Lernprogramm: Verwenden von Azure Key Vault mit einem virtuellen Computer in .NET

Azure Key Vault hilft Ihnen, geheime Schlüssel wie API-Schlüssel und Datenbankverbindungszeichenfolgen zu schützen, die Ihre Anwendungen, Dienste und Ressourcen benötigen.

In diesem Lernprogramm konfigurieren Sie eine Konsolenanwendung zum Lesen von Informationen aus Azure Key Vault. Die Anwendung verwendet die verwaltete Identität des virtuellen Computers, um sich bei Key Vault zu authentifizieren.

Das Tutorial veranschaulicht folgende Vorgehensweisen:

Lesen Sie vor Beginn Key Vault grundlegende Konzepte.

Wenn Sie nicht über ein Azure-Abonnement verfügen, erstellen Sie ein free-Konto.

Voraussetzungen

Für Windows, Mac und Linux:

• Git
• Das .NET 8.0 SDK oder höher.
• Azure CLI oder Azure PowerShell

Erstellen von Ressourcen und Zuweisen von Berechtigungen

Bevor Sie mit der Programmierung beginnen, müssen Sie einige Ressourcen erstellen, ein Geheimnis in Ihren Schlüsseltresor legen und Berechtigungen zuweisen.

Anmelden bei Azure

Melden Sie sich mit dem Azure CLI oder Azure PowerShell bei Azure an:

az login

Connect-AzAccount

Erstellen einer Ressourcengruppe und eines Schlüsseltresors

In dieser Schnellstartanleitung wird ein vorkonfigurierter Azure Key Vault verwendet. Sie können einen Schlüsseltresor erstellen, indem Sie die Schritte in den folgenden Schnellstarts ausführen:

• Azure CLI Schnellstart
• Azure PowerShell Schnellstart
• Azure Portal – Schnellstart

Alternativ können Sie diese Azure CLI oder Azure PowerShell Befehle ausführen.

az group create --name "myResourceGroup" -l "EastUS"

az keyvault create --name "<vault-name>" -g "myResourceGroup" --enable-rbac-authorization true

New-AzResourceGroup -Name "myResourceGroup" -Location "EastUS"

New-AzKeyVault -Name "<vault-name>" -ResourceGroupName "myResourceGroup" -Location "EastUS" -EnableRbacAuthorization $true

Einfügen eines Geheimnisses in Ihren Schlüsseltresor

Erstellen Sie ein Geheimnis mit dem Namen mySecret und dem Wert Success! . Ein Geheimer Schlüssel kann ein Kennwort, ein SQL-Verbindungszeichenfolge oder andere Informationen sein, die Sie benötigen, um sowohl sicher als auch für Ihre Anwendung verfügbar zu sein.

Fügen Sie Ihrem neu erstellten Schlüsseltresor mit dem folgenden Befehl ein Geheimnis hinzu:

az keyvault secret set --vault-name "<vault-name>" --name "mySecret" --value "Success!"

$secret = ConvertTo-SecureString -String 'Success!' -AsPlainText
Set-AzKeyVaultSecret -VaultName "<vault-name>" -Name "mySecret" -SecretValue $secret

Erstellen eines virtuellen Computers

Erstellen Sie eine Windows- oder Linux-VM mithilfe einer der folgenden Methoden:

Zuweisen einer Identität zum virtuellen Computer

Erstellen Sie eine vom System zugewiesene verwaltete Identität für den virtuellen Computer:

az vm identity assign --name <vm-name> --resource-group <resource-group>

{
  "systemAssignedIdentity": "xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx",
  "userAssignedIdentities": {}
}

$vm = Get-AzVM -Name "<vm-name>"
Update-AzVM -ResourceGroupName "<resource-group>" -VM $vm -IdentityType SystemAssigned

PrincipalId          TenantId             Type             UserAssignedIdentities
-----------          --------             ----             ----------------------
xxxxxxxx-xx-xxxxxx   xxxxxxxx-xxxx-xxxx   SystemAssigned

Zuweisen von Berechtigungen für die VM-Identität

az role assignment create --role "Key Vault Secrets User" --assignee "<upn>" --scope "/subscriptions/<subscription-id>/resourceGroups/myResourceGroup/providers/Microsoft.KeyVault/vaults/<vault-name>"

New-AzRoleAssignment -SignInName "<upn>" -RoleDefinitionName "Key Vault Secrets User" -Scope "/subscriptions/<subscription-id>/resourceGroups/myResourceGroup/providers/Microsoft.KeyVault/vaults/<vault-name>"

Melden Sie sich bei der VM an

Um sich an der VM anzumelden, folgen Sie den Anweisungen in Herstellen einer Verbindung mit einem virtuellen Azure-Windows-Computer und Anmelden bei diesem oder Herstellen einer Verbindung mit einem virtuellen Azure-Linux-Computer und Anmelden bei diesem.

Einrichten der Konsolen-App

Erstellen Sie eine Konsolen-App, und installieren Sie die erforderlichen Pakete mit dem dotnet Befehl.

Installieren von .NET

Um .NET zu installieren, wechseln Sie zur Seite ".NET Downloads".

Erstellen und Ausführen einer Beispiel-.NET-App

Öffnen Sie eine Eingabeaufforderung, und führen Sie folgenden Befehl aus:

dotnet new console -n keyvault-console-app
cd keyvault-console-app
dotnet run

Die App druckt „Hallo Welt“ in der Konsole.

Installieren der Pakete

Installieren Sie im Konsolenfenster die Azure Key Vault-Clientbibliothek für Geheimnisse und die Azure Identity-Bibliothek:

dotnet add package Azure.Security.KeyVault.Secrets
dotnet add package Azure.Identity

Bearbeiten der Konsolen-App

Öffnen Sie Program.cs und fügen Sie die folgenden using-Direktiven hinzu:

using System;
using Azure.Core;
using Azure.Identity;
using Azure.Security.KeyVault.Secrets;

Ersetzen Sie die Methode Main durch den folgenden Code und aktualisieren Sie <vault-name> mit dem Namen Ihres Schlüsseltresors. Dieser Code verwendet DefaultAzureCredential zum Authentifizieren bei Key Vault, das ein Token aus der verwalteten Identität des virtuellen Computers verwendet. Es konfiguriert auch ein exponentielles Backoff für Wiederholungsversuche, wenn Key Vault gedrosselt wird.

  class Program
    {
        static void Main(string[] args)
        {
            string secretName = "mySecret";
            string keyVaultName = "<vault-name>";
            var kvUri = "https://<vault-name>.vault.azure.net";
            SecretClientOptions options = new SecretClientOptions()
            {
                Retry =
                {
                    Delay= TimeSpan.FromSeconds(2),
                    MaxDelay = TimeSpan.FromSeconds(16),
                    MaxRetries = 5,
                    Mode = RetryMode.Exponential
                 }
            };

            var client = new SecretClient(new Uri(kvUri), new DefaultAzureCredential(),options);

            Console.Write("Input the value of your secret > ");
            string secretValue = Console.ReadLine();

            Console.Write("Creating a secret in " + keyVaultName + " called '" + secretName + "' with the value '" + secretValue + "' ...");

            client.SetSecret(secretName, secretValue);

            Console.WriteLine(" done.");

            Console.WriteLine("Forgetting your secret.");
            secretValue = "";
            Console.WriteLine("Your secret is '" + secretValue + "'.");

            Console.WriteLine("Retrieving your secret from " + keyVaultName + ".");

            KeyVaultSecret secret = client.GetSecret(secretName);

            Console.WriteLine("Your secret is '" + secret.Value + "'.");

            Console.Write("Deleting your secret from " + keyVaultName + " ...");

            client.StartDeleteSecret(secretName);

            System.Threading.Thread.Sleep(5000);
            Console.WriteLine(" done.");

        }
    }

Bereinigen von Ressourcen

Wenn Sie sie nicht mehr benötigen, löschen Sie die VM und den Schlüsseltresor.

Nächste Schritte