Key Vault 및 Azure PowerShell을 사용하여 스토리지 계정 키 관리(레거시)

Azure 스토리지 계정은 계정 이름과 키로 구성된 자격 증명을 사용합니다. 키는 자동 생성되며 암호화 키가 아닌 암호 역할을 합니다. Key Vault는 스토리지 계정에서 스토리지 계정 키를 주기적으로 다시 생성하여 스토리지 계정 키를 관리하며, 스토리지 계정의 리소스에 대한 위임된 액세스가 가능하도록 공유 액세스 서명 토큰을 제공합니다.

Key Vault 관리형 스토리키 계정 키 기능을 사용하여 키를 나열(Azure 스토리지 계정과 동기화)하고, 주기적으로 키를 다시 생성(순환)할 수 있습니다. 스토리지 계정과 클래식 스토리지 계정의 키를 모두 관리할 수 있습니다.

관리형 스토리지 계정 키 기능을 사용할 때 다음 사항을 고려해야 합니다.

• 키 값은 호출자에게 응답으로 반환되지 않습니다.
• Key Vault에서만 스토리지 계정 키를 관리해야 합니다. 키를 직접 관리하거나 Key Vault 프로세스를 방해하지 마세요.
• 단일 Key Vault 개체에서만 스토리지 계정 키를 관리해야 합니다. 여러 개체에서 키를 관리하도록 허용하지 마세요.
• Key Vault만을 사용하여 키를 다시 생성해야 합니다. 스토리지 계정 키를 수동으로 다시 생성하지 않습니다.

서비스 주체 애플리케이션 ID

Microsoft Entra 테넌트는 등록된 각 애플리케이션에 서비스 주체를 제공합니다. 서비스 주체는 애플리케이션 ID 역할을 하며, Azure RBAC를 통해 다른 Azure 리소스에 액세스하기 위해 권한 부여를 설정하는 동안 사용됩니다.

Key Vault는 모든 Microsoft Entra 테넌트에서 미리 등록되는 Microsoft 애플리케이션입니다. Key Vault는 각 Azure 클라우드에서 동일한 애플리케이션 ID로 등록됩니다.

필수 조건

이 가이드를 완료하려면 먼저 다음을 수행해야 합니다.

• Azure PowerShell 모듈 설치
• 키 자격 증명 모음 만들기
• Azure 스토리지 계정을 만듭니다. 스토리지 계정 이름에는 소문자와 숫자만 사용해야 합니다. 이름은 3~24자 사이여야 합니다.

스토리지 계정 키 관리

Azure 계정에 연결

Connect-AzAccount cmdlet을 사용하여 PowerShell 세션을 인증합니다.

Connect-AzAccount

Azure 구독이 여러 개 있는 경우 Get-AzSubscription cmdlet을 사용하여 구독을 나열하고, Set-AzContext cmdlet을 통해 사용하려는 구독을 지정할 수 있습니다.

Set-AzContext -SubscriptionId <subscriptionId>

변수 설정

먼저 다음 단계에서 PowerShell cmdlet에 사용할 변수를 설정합니다. "YourResourceGroupName", "YourStorageAccountName", "YourKeyVaultName" 자리 표시자를 업데이트하고, 서비스 주체 애플리케이션 ID에 지정된 대로 $keyVaultSpAppId를 cfa8b339-82a2-471a-a3c9-0fc0be7a4093으로 설정합니다.

또한 여기서는 Azure PowerShell Get-AzContext 및 Get-AzStorageAccount cmdlet을 사용하여 사용자 ID와 Azure 스토리지 계정의 컨텍스트를 가져올 것입니다.

$resourceGroupName = <YourResourceGroupName>
$storageAccountName = <YourStorageAccountName>
$keyVaultName = <YourKeyVaultName>
$keyVaultSpAppId = "cfa8b339-82a2-471a-a3c9-0fc0be7a4093"
$storageAccountKey = "key1" #(key1 or key2 are allowed)

# Get your User Id
$userId = (Get-AzContext).Account.Id

# Get a reference to your Azure storage account
$storageAccount = Get-AzStorageAccount -ResourceGroupName $resourceGroupName -StorageAccountName $storageAccountName

Key Vault에 스토리지 계정에 대한 액세스 권한 부여

Key Vault가 스토리지 계정 키에 액세스하여 관리하려면 사용자가 스토리지 계정에 액세스 권한을 부여해야 합니다. Key Vault 애플리케이션은 스토리지 계정의 키를 나열하고 다시 생성할 수 있는 권한이 필요합니다. 이러한 권한은 Azure의 기본 제공 역할인 스토리지 계정 키 운영자 서비스 역할을 통해 설정됩니다.

Azure PowerShell New-AzRoleAssignment cmdlet을 사용하여 Key Vault 서비스 주체에 이 역할을 할당하고 스토리지 계정으로 범위를 제한합니다.

# Assign Azure role "Storage Account Key Operator Service Role" to Key Vault, limiting the access scope to your storage account. For a classic storage account, use "Classic Storage Account Key Operator Service Role."
New-AzRoleAssignment -ApplicationId $keyVaultSpAppId -RoleDefinitionName 'Storage Account Key Operator Service Role' -Scope $storageAccount.Id

역할 할당에 성공하면 다음 예제와 비슷한 결과가 나타납니다.

RoleAssignmentId   : /subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/rgContoso/providers/Microsoft.Storage/storageAccounts/sacontoso/providers/Microsoft.Authorization/roleAssignments/00000000-0000-0000-0000-000000000000
Scope              : /subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/rgContoso/providers/Microsoft.Storage/storageAccounts/sacontoso
DisplayName        : Azure Key Vault
SignInName         :
RoleDefinitionName : storage account Key Operator Service Role
RoleDefinitionId   : 81a9662b-bebf-436f-a333-f67b29880f12
ObjectId           : aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb
ObjectType         : ServicePrincipal
CanDelegate        : False

Key Vault가 스토리지 계정의 역할에 이미 추가된 경우 "역할 할당이 이미 존재합니다" 오류가 표시됩니다. 또한 Azure Portal에서 스토리지 계정 “액세스 제어(IAM)” 페이지를 사용하여 역할 할당을 확인할 수도 있습니다.

관리 스토리지 계정에 사용자 계정 권한 부여

Azure PowerShell Set-AzKeyVaultAccessPolicy cmdlet을 사용하여 Key Vault 액세스 정책을 업데이트하고 사용자 계정에 스토리지 계정 권한을 부여합니다.

# Give your user principal access to all storage account permissions, on your Key Vault instance

Set-AzKeyVaultAccessPolicy -VaultName $keyVaultName -UserPrincipalName $userId -PermissionsToStorage get, list, delete, set, update, regeneratekey, getsas, listsas, deletesas, setsas, recover, backup, restore, purge

스토리지 계정에 대한 권한은 Azure Portal의 스토리지 계정 “액세스 정책” 페이지에서 제공되지 않습니다.

Key Vault 인스턴스에 관리 스토리지 계정 추가

Azure PowerShell Add-AzKeyVaultManagedStorageAccount cmdlet을 사용하여 Key Vault 인스턴스에 관리형 스토리지 계정을 만듭니다. -DisableAutoRegenerateKey 스위치는 스토리지 계정 키를 다시 생성하지 않도록 지정합니다.

# Add your storage account to your Key Vault's managed storage accounts

Add-AzKeyVaultManagedStorageAccount -VaultName $keyVaultName -AccountName $storageAccountName -AccountResourceId $storageAccount.Id -ActiveKeyName $storageAccountKey -DisableAutoRegenerateKey

키가 다시 생성되지 않고 스토리지 계정 추가에 성공하면 다음 예제와 유사한 출력이 표시됩니다.

Id                  : https://kvcontoso.vault.azure.net:443/storage/sacontoso
Vault Name          : kvcontoso
AccountName         : sacontoso
Account Resource Id : /subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/rgContoso/providers/Microsoft.Storage/storageAccounts/sacontoso
Active Key Name     : key1
Auto Regenerate Key : False
Regeneration Period : 90.00:00:00
Enabled             : True
Created             : 11/19/2018 11:54:47 PM
Updated             : 11/19/2018 11:54:47 PM
Tags                :

키 다시 생성 사용

Key Vault에서 스토리지 계정 키를 주기적으로 다시 생성하게 하려면 Azure PowerShell Add-AzKeyVaultManagedStorageAccount cmdlet을 사용하여 다시 생성 기간을 설정하면 됩니다. 이 예제에서는 다시 생성 기간을 30일로 설정합니다. 순환할 시간이 되면 Key Vault는 비활성 키를 다시 생성한 다음, 새로 만든 키를 활성 상태로 설정합니다. SAS 토큰을 발급하는 데 사용되는 키는 활성 키입니다.

$regenPeriod = [System.Timespan]::FromDays(30)

Add-AzKeyVaultManagedStorageAccount -VaultName $keyVaultName -AccountName $storageAccountName -AccountResourceId $storageAccount.Id -ActiveKeyName $storageAccountKey -RegenerationPeriod $regenPeriod

키가 다시 생성되고 스토리지 계정 추가에 성공하면 다음 예제와 유사한 출력이 표시됩니다.

Id                  : https://kvcontoso.vault.azure.net:443/storage/sacontoso
Vault Name          : kvcontoso
AccountName         : sacontoso
Account Resource Id : /subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/rgContoso/providers/Microsoft.Storage/storageAccounts/sacontoso
Active Key Name     : key1
Auto Regenerate Key : True
Regeneration Period : 30.00:00:00
Enabled             : True
Created             : 11/19/2018 11:54:47 PM
Updated             : 11/19/2018 11:54:47 PM
Tags                :

공유 액세스 서명 토큰

Key Vault에 공유 액세스 서명 토큰을 생성하고 요청할 수도 있습니다. 공유 액세스 서명은 스토리지 계정의 리소스에 대한 위임된 권한을 제공합니다. 계정 키를 공유하지 않고도 스토리지 계정의 리소스에 대한 액세스 권한을 클라이언트에 부여할 수 있습니다. 공유 액세스 서명은 계정 키를 손상시키지 않고 스토리지 리소스를 공유할 수 있는 안전한 방법을 제공합니다.

이 섹션의 명령은 다음 작업을 완료합니다.

• 계정 공유 액세스 서명 정의를 설정합니다.
• 자격 증명 모음에서 Key Vault 관리형 스토리지 공유 액세스 서명 정의를 설정합니다. 정의에는 생성된 공유 액세스 서명 토큰의 템플릿 URI가 포함됩니다. 정의의 공유 액세스 서명 유형은 account이며 N일 동안 유효합니다.
• 공유 액세스 서명이 키 자격 증명 모음에 비밀로 저장되었는지 확인합니다.

변수 설정

먼저 다음 단계에서 PowerShell cmdlet에 사용할 변수를 설정합니다. <YourStorageAccountName> 및 <YourKeyVaultName> 자리 표시자를 업데이트해야 합니다.

$storageAccountName = <YourStorageAccountName>
$keyVaultName = <YourKeyVaultName>

공유 액세스 서명 정의 템플릿 정의

Key Vault는 SAS 정의 템플릿을 사용하여 클라이언트 애플리케이션에 대한 토큰을 생성합니다.

SAS 정의 템플릿 예제:

$sasTemplate="sv=2018-03-28&ss=bfqt&srt=sco&sp=rw&spr=https"

Key Vault용 SAS 정의 템플릿에 필요한 계정 SAS 매개 변수

계정 SAS에 대한 자세한 내용은 계정 SAS 만들기를 참조하세요.

Key Vault에서 공유 액세스 서명 정의 설정

Azure PowerShell Set-AzKeyVaultManagedStorageSasDefinition cmdlet을 사용하여 공유 액세스 서명 정의를 만듭니다. -Name 매개 변수 이름을 원하는 대로 지정할 수 있습니다.

Set-AzKeyVaultManagedStorageSasDefinition -AccountName $storageAccountName -VaultName $keyVaultName -Name <YourSASDefinitionName> -TemplateUri $sasTemplate -SasType 'account' -ValidityPeriod ([System.Timespan]::FromDays(1))

공유 액세스 서명 정의 확인

Azure PowerShell Get-AzKeyVaultSecret cmdlet을 사용하여 공유 액세스 서명 정의가 키 자격 증명 모음에 저장되었는지 확인할 수 있습니다.

먼저 키 자격 증명 모음에서 공유 액세스 서명 정의를 찾습니다.

Get-AzKeyVaultSecret -VaultName <YourKeyVaultName>

SAS 정의에 해당하는 비밀의 속성은 다음과 같습니다.

Vault Name   : <YourKeyVaultName>
Name         : <SecretName>
...
Content Type : application/vnd.ms-sastoken-storage
Tags         :

이제 VaultName 및 Name 매개 변수와 함께 Get-AzKeyVaultSecret cmdlet을 사용하여 해당 비밀의 내용을 볼 수 있습니다.

$secretValueText = Get-AzKeyVaultSecret -VaultName <YourKeyVaultName> -Name <SecretName> -AsPlainText
Write-Output $secretValueText

이 명령의 출력은 SAS 정의 문자열을 보여줍니다.

다음 단계

• 관리 스토리지 계정 키 예제
• Key Vault PowerShell 참조