Schützen geheimer Schlüssel in Azure PowerShell

Wenn Sie Azure-Ressourcen mit Azure PowerShell verwalten, kann die Ausgabe von Befehlen vertrauliche Informationen verfügbar machen, die Sie schützen müssen. Beispielsweise könnte Azure PowerShell Kennwörter, Token oder Schlüssel in der Ausgabe anzeigen, wenn Sie sie erstellen. Einige Befehle können die Ausgabe auch in Protokolldateien speichern. Dieses Szenario ist häufig der Fall, wenn Sie mit GitHub-Aktionen oder Azure DevOps arbeiten.

Verstehen des Risikos

Es ist wichtig, geheime und vertrauliche Informationen zu schützen. Wenn sie falsch behandelt werden, können sie für nicht autorisierte Benutzer zugänglich werden. Benutzerfehler, z. B. nicht ordnungsgemäß konfigurierte Skripts oder Das Eingeben geheimer Schlüssel als Werte für Parameter, können vertrauliche Details in Protokollen, Befehlsverlaufs- oder Versionssteuerungssystemen verfügbar machen.

Warnmeldung

Azure PowerShell zeigt standardmäßig eine Warnmeldung an, die mit Version 12.0.0 beginnt, um vertrauliche Informationen zu schützen, wenn sie einen potenziellen Geheimschlüssel in der Ausgabe eines Befehls identifiziert.

Deaktivieren der Warnmeldung

Im folgenden Beispiel wird das Update-AzConfig Cmdlet verwendet, um die Warnmeldung zu deaktivieren.

Update-AzConfig -DisplaySecretsWarning $false

Sie können auch die Umgebungsvariable $Env:AZURE_CLIENTS_SHOW_SECRETS_WARNING verwenden, um die Warnmeldung zu deaktivieren.

Set-Item -Path Env:\AZURE_CLIENTS_SHOW_SECRETS_WARNING -Value $false

Übergang von Zeichenfolgen zu SecureStrings

Um die Sicherheit zu verbessern und das Risiko von Verlusten an Anmeldeinformationen zu verringern, wurde der Standardausgabetyp des Get-AzAccessToken Cmdlets von einem Nur-Text String zu einem SecureString, beginnend mit Az.Accounts , Version 5.0.0 und Az , Version 14.0.0 geändert.

Zugriffstoken sind vertrauliche Anmeldeinformationen, die Zugriff auf Azure-Ressourcen gewähren. Die Rückgabe als Nur-Text erhöht das Risiko einer versehentlichen Exposition in Protokollen, Transkriptionen oder interaktiven Sitzungen. Durch den Wechsel zu SecureString" verhindert das Cmdlet, dass Token angezeigt oder unsicher gespeichert werden.

Wenn ihr Szenario das Token in Nur-Text erfordert, das dringend davon abgeraten wird, können Sie das SecureString Token manuell konvertieren. Anleitungen finden Sie unter How can I convert a SecureString to plain text in PowerShell?.