Realocar o Azure Key Vault para outra região

Para exportar um modelo com o portal do Azure:

1. Inicie sessão no portal Azure.

2. Selecione Todos os recursos e, em seguida, selecione o cofre de chaves.

3. Selecione >Automação>Modelo de exportação.

4. Escolha Download na folha Exportar modelo .

5. Localize o arquivo .zip que você baixou do portal e descompacte esse arquivo para uma pasta de sua escolha.

   Esse arquivo zip contém os arquivos .json que compõem o modelo e os scripts para implantar o modelo.

Para exportar um modelo usando o PowerShell:

1. Entre na sua assinatura do Azure com o comando Connect-AzAccount e siga as instruções na tela:

   Connect-AzAccount
   

2. Se a sua identidade estiver associada a mais do que uma subscrição, defina a sua subscrição ativa para a subscrição associada ao cofre de chaves que pretende mover.

   $context = Get-AzSubscription -SubscriptionId <subscription-id>
   Set-AzContext $context
   

3. Exporte o modelo do seu cofre de chaves de origem. Esses comandos salvam um modelo json no diretório atual.

   $resource = Get-AzResource `
     -ResourceGroupName <resource-group-name> `
     -ResourceName <key-vault-name> `
     -ResourceType Microsoft.KeyVault/vaults `
   Export-AzResourceGroup `
     -ResourceGroupName <resource-group-name> `
     -Resource $resource.ResourceId
   

Para implantar o modelo usando o portal do Azure:

1. No portal do Azure, selecione Criar um recurso.

2. Em Pesquisar no Marketplace, escreva implementação de modelo e prima ENTER.

3. Selecione Implementação de modelo.

4. Selecione Criar.

5. Selecione Crie o seu próprio modelo no editor.

6. Selecione Carregar ficheiro e, em seguida, siga as instruções para carregar o ficheiro template.json que transferiu na última secção.

7. No arquivo template.json, nomeie o cofre de chaves definindo o valor padrão do nome do cofre de chaves. Este exemplo define o valor padrão do nome do cofre de chaves como mytargetaccount.

   "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#",
   "contentVersion": "1.0.0.0",
   "parameters": {
       "vaults_name": {
           "defaultValue": "key-vault-name",
           "type": "String"
       }
   },
   

8. Edite a propriedade location no ficheiro template.json para a região alvo. Este exemplo define a região de destino para centralus.

   "resources": [
      {
        "type": "Microsoft.KeyVault/vaults",
        "apiVersion": "2023-07-01",
        "name": "[parameters('vaults_name')]",
        "location": "centralus",
        ...
      },
      ...
   ]
   

   Para obter códigos de localização de região, consulte Azure Locations. O código para uma região é o nome da região sem espaços, Central US = centralus.

9. Remova recursos do tipo ponto final privado no modelo.

   {
     "type": "Microsoft.KeyVault/vaults/privateEndpointConnections",
     ...
   }
   

10. Caso você tenha configurado um ponto de extremidade de serviço em seu cofre de chaves, na seção networkAcl , em virtualNetworkRules, adicione a regra para a sub-rede de destino. Certifique-se de que o sinalizador ignoreMissingVnetServiceEndpoint esteja definido como False, para que o IaC não consiga implantar o Cofre da Chave caso o ponto de extremidade do serviço não esteja configurado na região de destino.

    parameter.json

    {
      "$schema": "https://schema.management.azure.com/schemas/2015-01-01/deploymentParameters.json#",
      "contentVersion": "1.0.0.0",
      "parameters": {
        "target_vnet_externalid": {
          "value": "virtualnetwork-externalid"
        },
        "target_subnet_name": {
          "value": "subnet-name"
        }
      }
    }
    

    template.json

    "networkAcls": {
      "bypass": "AzureServices",
      "defaultAction": "Deny",
      "ipRules": [],
      "virtualNetworkRules": [
        {
            "id": "[concat(parameters('target_vnet_externalid'), concat('/subnets/', parameters('target_subnet_name')]",
            "ignoreMissingVnetServiceEndpoint": false
        }
      ]
    }
    

Para implantar o modelo usando o PowerShell:

1. No ficheiro template.json, atribua um nome ao cofre de chaves de destino ao definir o valor predefinido do nome do cofre de chaves. Este exemplo define o valor padrão do nome do cofre de chaves como key-vault-name.

   "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#",
   "contentVersion": "1.0.0.0",
   "parameters": {
      "vaults_name": {
        "defaultValue": "key-vault-name",
        "type": "String"
      }
   }
   

2. Edite a propriedade location no ficheiro template.json para a região alvo. Este exemplo define a região alvo para eastus.

   "resources": [
      {
        "type": "Microsoft.KeyVault/vaults",
        "apiVersion": "2023-07-01",
        "name": "[parameters('vaults_name')]",
        "location": "eastus",
        ...
      },
      ...
   ]
   

   Pode obter os códigos de região executando o comando Get-AzLocation.

   Get-AzLocation | format-table
   

3. Remova recursos do tipo ponto final privado no modelo.

   {
     "type": "Microsoft.KeyVault/vaults/privateEndpointConnections",
     ...
   }
   

4. Caso você tenha configurado um ponto de extremidade de serviço em seu cofre de chaves, na seção networkAcl , em virtualNetworkRules, adicione a regra para a sub-rede de destino. Certifique-se de que o sinalizador ignoreMissingVnetServiceEndpoint esteja definido como False, para que a implantação do IaC falhe ao tentar implantar o Key Vault caso o ponto de extremidade do serviço não esteja configurado na região de destino.

   parameter.json

   {
     "$schema": "https://schema.management.azure.com/schemas/2015-01-01/deploymentParameters.json#",
     "contentVersion": "1.0.0.0",
     "parameters": {
       "target_vnet_externalid": {
         "value": "virtualnetwork-externalid"
       },
       "target_subnet_name": {
         "value": "subnet-name"
       }
     }
   }
   

   template.json

   "networkAcls": {
      "bypass": "AzureServices",
      "defaultAction": "Deny",
      "ipRules": [],
      "virtualNetworkRules": [
        {
            "id": "[concat(parameters('target_vnet_externalid'), concat('/subnets/', parameters('target_subnet_name')]",
            "ignoreMissingVnetServiceEndpoint": false
        }
      ]
   }
   

1. Salve o arquivo template.json .

2. Introduza ou selecione os valores das propriedades:

   • Subscrição: selecione uma subscrição do Azure.
   • Grupo de recursos: selecione Criar novo e dê um nome ao grupo de recursos.
   • Local: selecione um local do Azure.

3. Selecione Concordo com os termos e condições mencionados acima e, em seguida, selecione Selecionar compra.

4. As Políticas de Acesso e as definições de configuração de Rede (pontos de extremidade privados) precisam ser reconfiguradas no novo Cofre da Chave. A eliminação suave e proteção contra purga precisam ser reconfiguradas no novo cofre de chaves e nas configurações de autorrotação.

1. Obtenha o ID de assinatura onde você deseja implantar o IP público de destino com Get-AzSubscription:

   Get-AzSubscription
   

2. Use estes comandos para implantar seu modelo:

   $resourceGroupName = Read-Host -Prompt "Enter the Resource Group name"
   $location = Read-Host -Prompt "Enter the location (i.e. eastus)"
   
   New-AzResourceGroup -Name $resourceGroupName -Location "$location"
   New-AzResourceGroupDeployment -ResourceGroupName $resourceGroupName -TemplateUri "<name of your local template file>"
   

3. As Políticas de Acesso e as definições de configuração de Rede (pontos de extremidade privados) precisam ser reconfiguradas no novo Cofre da Chave. A exclusão suave e a proteção contra limpeza precisam ser reconfiguradas no novo cofre de chaves e nas configurações de rotação automática.