Tutorial: Configurar a autorotação de certificado no Key Vault

Azure Key Vault ajuda você a provisionar, gerenciar e implantar certificados digitais. Os certificados podem ser certificados TLS/SSL públicos ou privados assinados por uma AC (autoridade de certificação) ou autoassinados. O Key Vault também pode solicitar e renovar certificados por meio de parcerias com ACs, oferecendo uma solução completa de gerenciamento do ciclo de vida de certificados.

Para obter uma visão geral da autorotação entre diferentes tipos de ativos em Azure Key Vault, consulte Noções básicas sobre a autorotação em Azure Key Vault.

Neste tutorial, você atualizará o período de validade de um certificado, a frequência de autorotação e os atributos de AC.

Antes de começar, leia Key Vault conceitos básicos.

Se você não tiver uma assinatura Azure, crie uma conta gratuita antes de começar.

Entrar no Azure

Entre no portal Azure.

Criar um cofre

Crie um cofre de chaves usando um destes três métodos:

• Criar um cofre de chaves usando o portal Azure
• Criar um cofre de chaves usando o CLI do Azure
• Criar um cofre de chaves usando Azure PowerShell

Criar um certificado no Key Vault

Crie um certificado ou importe um certificado para o key vault (consulte Etapas para criar um certificado no Key Vault). Este tutorial usa um certificado chamado ExampleCertificate.

Atualizar atributos do ciclo de vida do certificado

Em Azure Key Vault, você pode atualizar os atributos de ciclo de vida de um certificado no momento da criação ou posterior.

Um certificado criado em Key Vault pode ser:

• Um certificado autoassinado.
• Um certificado criado com uma AC parceira do Key Vault.
• Um certificado criado com uma AC que não é parceira do Key Vault.

Key Vault atualmente tem esses CAs parceiros:

• DigiCert: Key Vault oferece certificados OV ou EV TLS/SSL.
• GlobalSign: Key Vault oferece certificados OV ou EV TLS/SSL.

O Key Vault faz a rotação automática de certificados por meio de parcerias com AC. Como Key Vault solicita e renova certificados automaticamente por meio da parceria, a autorotação não se aplica a certificados criados com CAs não parceiras.

Atualizar atributos do ciclo de vida do certificado no momento da criação

1. Nas páginas de propriedades Key Vault, selecione Certificates.

2. Selecione Gerar/Importar.

3. Na tela Criar um certificado , atualize os seguintes valores:

   • Período de validade: insira o valor em meses. Certificados de curta duração são uma prática recomendada de segurança. Por padrão, um certificado recém-criado tem um período de validade de 12 meses.

   • Tipo de ação da vigência: selecione a ação de renovação automática e alerta do certificado e, em seguida, atualize o percentual de vigência ou Número de dias antes do vencimento. Por padrão, a renovação automática é configurada para 80% da validade do certificado. No menu suspenso, selecione uma das opções a seguir.

     Renovar automaticamente em um determinado momento	Enviar todos os contatos por email em um determinado momento
     Ativa a autorotação.	Não gira automaticamente; apenas alerta os contatos.

     Para obter mais informações, consulte Receba notificações sobre a expiração do certificado.

4. Selecione Criar.

Atualizar atributos de ciclo de vida de um certificado armazenado

1. Selecione o cofre de chaves.

2. Nas páginas de propriedades Key Vault, selecione Certificates.

3. Selecione o certificado que você deseja atualizar. Este tutorial usa um certificado chamado ExampleCertificate.

4. Na barra de menus superior, selecione Política de Emissão.

   

5. Na tela Política de Emissão , atualize os seguintes valores:

   • Período de validade: atualize o valor em meses.
   • Tipo de ação de validade: selecione a ação de renovação automática e alerta do certificado e, em seguida, atualize a porcentagem da validade ou o Número de dias antes do vencimento.

   

6. Clique em Salvar.

Atualizar atributos de certificado usando o PowerShell

Set-AzKeyVaultCertificatePolicy -VaultName $vaultName `
                                -Name $certificateName `
                                -RenewAtNumberOfDaysBeforeExpiry [276 or appropriate calculated value]

$file = Import-CSV C:\Users\myfolder\ReadCSVUsingPowershell\File.csv ​
foreach($line in $file)​
{​
Set-AzKeyVaultCertificatePolicy -VaultName $vaultName -Name $certificateName -RenewAtNumberOfDaysBeforeExpiry [276 or appropriate calculated value]
}

Para saber mais sobre os parâmetros, consulte o certificado az keyvault.

Limpar os recursos

Outros tutoriais do Key Vault se baseiam neste tutorial. Se você pretende usá-los, deixe os recursos no local. Quando você não precisar mais deles, exclua o grupo de recursos. Excluir o grupo de recursos exclui o cofre de chaves e os recursos relacionados.

Para excluir o grupo de recursos no portal:

1. Insira o nome do grupo de recursos na caixa Pesquisar na parte superior do portal e selecione-o nos resultados.
2. Selecione Excluir grupo de recursos.
3. Na caixa DIGITE O NOME DO GRUPO DE RECURSOS , insira o nome do grupo de recursos e selecione Excluir.

Próximas etapas

Neste tutorial, você atualizou os atributos de ciclo de vida de um certificado. Para saber mais sobre Key Vault e como integrá-lo aos seus aplicativos, confira:

• Visão Geral do Key Vault
• Gerenciando a criação de certificado no Azure Key Vault
• Compreendendo a autorotação no Azure Key Vault