Distribuire un Key Vault dal catalogo dei servizi in un workload

In questo articolo vengono illustrate le operazioni seguenti:

• Distribuire un modello di catalogo di servizi per un Key Vault in un carico di lavoro esistente dal portale di Azure.

Prima di iniziare

• Questo articolo presuppone una conoscenza di base della rete e dei concetti di Azure Enclave. Per altre informazioni, vedere Procedure consigliate per Azure Enclave.

• È necessario un account Azure con una sottoscrizione attiva. Se non ne hai uno, crea gratuitamente un account.

• Hai bisogno di una community, un enclave, un workload e almeno un gruppo di risorse del workload, con permessi per creare risorse nel gruppo di risorse del workload.

• Configurare la modalità manutenzione per l'enclave e includere l'entità di distribuzione nella configurazione della modalità manutenzione. La modalità richiesta e la giustificazione dipendono dalla configurazione del tuo deployment.

Prerequisiti

Prima di distribuire, identifica una sottorete esistente per l'endpoint privato e assicurati che la zona DNS privata richiesta esista nel gruppo di risorse DNS-zone appropriato. Servono anche permessi per usare la rete virtuale esistente, la subnet e la zona DNS privata.

1. Crea o identifica una subnet per l'endpoint privato. Puoi usare una subnet creata durante la creazione dell'enclave oppure creare una nuova subnet. La subnet endpoint privata non deve avere delegazione di subnet.
2. Crea o identifica la privatelink.vaultcore.azure.net zona DNS privata nel gruppo di risorse DNS-zone specificato. Il template Key Vault crea un gruppo di zona DNS privato che collega l'endpoint privato a questa zona esistente; non crea la zona. Per ulteriori informazioni, consulta il modello di catalogo di servizi DNS privato Zones.

Implementare il modello

1. Vai al workload in cui vuoi distribuire il Key Vault.

2. Seleziona il pulsante +Add an Azure Service.

3. Selezionare il modello del servizio Key Vault dall'elenco a discesa del catalogo di servizi, confermare la versione e selezionare Next.

   

4. Inserisci tutti i parametri richiesti su ogni scheda.

5. Regolare i parametri prepopolati in base alle esigenze.

6. Selezionare Review + Createe quindi selezionare Create.

Il tempo di implementazione dipende dalle risorse e dalla configurazione. Aspetta che il deployment si completi con successo prima di utilizzare le risorse distribuite.

Convalidare la distribuzione

Vai al gruppo di risorse specificato e conferma che la distribuzione abbia creato un Key Vault, o un Managed HSM quando enableHsm è abilitato, e un endpoint privato.

Eliminare la distribuzione

Se non hai intenzione di mantenere queste risorse, elimina il Key Vault o il Managed HSM e l'endpoint privato per evitare addebiti Azure. Prima di eliminare un gruppo di risorse, verifica che non contenga risorse utilizzate da altre implementazioni, inclusi subnet condivise, zone DNS private, identità gestite o chiavi.

Recommendations

• Aggiungere tag alle distribuzioni del catalogo dei servizi per tenere traccia di informazioni importanti per tale risorsa, ad esempio:
  • Proprietario: <main POC>
  • Deployer: <yourName>
  • Scopo: <shared secrets>
  • Nome del catalogo servizi: <Key Vault>
  • Versione del catalogo dei servizi: <version you deployed>
• Prendere in considerazione l'aggiunta di un Criteri di Azure per applicare ed ereditare i tag.