Lernprogramm: Konfigurieren der Autorotation von Zertifikaten in Key Vault

Azure Key Vault hilft Ihnen bei der Bereitstellung, Verwaltung und Bereitstellung digitaler Zertifikate. Zertifikate können öffentliche oder private TLS/SSL-Zertifikate sein, die von einer Zertifizierungsstelle (Ca) signiert oder selbstsigniert sind. Key Vault kann durch die Zusammenarbeit mit Zertifizierungsstellen (CAs) auch Zertifikate anfordern und erneuern und bietet damit eine Lösung für den vollständigen Zertifikatslebenszyklus.

Eine Übersicht über die Autorotation in verschiedenen Objekttypen in Azure Key Vault finden Sie unter "Grundlegendes zur Autorotation in Azure Key Vault".

In diesem Lernprogramm aktualisieren Sie den Gültigkeitszeitraum, die Autorotationshäufigkeit und die Ca-Attribute eines Zertifikats.

  • Verwalten Sie ein Zertifikat mithilfe des Azure Portals.
  • Fügen Sie ein Ca-Anbieterkonto hinzu.
  • Aktualisieren Sie den Gültigkeitszeitraum des Zertifikats.
  • Aktualisieren Sie die automatische Drehungshäufigkeit des Zertifikats.
  • Aktualisieren Sie die Attribute des Zertifikats mithilfe von Azure PowerShell.

Lesen Sie vor Beginn Key Vault grundlegende Konzepte.

Wenn Sie kein Azure-Abonnement haben, erstellen Sie ein free-Konto, bevor Sie beginnen.

Anmelden bei Azure

Melden Sie sich beim portal Azure an.

Erstellen eines Tresors

Erstellen Sie einen Schlüsseltresor mit einer der folgenden drei Methoden:

Erstellen eines Zertifikats in Key Vault

Erstellen Sie ein Zertifikat, oder importieren Sie ein Zertifikat in den key vault (siehe Schritte zum Erstellen eines Zertifikats in Key Vault). In diesem Lernprogramm wird ein Zertifikat namens "ExampleCertificate" verwendet.

Aktualisieren von Zertifikatlebenszyklusattributen

In Azure Key Vault können Sie die Lebenszyklusattribute eines Zertifikats zum Zeitpunkt der Erstellung oder danach aktualisieren.

Ein in Key Vault erstelltes Zertifikat kann folgendes sein:

  • Ein selbstsigniertes Zertifikat.
  • Ein Zertifikat, das mit einer Zertifizierungsstelle erstellt wurde, die mit Key Vault partnered ist.
  • Ein Zertifikat, das mit einer Zertifizierungsstelle erstellt wurde, die nicht mit Key Vault partnered ist.

Key Vault hat derzeit die folgenden partnerierten CAs:

  • DigiCert: Key Vault bietet OV- oder EV TLS/SSL-Zertifikate an.
  • GlobalSign: Key Vault bietet OV- oder EV TLS/SSL-Zertifikate an.

Key Vault rotiert Zertifikate automatisch über seine CA-Partnerschaften. Da Key Vault Zertifikate über die Partnerschaft automatisch anfordert und erneuert, gilt die Autorotation nicht für Zertifikate, die mit nicht partnerbasierten Zertifizierungsstellen erstellt wurden.

Hinweis

Ein Kontoadministrator für einen Zertifizierungsstellenanbieter erstellt Anmeldeinformationen, die Key Vault zum Erstellen, Erneuern und Verwenden von TLS/SSL-Zertifikaten verwendet. Zertifizierungsstelle

Aktualisieren von Zertifikatlebenszyklusattributen zum Zeitpunkt der Erstellung

  1. Wählen Sie auf den Eigenschaftenseiten des Key Vaults Certificates aus.

  2. Wählen Sie Erstellen / Import.

  3. Aktualisieren Sie auf dem Bildschirm " Zertifikat erstellen " die folgenden Werte:

    • Gültigkeitszeitraum: Geben Sie den Wert in Monaten ein. Kurzlebige Zertifikate sind eine bewährte Methode für sicherheit. Standardmäßig weist ein neu erstelltes Zertifikat einen Gültigkeitszeitraum von 12 Monaten auf.

    • Gültigkeitsdauer-Aktionstyp: Wählen Sie die Aktion für die automatische Verlängerung und die Benachrichtigung des Zertifikats aus und aktualisieren Sie dann prozentuale Gültigkeitsdauer oder Anzahl der Tage bis zum Ablauf. Standardmäßig ist die automatische Verlängerung auf 80 % der Gültigkeitsdauer des Zertifikats eingestellt. Wählen Sie im Dropdownmenü eine der folgenden Optionen aus.

      Automatische Verlängerung zu einem bestimmten Zeitpunkt Alle Kontakte zu einem bestimmten Zeitpunkt per E-Mail senden
      Aktiviert die Autorotation. Dreht sich nicht automatisch; benachrichtigt nur die Kontakte.

      Weitere Informationen finden Sie unter Abrufen von Benachrichtigungen zum Ablauf des Zertifikats.

  4. Klicken Sie auf Erstellen.

Zertifikatlebenszyklus

Aktualisieren von Lebenszyklusattributen eines gespeicherten Zertifikats

  1. Wählen Sie den Schlüsseltresor aus.

  2. Wählen Sie auf den Eigenschaftenseiten des Key Vaults Certificates aus.

  3. Wählen Sie das Zertifikat aus, das Sie aktualisieren möchten. In diesem Lernprogramm wird ein Zertifikat namens "ExampleCertificate" verwendet.

  4. Wählen Sie in der oberen Menüleiste Ausgaberichtlinie aus.

    Screenshot der hervorgehobenen Schaltfläche „Ausstellungsrichtlinie“.

  5. Aktualisieren Sie auf dem Bildschirm " Ausstellungsrichtlinie " die folgenden Werte:

    • Gültigkeitszeitraum: Aktualisieren Sie den Wert in Monaten.
    • Aktionstyp für die Lebensdauer: Wählen Sie die Aktion für die automatische Verlängerung und Benachrichtigung des Zertifikats aus und aktualisieren Sie dann die prozentuale Lebensdauer oder Anzahl der Tage vor Ablauf.

    Zertifikateigenschaften

  6. Wählen Sie Speichern aus.

Von Bedeutung

Das Ändern des Aktionstyps "Lebensdauer " für ein Zertifikat gilt sofort für das vorhandene Zertifikat.

Aktualisieren von Zertifikatattributen mithilfe von PowerShell

Set-AzKeyVaultCertificatePolicy -VaultName $vaultName `
                                -Name $certificateName `
                                -RenewAtNumberOfDaysBeforeExpiry [276 or appropriate calculated value]

Tipp

Um die Verlängerungsrichtlinie für eine Liste von Zertifikaten zu ändern, geben Sie File.csv mit VaultName,CertName ein, wie im folgenden Beispiel:
vault1,Cert1​
vault2,Cert2​

$file = Import-CSV C:\Users\myfolder\ReadCSVUsingPowershell\File.csv ​
foreach($line in $file)​
{​
Set-AzKeyVaultCertificatePolicy -VaultName $vaultName -Name $certificateName -RenewAtNumberOfDaysBeforeExpiry [276 or appropriate calculated value]
}

Weitere Informationen zu den Parametern finden Sie unter az keyvault certificate.

Bereinigen von Ressourcen

Andere Key Vault-Tutorials bauen auf diesem Tutorial auf. Wenn Sie beabsichtigen, mit ihnen zu arbeiten, lassen Sie die Ressourcen an Ort und Stelle. Wenn Sie sie nicht mehr benötigen, löschen Sie die Ressourcengruppe. Beim Löschen der Ressourcengruppe werden der Schlüsseltresor und die zugehörigen Ressourcen gelöscht.

So löschen Sie die Ressourcengruppe im Portal:

  1. Geben Sie den Ressourcengruppennamen im Suchfeld oben im Portal ein, und wählen Sie ihn aus den Ergebnissen aus.
  2. Wählen Sie die Option Ressourcengruppe löschen.
  3. Geben Sie im Feld " RESSOURCENGRUPPENNAME EINGEBEN" den Namen der Ressourcengruppe ein, und wählen Sie dann "Löschen" aus.

Nächste Schritte

In diesem Lernprogramm haben Sie die Lebenszyklusattribute eines Zertifikats aktualisiert. Weitere Informationen zu Key Vault und zur Integration in Ihre Anwendungen finden Sie unter:

  • Last updated on