiskEncryption: false
    enabledForTemplateDeployment: false
    tenantId: subscription().tenantId
    sku: {
      name: skuName
      family: 'A'
    }
    networkAcls: {
      defaultAction: 'Allow'
      bypass: 'AzureServices'
    }
  }
}

// Key Vault certificates are a data-plane concept and cannot be created
// directly through ARM. Use the public Bicep registry module which wraps
// `az keyvault certificate create` in a deployment script (it provisions a
// user-assigned managed identity with the Key Vault Certificate Officer
// role on the vault for the duration of the deployment).
module certificate 'br/public:deployment-scripts/create-kv-certificate:3.4.2' = {
  name: 'create-${certificateName}'
  params: {
    akvName: vault.name
    location: location
    certificateNames: [certificateName]
    certificateCommonNames: [certificateCommonName]
    validity: validityInMonths
  }
}

output location string = location
output name string = vault.name
output resourceGroupName string = resourceGroup().name
output resourceId string = vault.id
output certificateSecretId string = certificate.outputs.certificateSecretIds[0][0]
output certificateThumbprint string = certificate.outputs.certificateThumbprintHexs[0][0]

In der Bicep-Datei sind zwei Azure-Ressourcen definiert:

• Microsoft.KeyVault/vaults: einen Azure-Schlüsseltresor mit aktivierter Azure-RBAC-Autorisierung erstellen (enableRbacAuthorization: true).
• Microsoft. Ressourcen/Bereitstellungen: Geschachtelte Bereitstellung, die das create-kv-certificate Registrierungsmodul ausführt, um ein selbstsigniertes Zertifikat im Tresor zu erstellen. Zertifikate sind eine Datenebenenressource und können nicht direkt mit einem ARM-Ressourcentyp erstellt werden.

Bereitstellung der Bicep-Datei

1. Speichern Sie die Bicep-Datei als main.bicep auf Ihrem lokalen Computer.

2. Stellen Sie die Bicep-Datei entweder mit der Azure CLI oder mit Azure PowerShell bereit.

   • CLI
   • PowerShell

   az group create --name myResourceGroup --location eastus
   az deployment group create --resource-group myResourceGroup --template-file main.bicep --parameters vaultName=<vault-name> certificateName=myCert
   

   Note

   Ersetzen Sie <vault-name> durch den Namen des Schlüsseltresors, der innerhalb des vault.azure.net-Namespaces global eindeutig sein muss.

   Nach Abschluss der Bereitstellung sollte eine Meldung angezeigt werden, die angibt, dass die Bereitstellung erfolgreich war.

Zuweisen einer RBAC-Rolle für Key Vault

Der von dieser Bicep-Datei erstellte Schlüsseltresor verwendet Azure RBAC für die Autorisierung. Um über die Datenebene auf Zertifikate zuzugreifen (z. B. mithilfe der Azure CLI oder Azure PowerShell), müssen Sie sich selbst eine entsprechende Rolle zuweisen.

echo "Enter your key vault name:" &&
read keyVaultName &&
az role assignment create --role "Key Vault Certificates Officer" \
    --assignee-object-id $(az ad signed-in-user show --query id -o tsv) \
    --scope $(az keyvault show --name $keyVaultName --query id -o tsv)

$keyVaultName = Read-Host -Prompt "Enter your key vault name"
$kvId = (Get-AzKeyVault -VaultName $keyVaultName).ResourceId
$userId = (Get-AzADUser -SignedIn).Id
New-AzRoleAssignment -ObjectId $userId -RoleDefinitionName "Key Vault Certificates Officer" -Scope $kvId

Überprüfen der bereitgestellten Ressourcen

Sie können entweder das Azure-Portal verwenden, um den Schlüsseltresor und das Zertifikat zu überprüfen, oder das folgende Azure CLI oder Azure PowerShell Skript verwenden, um das erstellte Zertifikat auflisten zu können.

echo "Enter your key vault name:" &&
read keyVaultName &&
az keyvault certificate list --vault-name $keyVaultName &&
echo "Press [ENTER] to continue ..."

$keyVaultName = Read-Host -Prompt "Enter your key vault name"
Get-AzKeyVaultCertificate -vaultName $keyVaultName
Write-Host "Press [ENTER] to continue..."

Bereinigen von Ressourcen

Wenn sie nicht mehr benötigt wird, verwenden Sie das Azure Portal, Azure CLI oder Azure PowerShell, um die Ressourcengruppe und die zugehörigen Ressourcen zu löschen.

az group delete --name myResourceGroup

Remove-AzResourceGroup -Name myResourceGroup

Nächste Schritte

In dieser Schnellstartanleitung haben Sie einen Schlüsseltresor und ein Zertifikat mit Bicep erstellt und dann die Bereitstellung überprüft. Wenn Sie mehr über Key Vault und Bicep erfahren möchten, fahren Sie mit den folgenden Artikeln fort.

• Lesen Sie eine Overview von Azure Key Vault
• Weitere Informationen zu Bicep
• Lesen Sie die Sicherheitsübersicht Key Vault