Condividi tramite

Guida: Configurare la rotazione automatica dei certificati in Key Vault

È possibile effettuare facilmente il provisioning, gestire e distribuire i certificati digitali usando Azure Key Vault. I certificati possono essere certificati SSL (Secure Sockets Layer)/Transport Layer Security (TLS) pubblici e privati firmati da un'autorità di certificazione (CA) o da un certificato autofirmato. Key Vault può anche richiedere e rinnovare i certificati tramite partnership con autorità di certificazione, offrendo una soluzione affidabile per la gestione del ciclo di vita dei certificati.

Per una comprensione completa dei concetti e dei vantaggi dell'autorotazione in diversi tipi di asset in Azure Key Vault, vedere Informazioni sull'autorotazione in Azure Key Vault.

In questa esercitazione si aggiorna il periodo di validità di un certificato, la frequenza di autorotazione e gli attributi della CA.

  • Gestire un certificato usando il portale di Azure.
  • Aggiungere un account del provider della CA.
  • Aggiornare il periodo di validità del certificato.
  • Aggiornare la frequenza di rotazione automatica del certificato.
  • Aggiornare gli attributi del certificato usando Azure PowerShell.

Prima di iniziare, leggere Key Vault concetti di base.

Se non si ha una sottoscrizione Azure, creare un account free prima di iniziare.

Accedere a Azure

Accedere al portale Azure.

Creare un insieme di credenziali

Creare un'istanza di Key Vault usando uno dei tre metodi seguenti:

Creare un certificato in Key Vault

Creare un certificato o importare un certificato nel key vault (vedere Steps per creare un certificato in Key Vault. In questo caso, si lavora su un certificato denominato ExampleCertificate.

Aggiornare gli attributi del ciclo di vita del certificato

In Azure Key Vault è possibile aggiornare gli attributi del ciclo di vita di un certificato sia al momento della creazione del certificato che dopo.

Un certificato creato in Key Vault può essere:

  • Un certificato autofirmato.
  • Certificato creato con una CA associata a Key Vault.
  • Un certificato con una CA non affiliata a Key Vault.

Le seguenti CA sono attualmente fornitori partner con Key Vault.

  • DigiCert: Key Vault offre certificati OV o EV TLS/SSL.
  • GlobalSign: Key Vault offre certificati OV o EV TLS/SSL.

Key Vault esegue l'autorotazione dei certificati attraverso partnership stabilite con le CA. Poiché Key Vault richiede e rinnova automaticamente i certificati tramite la partnership, la funzionalità di autorotazione non è applicabile per i certificati creati con ca non partner con Key Vault.

Annotazioni

Un amministratore dell'account per un provider ca crea le credenziali che Key Vault usa per creare, rinnovare e usare certificati TLS/SSL. Autorità di certificazione

Aggiornare gli attributi del ciclo di vita del certificato al momento della creazione

  1. Nelle pagine delle proprietà Key Vault selezionare Certificates.

  2. Selezionare Genera/Importa.

  3. Nella schermata Crea un certificato aggiornare i valori seguenti:

    • Periodo di validità: immettere il valore (in mesi). La creazione di certificati di breve durata è una procedura di sicurezza consigliata. Per impostazione predefinita, il valore di validità di un certificato appena creato è 12 mesi.

    • Tipo di azione durata: selezionare l'azione di attivazione automatica e avviso del certificato e quindi aggiornare la durata percentuale o il numero di giorni prima della scadenza. Per impostazione predefinita, il rinnovo automatico di un certificato viene impostato all' 80% della durata. Dal menu a discesa selezionare una delle opzioni seguenti.

      Rinnovo automatico in un determinato momento Invia un messaggio di posta elettronica a tutti i contatti in un determinato momento
      Se si seleziona questa opzione , viene attivata l'autorotazione. Se si seleziona questa opzione non verrà eseguita automaticamente, ma verranno avvisati solo i contatti.

      Per informazioni sulla configurazione del contatto di posta elettronica, vedere qui

  4. Fare clic su Crea.

Ciclo di vita del certificato

Aggiornare gli attributi del ciclo di vita di un certificato archiviato

  1. Selezionare l'insieme di credenziali delle chiavi.

  2. Nelle pagine delle proprietà Key Vault selezionare Certificates.

  3. Selezionare il certificato da aggiornare. In questo caso, si lavora su un certificato denominato ExampleCertificate.

  4. Selezionare Criteri di rilascio nella barra dei menu in alto.

    Screenshot con il pulsante Criterio di rilascio evidenziato.

  5. Nella schermata Criteri di rilascio aggiornare i valori seguenti:

    • Periodo di validità: aggiornare il valore (in mesi).
    • Tipo di azione sulla durata: selezionare l'azione di rinnovo automatico e di allerta del certificato e quindi aggiornare la percentuale della durata o il numero di giorni prima della scadenza.

    Proprietà del certificato

  6. Seleziona Salva.

Importante

La modifica del tipo di azione relativa alla durata per un certificato registra immediatamente le modifiche per i certificati esistenti.

Aggiornare gli attributi del certificato tramite PowerShell

Set-AzKeyVaultCertificatePolicy -VaultName $vaultName `
                                -Name $certificateName `
                                -RenewAtNumberOfDaysBeforeExpiry [276 or appropriate calculated value]

Suggerimento

Per modificare i criteri di rinnovo per un elenco di certificati, immettere File.csv contenente VaultName,CertName come nell'esempio seguente:
vault1,Cert1​
vault2,Cert2​

$file = Import-CSV C:\Users\myfolder\ReadCSVUsingPowershell\File.csv ​
foreach($line in $file)​
{​
Set-AzKeyVaultCertificatePolicy -VaultName $vaultName -Name $certificateName -RenewAtNumberOfDaysBeforeExpiry [276 or appropriate calculated value]
}

Per ulteriori informazioni sui parametri, vedere az keyvault certificate.

Pulire le risorse

Altre esercitazioni Key Vault si basano su questa esercitazione. Se si prevede di usare tali esercitazioni, potrebbe essere opportuno mantenere le risorse esistenti. Quando non ti servono più, elimina il gruppo di risorse, il che eliminerà il Key Vault e le risorse correlate.

Per eliminare il gruppo di risorse usando il portale:

  1. Immettere il nome del gruppo di risorse nella casella Cerca nella parte superiore del portale. Quando il gruppo di risorse usato in questa guida introduttiva viene visualizzato nei risultati della ricerca, selezionarlo.
  2. Selezionare Elimina gruppo di risorse.
  3. Nella casella DIGITARE IL NOME DEL GRUPPO DI RISORSE digitare il nome del gruppo di risorse e quindi selezionare Elimina.

Passaggi successivi

In questa esercitazione sono stati aggiornati gli attributi del ciclo di vita di un certificato. Per altre informazioni su Key Vault e su come integrarlo con le applicazioni, continuare con gli articoli seguenti:

  • Last updated on