Bereitstellen eines Key Vault aus dem Dienstkatalog in einem Workload

In diesem Artikel erfahren Sie, wie Sie:

• Stellen Sie eine Servicekatalogvorlage für einen Key Vault aus dem Azure-Portal in einer vorhandenen Workload bereit.

Bevor Sie anfangen

• In diesem Artikel wird ein grundlegendes Verständnis von Netzwerk- und Azure Enklavenkonzepten vorausgesetzt. Weitere Informationen finden Sie unter Bewährte Methoden für Azure Enklave.

• Sie benötigen ein Azure-Konto mit einem aktiven Abonnement. Wenn Sie kein Konto besitzen, erstellen Sie kostenlos ein Konto.

• Sie benötigen eine Community, eine Enklave, eine Workload und mindestens eine Workload-Ressourcengruppe sowie Berechtigungen zum Erstellen von Ressourcen in der Workload-Ressourcengruppe.

• Konfigurieren Sie den Wartungsmodus für Ihre Enklave und integrieren Sie den deployierenden Prinzipal in die Wartungsmodus-Konfiguration. Der erforderliche Modus und die Begründung hängen von deiner Bereitstellungskonfiguration ab.

Voraussetzungen

Bevor Sie deployen, identifizieren Sie ein bestehendes Subnetz für den privaten Endpunkt und stellen Sie sicher, dass die erforderliche private DNS-Zone in der entsprechenden DNS-Zone-Ressourcengruppe existiert. Du brauchst außerdem Berechtigungen, um das bestehende virtuelle Netzwerk, Subnetz und die private DNS-Zone zu nutzen.

1. Erstellen oder identifizieren Sie ein Subnetz für den privaten Endpunkt. Du kannst ein Subnetz verwenden, das während der Enklave-Erstellung erstellt wurde, oder ein neues Subnetz erstellen. Das Subnetz des privaten Endpunkts darf keine Subnetz-Delegation haben.
2. Erstelle oder identifiziere die privatelink.vaultcore.azure.net private DNS-Zone in der angegebenen DNS-Zone-Ressourcengruppe. Die Key Vault-Vorlage erstellt eine private DNS-Zonengruppe, die den privaten Endpunkt mit dieser bestehenden Zone verknüpft; sie erstellt die Zone nicht. Weitere Informationen finden Sie in der Vorlage für den Privates DNS Zones Service Catalog.

Implementieren der Vorlage

1. Geh zu dem Workload, bei dem du den Key Vault ausrollen möchtest.

2. Wählen Sie die +Add an Azure Service-Schaltfläche aus.

3. Wählen Sie die Key Vault Servicevorlage aus dem Dropdown-Menü der Servicekatalogliste, bestätigen Sie die benötigte Version und wählen Sie Next.

   

4. Geben Sie alle erforderlichen Parameter auf jedem Tab ein.

5. Passen Sie die vorab aufgefüllten Parameter nach Bedarf an.

6. Wählen Sie Review + Createaus, und wählen Sie dann aus Create.

Die Bereitstellungszeit hängt von den Ressourcen und der Konfiguration ab. Warte, bis die Bereitstellung erfolgreich abgeschlossen ist, bevor du die bereitgestellten Ressourcen nutzt.

Validierung der Bereitstellung

Gehen Sie zur angegebenen Ressourcengruppe und bestätigen Sie, dass die Bereitstellung einen Key Vault oder – wenn enableHsm aktiviert ist – ein Managed HSM und einen privaten Endpunkt erstellt hat.

Löschen der Bereitstellung

Wenn Sie diese Ressourcen nicht behalten möchten, löschen Sie das Key Vault oder das verwaltete HSM und den privaten Endpunkt, um Azure-Kosten zu vermeiden. Bevor Sie eine Ressourcengruppe löschen, sollten Sie bestätigen, dass sie keine Ressourcen enthält, die von anderen Deployments verwendet werden, einschließlich gemeinsamer Subnetze, privater DNS-Zonen, verwalteter Identitäten oder Schlüssel.

Empfehlungen

• Fügen Sie Tags zu Dienstkatalogbereitstellungen hinzu, um wichtige Informationen für diese Ressource nachzuverfolgen, z. B.:
  • Besitzer: <main POC>
  • Bereitsteller: <yourName>
  • Zweck: <shared secrets>
  • Dienstkatalogname: <Key Vault>
  • Version des Dienstkatalogs: <version you deployed>
• Erwägen Sie das Hinzufügen einer Azure Policy zum Erzwingen und Erben von Tags.