管理Azure托管 HSM 中的密钥

1. 在 Azure 门户中，导航到托管 HSM 资源。

2. 在左侧菜单中的 “设置”下，选择 “密钥”。

3. 从“生成/导入/还原备份”下拉列表中选择“生成/导入”。

4. 选择密钥类型（RSA-HSM、EC-HSM 或 oct-HSM），设置密钥大小或曲线、名称和允许的操作，然后选择“ 创建”。

   

使用 az keyvault key create 命令创建密钥。

创建 RSA 密钥

此示例演示如何创建仅用于 wrapKey 和 unwrapKey 操作的 3072 位 RSA 密钥（--ops）。

az keyvault key create --hsm-name <hsm-name> --name myrsakey --ops wrapKey unwrapKey --kty RSA-HSM --size 3072

## OR
# Note the key name (myrsakey) in the URI

az keyvault key create --id https://<hsm-name>.managedhsm.chinacloudapi.cn/keys/myrsakey --ops wrapKey unwrapKey --kty RSA-HSM --size 3072

该 get 操作仅返回公钥和密钥属性。 它不返回私钥（如果非对称密钥）或密钥材料（如果对称密钥）。

创建 EC 密钥

以下示例演示如何使用 P-256 曲线创建 EC 密钥。 密钥仅用于 签名和验证 操作（--ops），并且具有两个标记、 用法 和 appname。 使用标记将额外的元数据添加到密钥以跟踪和管理。

az keyvault key create --hsm-name <hsm-name> --name myec256key --ops sign verify  --tags 'usage=signing' 'appname=myapp' --kty EC-HSM --curve P-256

## OR
# Note the key name (myec256key) in the URI

az keyvault key create --id https://<hsm-name>.managedhsm.chinacloudapi.cn/keys/myec256key --ops sign verify  --tags 'usage=signing' 'appname=myapp' --kty EC-HSM --curve P-256

创建 256 位对称密钥

此示例演示如何创建仅用于加密和解密操作（--ops）的 256 位对称密钥。

az keyvault key create --hsm-name <hsm-name> --name myaeskey --ops encrypt decrypt  --tags 'usage=encryption' 'appname=myapp' --kty oct-HSM --size 256

## OR
# Note the key name (myaeskey) in the URI

az keyvault key create --id https://<hsm-name>.managedhsm.chinacloudapi.cn/keys/myaeskey --ops encrypt decrypt  --tags 'usage=encryption' 'appname=myapp' --kty oct-HSM --size 256

使用 Add-AzKeyVaultKey cmdlet 创建密钥。

创建 RSA 密钥

此示例演示如何创建仅用于 wrapKey 和 unwrapKey 操作的 3072 位 RSA 密钥。

Add-AzKeyVaultKey -HsmName <hsm-name> -Name myrsakey -KeyType RSA-HSM -Size 3072 -KeyOps wrapKey,unwrapKey

创建 EC 密钥

此示例演示如何使用 P-256 曲线创建 EC 密钥进行 签名和验证 操作。

Add-AzKeyVaultKey -HsmName <hsm-name> -Name myec256key -KeyType EC-HSM -CurveName P-256 -KeyOps sign,verify -Tag @{usage='signing'; appname='myapp'}

创建 256 位对称密钥

此示例演示如何创建用于加密和解密操作的 256 位对称密钥。

Add-AzKeyVaultKey -HsmName <hsm-name> -Name myaeskey -KeyType oct-HSM -Size 256 -KeyOps encrypt,decrypt -Tag @{usage='encryption'; appname='myapp'}

1. 在 Azure 门户中，导航到托管 HSM 资源。

2. 在左侧菜单中的 “设置”下，选择 “密钥”。

3. 选择要查看的键。 门户显示密钥的属性、版本和标记。

az keyvault key show使用命令查看键的属性、版本和标记。

az keyvault key show --hsm-name <hsm-name> --name myrsakey

## OR
# Note the key name (myaeskey) in the URI

az keyvault key show --id https://<hsm-name>.managedhsm.chinacloudapi.cn/keys/myrsakey

使用 Get-AzKeyVaultKey cmdlet 查看密钥的属性、版本和标记。

Get-AzKeyVaultKey -HsmName <hsm-name> -Name myrsakey

1. 在 Azure 门户中，导航到托管 HSM 资源。

2. 在左侧菜单中的 “设置”下，选择 “密钥”。 门户列出了托管 HSM 中的所有密钥。

使用 az keyvault key list 命令列出托管 HSM 中的所有密钥。

az keyvault key list --hsm-name <hsm-name>

## OR
# use full URI

az keyvault key list --id https://<hsm-name>.managedhsm.chinacloudapi.cn/

使用 Get-AzKeyVaultKey cmdlet 列出托管 HSM 中的所有密钥。

Get-AzKeyVaultKey -HsmName <hsm-name>

1. 在 Azure 门户中，导航到托管 HSM 资源。

2. 在左侧菜单中的 “设置”下，选择 “密钥”。

3. 选择要删除的密钥。

4. 选择删除，然后确认。

az keyvault key delete使用命令从托管 HSM 中删除密钥。 软删除功能始终开启。 因此，已删除的密钥会保持已删除状态，你可以将其恢复，直到保留天数过。 之后，将清除密钥（永久删除），且无法恢复。

az keyvault key delete --hsm-name <hsm-name> --name myrsakey

## OR
# Note the key name (myaeskey) in the URI

az keyvault key delete --id https://<hsm-name>.managedhsm.chinacloudapi.cn/keys/myrsakey

使用 Remove-AzKeyVaultKey cmdlet 删除密钥。 软删除始终处于打开状态，因此，在保留期到期之前，已删除的密钥将保持可恢复状态。

Remove-AzKeyVaultKey -HsmName <hsm-name> -Name myrsakey

1. 在 Azure 门户中，导航到托管 HSM 资源。

2. 在左侧菜单中的 “设置”下，选择 “密钥”。

3. 选择“ 管理已删除的密钥 ”以查看处于软删除状态的密钥。

使用 az keyvault key list-deleted 命令列出托管 HSM 中已删除状态中的所有密钥。

az keyvault key list-deleted --hsm-name <hsm-name>

## OR
# use full URI

az keyvault key list-deleted --id https://<hsm-name>.managedhsm.chinacloudapi.cn/

使用 Get-AzKeyVaultKey cmdlet 和 -InRemovedState 参数列出已删除的键。

Get-AzKeyVaultKey -HsmName <hsm-name> -InRemovedState

1. 在 Azure 门户中，导航到托管 HSM 资源。

2. 在左侧菜单中的 “设置”下，选择“ 密钥”，然后选择“ 管理已删除的密钥”。

3. 选择要恢复的已删除密钥。

4. 选择 “恢复”。

使用 az keyvault key list-deleted 命令列出托管 HSM 中已删除状态的所有密钥。 若要恢复（取消删除）密钥，请使用 --id 参数。 必须记下 recoveryId 从 az keyvault key list-deleted 命令获取的已删除密钥的值。

az keyvault key recover --hsm-name <hsm-name> --name myrsakey

## OR
# Note the key name (myaeskey) in the URI

az keyvault key recover --id https://<hsm-name>.managedhsm.chinacloudapi.cn/deletedKeys/myrsakey

使用 Undo-AzKeyVaultKeyRemoval cmdlet 恢复已删除的密钥。

Undo-AzKeyVaultKeyRemoval -HsmName <hsm-name> -Name myrsakey

1. 在 Azure 门户中，导航到托管 HSM 资源。

2. 在左侧菜单中的 “设置”下，选择“ 密钥”，然后选择“ 管理已删除的密钥”。

3. 选择要清除的已删除密钥。

4. 选择“ 清除”，然后确认。

az keyvault key purge使用命令清除密钥（永久删除）。

az keyvault key purge --hsm-name <hsm-name> --name myrsakey

## OR
# Note the key name (myaeskey) in the URI

az keyvault key purge --id https://<hsm-name>.managedhsm.chinacloudapi.cn/deletedKeys/myrsakey

使用 Remove-AzKeyVaultKey cmdlet 和 -InRemovedState 参数来清除已删除的密钥。

Remove-AzKeyVaultKey -HsmName <hsm-name> -Name myrsakey -InRemovedState

密钥备份目前在 Azure 门户中不可用。 使用Azure CLI或Azure PowerShell。

使用 az keyvault key backup 创建密钥备份。 备份文件是一个加密的 blob，以加密方式绑定到源 HSM 的安全域。 只能在共享同一安全域的 HSM 中还原它。 详细了解安全域。

az keyvault key backup --hsm-name <hsm-name> --name myrsakey --file myrsakey.backup

## OR
# Note the key name (myaeskey) in the URI

az keyvault key backup --id https://<hsm-name>.managedhsm.chinacloudapi.cn/keys/myrsakey  --file myrsakey.backup

使用 Backup-AzKeyVaultKey cmdlet 创建密钥备份。 备份文件是一个加密的 blob，以加密方式绑定到源 HSM 的安全域。

Backup-AzKeyVaultKey -HsmName <hsm-name> -Name myrsakey -OutputFile myrsakey.backup

1. 在 Azure 门户中，导航到托管 HSM 资源。

2. 在左侧菜单中的 “设置”下，选择 “密钥”。

3. 选择“ 生成/导入/还原备份 ”，然后 从备份中选择“还原密钥”。

4. 浏览到并选择备份文件，然后选择“ 还原”。

使用 az keyvault key restore 还原单个密钥。 在其中创建备份的源 HSM 必须与还原密钥的目标 HSM 共享相同的安全域。

az keyvault key restore --hsm-name <hsm-name> --name myrsakey --file myrsakey.backup

## OR
# Note the key name (myaeskey) in the URI

az keyvault key restore --id https://<hsm-name>.managedhsm.chinacloudapi.cn/keys/myrsakey --file myrsakey.backup

使用 Restore-AzKeyVaultKey cmdlet 还原单个密钥。 在其中创建备份的源 HSM 必须与目标 HSM 共享相同的安全域。

Restore-AzKeyVaultKey -HsmName <hsm-name> -InputFile myrsakey.backup

密钥导入目前在Azure门户中不可用。 使用Azure CLI或Azure PowerShell。

az keyvault key import使用命令从文件导入密钥（仅 RSA 和 EC）。 证书文件必须具有私钥，并且必须使用 PEM 编码（如 RFC 1421、1422、1423、1424 中定义）。

az keyvault key import --hsm-name <hsm-name> --name myrsakey --pem-file mycert.key --pem-password 'mypassword'

## OR
# Note the key name (<key-name>) in the URI

az keyvault key import --id https://<hsm-name>.managedhsm.chinacloudapi.cn/keys/<key-name> --pem-file mycert.key --password 'mypassword'

使用 Add-AzKeyVaultKey cmdlet 和 -KeyFilePath 参数，从 PEM 文件导入密钥。

Add-AzKeyVaultKey -HsmName <hsm-name> -Name myrsakey -KeyFilePath ./mycert.key -KeyFilePassword (ConvertTo-SecureString -String 'mypassword' -AsPlainText -Force) -KeyType RSA-HSM