Azure Key Vault

Dieses Beispiel legt ein Zertifikat in einem bestehenden Azure Key Vault ab, stellvertretend für die Azure-Deployment-Typen. TLSPilot greift nicht mit Ihrem Benutzerkonto auf den Vault zu, sondern mit einer eigenen App Registration, die sich mit einem Zertifikat authentifiziert. Der Helper des Key-Vault-Deployments weist nur einer bestehenden App Registration Berechtigungen zu; erstellen Sie diese App Registration deshalb zuerst. Sie brauchen also zwei Zertifikate: eines, mit dem sich die App Registration authentifiziert, und dasjenige, das Sie im Vault ablegen wollen.

App Registration erstellen

1. Stellen Sie ein Zertifikat von der Private CA aus, wie in Kapitel Private CA (PC) beschrieben, zum Beispiel «Key Vault Service Account». Belassen Sie die Standardeinstellungen und überspringen Sie die Deployments.
2. Fügen Sie diesem Zertifikat ein Deployment vom Typ Entra app registration mit Create app hinzu, wie in Kapitel App Registration beschrieben, zum Beispiel «Azure Key Vault Service Account». Verwenden Sie für jede Automatisierung eine eigene App Registration. Sobald der Helper fertig ist, fügt TLSPilot das Credential der neuen App Registration automatisch dem Credentials Manager hinzu.

Zertifikat im Vault ablegen

1. Öffnen Sie den Tab Deployments des Zertifikats, das Sie im Vault ablegen wollen, wie in Kapitel Lokaler Zertifikatsspeicher beschrieben, schalten Sie Automatic deployment ein, falls noch nicht geschehen, und klicken Sie auf Add…
2. Linked service: Wählen Sie Azure Key Vault.
3. Geben Sie Tenant ID, Subscription ID, Resource group, Key Vault name und den Object name des Zertifikats im Vault ein. Unter Store as wählen Sie, ob das Zertifikat als Zertifikat oder als Secret abgelegt wird.

4. Credential: Wählen Sie die oben erstellte App Registration, zum Beispiel «Azure Key Vault Service Account». Standardmässig ist die App Registration des RBAC-Setups vorausgewählt. Verwenden Sie diese nicht.
5. Helper: Klicken Sie auf Open Helper oder öffnen Sie den Tab Helper. Er zeigt die Rollen, die Sie brauchen (User Access Administrator oder Owner auf dem Vault), und die Rolle, die er der App Registration zuweist: Key Vault Certificates Officer oder Key Vault Secrets Officer, je nach Store as. Statt den Helper zu verwenden, können Sie die Rolle der App Registration auch manuell im Key Vault zuweisen.
6. Klicken Sie auf Run. Der Helper meldet sich mit Ihrem Konto bei Azure an, installiert fehlende Module und weist die Rolle zu.
7. Klicken Sie auf Test (dry run)… Eine Warnung, dass das Objekt noch nicht existiert, ist vor dem ersten Deployment zu erwarten.
8. Klicken Sie auf OK und dann auf Save. Auf die Frage, ob jetzt verteilt werden soll, klicken Sie auf Yes.

TLSPilot legt das Zertifikat im Key Vault ab und prüft die Health. Klicken Sie auf Close, sobald das Deployment abgeschlossen ist.