Integrieren von Key Vault in azure Private Link

Herstellen einer privaten Linkverbindung mit Key Vault mithilfe des Azure-Portals

Erstellen Sie zunächst ein virtuelles Netzwerk, indem Sie die Schritte unter Erstellen eines virtuellen Netzwerks mithilfe des Azure-Portals ausführen.

Sie können dann entweder einen neuen Schlüsseltresor erstellen oder eine private Verknüpfung mit einem vorhandenen Schlüsseltresor herstellen.

Erstellen eines neuen Key Vault und Einrichten einer privaten Verbindung

Sie können einen neuen Schlüsseltresor mit dem Azure-Portal, azure CLI oder Azure PowerShell erstellen.

Nachdem Sie die Grundlagen des Key Vaults konfiguriert haben, wählen Sie die Registerkarte "Networking" aus, und führen Sie die folgenden Schritte aus:

1. Deaktivieren Sie den öffentlichen Zugriff, indem Sie das Optionsfeld deaktivieren.

2. Wählen Sie die Schaltfläche "+ Privaten Endpunkt erstellen" aus, um einen privaten Endpunkt hinzuzufügen.

   

3. Wählen Sie im Feld "Standort" des Blatts "Privater Endpunkt erstellen" die Region aus, in der sich Ihr virtuelles Netzwerk befindet.

4. Erstellen Sie im Feld "Name" einen beschreibenden Namen, mit dem Sie diesen privaten Endpunkt identifizieren können.

5. Wählen Sie das virtuelle Netzwerk und das Subnetz aus, in dem dieser private Endpunkt im Dropdownmenü erstellt werden soll.

6. Lassen Sie die Option "mit dem privaten Zonen-DNS integrieren" unverändert.

7. Wählen Sie "OK" aus.

   

Nun können Sie den konfigurierten privaten Endpunkt sehen. Sie können diesen privaten Endpunkt jetzt löschen und bearbeiten. Wählen Sie die Schaltfläche „Bewerten + erstellen“ aus, und erstellen Sie den Schlüsseltresor. Es dauert 5 bis 10 Minuten, bis die Bereitstellung abgeschlossen ist.

Einrichten einer Private Link-Verbindung mit einem bereits vorhandenen Schlüsseltresor

Wenn Sie bereits über einen Schlüsseltresor verfügen, können Sie wie folgt eine Private Link-Verbindung erstellen:

1. Melden Sie sich beim Azure-Portal an.

2. Geben Sie auf der Suchleiste den Suchbegriff „Schlüsseltresore“ ein.

3. Wählen Sie in der Liste den Schlüsseltresor aus, dem Sie einen privaten Endpunkt hinzufügen möchten.

4. Wählen Sie unter "Einstellungen" die Registerkarte "Netzwerk" aus.

5. Wählen Sie oben auf der Seite die Registerkarte "Private Endpunktverbindungen" aus.

6. Wählen Sie oben auf der Seite die Schaltfläche "+Erstellen" aus.

   

7. Wählen Sie unter "Projektdetails" die Ressourcengruppe aus, die das virtuelle Netzwerk enthält, das Sie als Voraussetzung für dieses Lernprogramm erstellt haben. Geben Sie unter "Instanzdetails" "myPrivateEndpoint" als Namen ein, und wählen Sie denselben Speicherort wie das virtuelle Netzwerk aus, das Sie als Voraussetzung für dieses Lernprogramm erstellt haben.

   Sie können einen privaten Endpunkt für jede Azure-Ressource mithilfe dieses Blatts erstellen. Sie können entweder die Dropdownmenüs verwenden, um einen Ressourcentyp auszuwählen und eine Ressource in Ihrem Verzeichnis auszuwählen, oder Sie können eine Verbindung mit einer beliebigen Azure-Ressource mithilfe einer Ressourcen-ID herstellen. Lassen Sie die Option „In DNS der privaten Zone integrieren“ unverändert.

8. Wechseln Sie zum Blatt "Ressourcen". Wählen Sie für "Ressourcentyp" die Option "Microsoft.KeyVault/vaults" und für "Ressource" den Schlüsseltresor, den Sie als Voraussetzung für dieses Lernprogramm erstellt haben. „Zielunterressource“ wird automatisch mit „Tresor“ ausgefüllt.

9. Wechseln Sie zum "virtuellen Netzwerk". Wählen Sie das virtuelle Netzwerk und das Subnetz aus, das Sie als Voraussetzung für dieses Lernprogramm erstellt haben.

10. Durchlaufen Sie die Blätter "DNS" und "Tags" und akzeptieren Sie die Standardwerte.

11. Wählen Sie auf dem Blatt "Überprüfen + Erstellen" die Option "Erstellen" aus.

Wenn Sie einen privaten Endpunkt erstellen, muss die Verbindung genehmigt werden. Wenn sich die Ressource, für die Sie einen privaten Endpunkt erstellen, in Ihrem Verzeichnis befindet, können Sie die Verbindungsanforderung genehmigen, sofern Sie über ausreichende Berechtigungen verfügen. Wenn Sie eine Verbindung mit einer Azure-Ressource in einem anderen Verzeichnis herstellen, müssen Sie warten, bis der Besitzer dieser Ressource Ihre Verbindungsanforderung genehmigt.

Es gibt vier Bereitstellungszustände.

So verwalten Sie eine private Endpunktverbindung mit Key Vault mithilfe des Azure-Portals

1. Melden Sie sich beim Azure-Portal an.

2. Geben Sie auf der Suchleiste den Suchbegriff „Schlüsseltresore“ ein.

3. Wählen Sie den Schlüsseltresor aus, den Sie verwalten möchten.

4. Wählen Sie die Registerkarte "Netzwerk" aus.

5. Wenn Verbindungen ausstehen, wird eine Verbindung mit "Ausstehend" im Bereitstellungsstatus angezeigt.

6. Wählen Sie den privaten Endpunkt aus, den Sie genehmigen möchten.

7. Wählen Sie die Schaltfläche "Genehmigen" aus.

8. Wenn private Endpunktverbindungen vorhanden sind, die Sie ablehnen möchten, unabhängig davon, ob es sich um eine ausstehende Anforderung oder eine vorhandene Verbindung handelt, wählen Sie die Verbindung aus, und wählen Sie die Schaltfläche "Ablehnen" aus.

   

Herstellen einer privaten Linkverbindung mit Key Vault mithilfe der CLI (Initial Setup)

az login                                                         # Login to Azure CLI
az account set --subscription {SUBSCRIPTION ID}                  # Select your Azure Subscription
az group create -n {RESOURCE GROUP} -l {REGION}                  # Create a new Resource Group
az provider register -n Microsoft.KeyVault                       # Register KeyVault as a provider
az keyvault create -n {VAULT NAME} -g {RG} -l {REGION}           # Create a Key Vault
az keyvault update -n {VAULT NAME} -g {RG} --default-action deny # Turn on Key Vault Firewall
az network vnet create -g {RG} -n {vNet NAME} -___location {REGION} # Create a Virtual Network

    # Create a Subnet
az network vnet subnet create -g {RG} --vnet-name {vNet NAME} --name {subnet NAME} --address-prefixes {addressPrefix}

    # Disable Virtual Network Policies
az network vnet subnet update --name {subnet NAME} --resource-group {RG} --vnet-name {vNet NAME} --disable-private-endpoint-network-policies true

    # Create a Private DNS Zone
az network private-dns zone create --resource-group {RG} --name privatelink.vaultcore.azure.net

    # Link the Private DNS Zone to the Virtual Network
az network private-dns link vnet create --resource-group {RG} --virtual-network {vNet NAME} --zone-name privatelink.vaultcore.azure.net --name {dnsZoneLinkName} --registration-enabled true

Erstellen eines privaten Endpunkts (automatisch genehmigen)

az network private-endpoint create --resource-group {RG} --vnet-name {vNet NAME} --subnet {subnet NAME} --name {Private Endpoint Name}  --private-connection-resource-id "/subscriptions/{AZURE SUBSCRIPTION ID}/resourceGroups/{RG}/providers/Microsoft.KeyVault/vaults/{KEY VAULT NAME}" --group-ids vault --connection-name {Private Link Connection Name} --___location {AZURE REGION}

Erstellen eines privaten Endpunkts (Manuelle Genehmigung anfordern)

az network private-endpoint create --resource-group {RG} --vnet-name {vNet NAME} --subnet {subnet NAME} --name {Private Endpoint Name}  --private-connection-resource-id "/subscriptions/{AZURE SUBSCRIPTION ID}/resourceGroups/{RG}/providers/Microsoft.KeyVault/vaults/{KEY VAULT NAME}" --group-ids vault --connection-name {Private Link Connection Name} --___location {AZURE REGION} --manual-request

Verwalten privater Verknüpfungsverbindungen

# Show Connection Status
az network private-endpoint show --resource-group {RG} --name {Private Endpoint Name}

# Approve a Private Link Connection Request
az keyvault private-endpoint-connection approve --approval-description {"OPTIONAL DESCRIPTION"} --resource-group {RG} --vault-name {KEY VAULT NAME} –name {PRIVATE LINK CONNECTION NAME}

# Deny a Private Link Connection Request
az keyvault private-endpoint-connection reject --rejection-description {"OPTIONAL DESCRIPTION"} --resource-group {RG} --vault-name {KEY VAULT NAME} –name {PRIVATE LINK CONNECTION NAME}

# Delete a Private Link Connection Request
az keyvault private-endpoint-connection delete --resource-group {RG} --vault-name {KEY VAULT NAME} --name {PRIVATE LINK CONNECTION NAME}

Hinzufügen privater DNS-Einträge

# Determine the Private Endpoint IP address
az network private-endpoint show -g {RG} -n {PE NAME}      # look for the property networkInterfaces then id; the value must be placed on {PE NIC} below.
az network nic show --ids {PE NIC}                         # look for the property ipConfigurations then privateIpAddress; the value must be placed on {NIC IP} below.

# https://learn.microsoft.com/azure/dns/private-dns-getstarted-cli#create-an-additional-dns-record
az network private-dns zone list -g {RG}
az network private-dns record-set a add-record -g {RG} -z "privatelink.vaultcore.azure.net" -n {KEY VAULT NAME} -a {NIC IP}
az network private-dns record-set list -g {RG} -z "privatelink.vaultcore.azure.net"

# From home/public network, you wil get a public IP. If inside a vnet with private zone, nslookup will resolve to the private ip.
nslookup {KEY VAULT NAME}.vault.azure.net
nslookup {KEY VAULT NAME}.privatelink.vaultcore.azure.net