你当前正在访问 Microsoft Azure Global Edition 技术文档网站。如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站，请访问 https://docs.azure.cn。

Add-AzKeyVaultKey

模块:: Az.KeyVault Module

在密钥保管库中创建密钥或将密钥导入密钥保管库。

语法

InteractiveCreate （默认值）

Add-AzKeyVaultKey
    [-VaultName] <String>
    [-Name] <String>
    -Destination <String>
    [-Disable]
    [-KeyOps <String[]>]
    [-Expires <DateTime>]
    [-NotBefore <DateTime>]
    [-Tag <Hashtable>]
    [-Size <Int32>]
    [-KeyType <String>]
    [-CurveName <String>]
    [-Exportable]
    [-Immutable]
    [-ReleasePolicyPath <String>]
    [-UseDefaultCVMPolicy]
    [-DefaultProfile <IAzureContextContainer>]
    [-WhatIf]
    [-Confirm]
    [<CommonParameters>]

InteractiveImport

Add-AzKeyVaultKey
    [-VaultName] <String>
    [-Name] <String>
    -KeyFilePath <String>
    [-KeyFilePassword <SecureString>]
    [-Destination <String>]
    [-Disable]
    [-KeyOps <String[]>]
    [-Expires <DateTime>]
    [-NotBefore <DateTime>]
    [-Tag <Hashtable>]
    [-KeyType <String>]
    [-CurveName <String>]
    [-DefaultProfile <IAzureContextContainer>]
    [-WhatIf]
    [-Confirm]
    [<CommonParameters>]

HsmInteractiveCreate

Add-AzKeyVaultKey
    [-Name] <String>
    -HsmName <String>
    -KeyType <String>
    [-Disable]
    [-KeyOps <String[]>]
    [-Expires <DateTime>]
    [-NotBefore <DateTime>]
    [-Tag <Hashtable>]
    [-Size <Int32>]
    [-CurveName <String>]
    [-Exportable]
    [-Immutable]
    [-ReleasePolicyPath <String>]
    [-UseDefaultCVMPolicy]
    [-DefaultProfile <IAzureContextContainer>]
    [-WhatIf]
    [-Confirm]
    [<CommonParameters>]

HsmInteractiveImport

Add-AzKeyVaultKey
    [-Name] <String>
    -HsmName <String>
    -KeyFilePath <String>
    [-KeyFilePassword <SecureString>]
    [-Disable]
    [-KeyOps <String[]>]
    [-Expires <DateTime>]
    [-NotBefore <DateTime>]
    [-Tag <Hashtable>]
    [-DefaultProfile <IAzureContextContainer>]
    [-WhatIf]
    [-Confirm]
    [<CommonParameters>]

InputObjectCreate

Add-AzKeyVaultKey
    [-InputObject] <PSKeyVault>
    [-Name] <String>
    -Destination <String>
    [-Disable]
    [-KeyOps <String[]>]
    [-Expires <DateTime>]
    [-NotBefore <DateTime>]
    [-Tag <Hashtable>]
    [-Size <Int32>]
    [-KeyType <String>]
    [-CurveName <String>]
    [-Exportable]
    [-Immutable]
    [-ReleasePolicyPath <String>]
    [-UseDefaultCVMPolicy]
    [-DefaultProfile <IAzureContextContainer>]
    [-WhatIf]
    [-Confirm]
    [<CommonParameters>]

InputObjectImport

Add-AzKeyVaultKey
    [-InputObject] <PSKeyVault>
    [-Name] <String>
    -KeyFilePath <String>
    [-KeyFilePassword <SecureString>]
    [-Destination <String>]
    [-Disable]
    [-KeyOps <String[]>]
    [-Expires <DateTime>]
    [-NotBefore <DateTime>]
    [-Tag <Hashtable>]
    [-KeyType <String>]
    [-CurveName <String>]
    [-DefaultProfile <IAzureContextContainer>]
    [-WhatIf]
    [-Confirm]
    [<CommonParameters>]

HsmInputObjectCreate

Add-AzKeyVaultKey
    [-HsmObject] <PSManagedHsm>
    [-Name] <String>
    -KeyType <String>
    [-Disable]
    [-KeyOps <String[]>]
    [-Expires <DateTime>]
    [-NotBefore <DateTime>]
    [-Tag <Hashtable>]
    [-Size <Int32>]
    [-CurveName <String>]
    [-Exportable]
    [-Immutable]
    [-ReleasePolicyPath <String>]
    [-UseDefaultCVMPolicy]
    [-DefaultProfile <IAzureContextContainer>]
    [-WhatIf]
    [-Confirm]
    [<CommonParameters>]

HsmInputObjectImport

Add-AzKeyVaultKey
    [-HsmObject] <PSManagedHsm>
    [-Name] <String>
    -KeyFilePath <String>
    [-KeyFilePassword <SecureString>]
    [-Disable]
    [-KeyOps <String[]>]
    [-Expires <DateTime>]
    [-NotBefore <DateTime>]
    [-Tag <Hashtable>]
    [-DefaultProfile <IAzureContextContainer>]
    [-WhatIf]
    [-Confirm]
    [<CommonParameters>]

ResourceIdCreate

Add-AzKeyVaultKey
    [-ResourceId] <String>
    [-Name] <String>
    -Destination <String>
    [-Disable]
    [-KeyOps <String[]>]
    [-Expires <DateTime>]
    [-NotBefore <DateTime>]
    [-Tag <Hashtable>]
    [-Size <Int32>]
    [-KeyType <String>]
    [-CurveName <String>]
    [-Exportable]
    [-Immutable]
    [-ReleasePolicyPath <String>]
    [-UseDefaultCVMPolicy]
    [-DefaultProfile <IAzureContextContainer>]
    [-WhatIf]
    [-Confirm]
    [<CommonParameters>]

ResourceIdImport

Add-AzKeyVaultKey
    [-ResourceId] <String>
    [-Name] <String>
    -KeyFilePath <String>
    [-KeyFilePassword <SecureString>]
    [-Destination <String>]
    [-Disable]
    [-KeyOps <String[]>]
    [-Expires <DateTime>]
    [-NotBefore <DateTime>]
    [-Tag <Hashtable>]
    [-KeyType <String>]
    [-CurveName <String>]
    [-DefaultProfile <IAzureContextContainer>]
    [-WhatIf]
    [-Confirm]
    [<CommonParameters>]

HsmResourceIdCreate

Add-AzKeyVaultKey
    [-Name] <String>
    -HsmResourceId <String>
    -KeyType <String>
    [-Disable]
    [-KeyOps <String[]>]
    [-Expires <DateTime>]
    [-NotBefore <DateTime>]
    [-Tag <Hashtable>]
    [-Size <Int32>]
    [-CurveName <String>]
    [-Exportable]
    [-Immutable]
    [-ReleasePolicyPath <String>]
    [-UseDefaultCVMPolicy]
    [-DefaultProfile <IAzureContextContainer>]
    [-WhatIf]
    [-Confirm]
    [<CommonParameters>]

HsmResourceIdImport

Add-AzKeyVaultKey
    [-Name] <String>
    -HsmResourceId <String>
    -KeyFilePath <String>
    [-KeyFilePassword <SecureString>]
    [-Disable]
    [-KeyOps <String[]>]
    [-Expires <DateTime>]
    [-NotBefore <DateTime>]
    [-Tag <Hashtable>]
    [-DefaultProfile <IAzureContextContainer>]
    [-WhatIf]
    [-Confirm]
    [<CommonParameters>]

说明

Add-AzKeyVaultKey cmdlet 在 Azure Key Vault 中的密钥保管库中创建密钥，或将密钥导入密钥保管库。使用以下任一方法使用此 cmdlet 添加密钥：

在 Key Vault 服务的硬件安全模块（HSM）中创建密钥。
在 Key Vault 服务的软件中创建密钥。
将密钥从自己的硬件安全模块（HSM）导入 Key Vault 服务中的 HSM。
从计算机上的 .pfx 文件导入密钥。
将计算机上的 .pfx 文件中的密钥导入到 Key Vault 服务中的硬件安全模块（HSM）。对于这些作中的任何一项，可以提供关键属性或接受默认设置。如果创建或导入与密钥保管库中的现有密钥同名的密钥，则会使用为新密钥指定的值更新原始密钥。可以使用该密钥版本的特定于版本的 URI 来访问以前的值。若要了解密钥版本和 URI 结构，请参阅 Key Vault REST API 文档中密钥和机密。注意：若要从自己的硬件安全模块导入密钥，必须先使用 Azure Key Vault BYOK 工具集生成 BYOK 包（文件扩展名为 .byok 的文件）。有关详细信息，请参阅如何为 Azure Key Vault生成和传输 HSM-Protected 密钥。最佳做法是，使用 Backup-AzKeyVaultKey cmdlet 在创建或更新密钥后备份密钥。没有取消删除功能，因此，如果意外删除密钥或删除密钥，然后改变主意，除非你有可以还原的备份，否则密钥不可恢复。

示例

示例 1：创建密钥

Add-AzKeyVaultKey -VaultName 'contoso' -Name 'ITSoftware' -Destination 'Software'

Vault/HSM Name : contoso
Name           : ITSoftware
Key Type       : RSA
Key Size       : 2048
Curve Name     :
Version        : 67da57e9cadf48a2ad8d366b115843ab
Id             : https://contoso.vault.azure.net:443/keys/ITSoftware/67da57e9cadf48a2ad8d366b115843ab
Enabled        : True
Expires        :
Not Before     :
Created        : 5/21/2018 11:10:58 PM
Updated        : 5/21/2018 11:10:58 PM
Purge Disabled : False
Tags           :

此命令在名为 Contoso 的密钥保管库中创建名为 ITSoftware 的软件保护密钥。

示例 2：创建 EC 密钥

Add-AzKeyVaultKey -VaultName test-kv -Name test-key -Destination Software -KeyType EC

Vault/HSM Name : test-kv
Name           : test-key
Key Type       : EC
Key Size       :
Curve Name     : P-256
Version        : 4da74af2b4fd47d6b1aa0b05c9a2ed13
Id             : https://test-kv.vault.azure.net:443/keys/test-key/4da74af2b4fd47d6b1aa0b05c9a2ed13
Enabled        : True
Expires        :
Not Before     :
Created        : 8/24/2021 6:38:34 AM
Updated        : 8/24/2021 6:38:34 AM
Recovery Level : Recoverable+Purgeable
Tags           :

此命令在名为 test-kv 的密钥保管库中创建一个名为 test-key 的软件保护的 EC 密钥。其曲线名称默认为 P-256。

示例 3：创建受 HSM 保护的密钥

Add-AzKeyVaultKey -VaultName 'contoso' -Name 'ITHsm' -Destination 'HSM'

Vault Name     : contoso
Name           : ITHsm
Version        : 67da57e9cadf48a2ad8d366b115843ab
Id             : https://contoso.vault.azure.net:443/keys/ITSoftware/67da57e9cadf48a2ad8d366b115843ab
Enabled        : True
Expires        :
Not Before     :
Created        : 5/21/2018 11:10:58 PM
Updated        : 5/21/2018 11:10:58 PM
Purge Disabled : False
Tags           :

此命令在名为 Contoso 的密钥保管库中创建受 HSM 保护的密钥。

示例 4：创建具有非默认值的键

$KeyOperations = 'decrypt', 'verify'
$Expires = (Get-Date).AddYears(2).ToUniversalTime()
$NotBefore = (Get-Date).ToUniversalTime()
$Tags = @{'Severity' = 'high'; 'Accounting' = "true"}
Add-AzKeyVaultKey -VaultName 'contoso' -Name 'ITHsmNonDefault' -Destination 'HSM' -Expires $Expires -NotBefore $NotBefore -KeyOps $KeyOperations -Disable -Tag $Tags

Vault/HSM Name : contoso
Name           : ITHsmNonDefault
Key Type       : RSA
Key Size       : 2048
Version        : 929bfc14db84439b823ffd1bedadaf5f
Id             : https://contoso.vault.azure.net:443/keys/ITHsmNonDefault/929bfc14db84439b823ffd1bedadaf5f
Enabled        : False
Expires        : 5/21/2020 11:12:43 PM
Not Before     : 5/21/2018 11:12:50 PM
Created        : 5/21/2018 11:13:17 PM
Updated        : 5/21/2018 11:13:17 PM
Purge Disabled : False
Tags           : Name        Value
                 Severity    high
                 Accounting  true

第一个命令将值存储在$KeyOperations变量中解密和验证。第二个命令使用 Get-Date cmdlet 创建以 UTC 格式定义的 DateTime 对象。该对象指定未来两年的时间。该命令将该日期存储在$Expires变量中。要了解详情，请键入 Get-Help Get-Date。第三个命令使用 Get-Date cmdlet 创建 DateTime 对象。该对象指定当前 UTC 时间。该命令将该日期存储在$NotBefore变量中。最后一个命令创建一个名为 ITHsmNonDefault 的密钥，该密钥是受 HSM 保护的密钥。该命令指定$KeyOperations存储的允许键作的值。该命令指定在上述命令中创建的 Expires 和 NotBefore 参数的时间，以及用于高严重性和 IT 的标记。新密钥已禁用。可以使用 Set-AzKeyVaultKey cmdlet 来启用它。

示例 5：导入受 HSM 保护的密钥

Add-AzKeyVaultKey -VaultName 'contoso' -Name 'ITByok' -KeyFilePath 'C:\Contoso\ITByok.byok' -Destination 'HSM'

Vault Name     : contoso
Name           : ITByok
Version        : 67da57e9cadf48a2ad8d366b115843ab
Id             : https://contoso.vault.azure.net:443/keys/ITByok/67da57e9cadf48a2ad8d366b115843ab
Enabled        : True
Expires        :
Not Before     :
Created        : 5/21/2018 11:10:58 PM
Updated        : 5/21/2018 11:10:58 PM
Purge Disabled : False
Tags           :

此命令从 KeyFilePath 参数指定的位置导入名为 ITByok 的密钥。导入的密钥是受 HSM 保护的密钥。若要从自己的硬件安全模块导入密钥，必须先使用 Azure Key Vault BYOK 工具集生成 BYOK 包（文件扩展名为 .byok 的文件）。有关详细信息，请参阅如何为 Azure Key Vault生成和传输 HSM-Protected 密钥。

示例 6：导入受软件保护的密钥

$Password = ConvertTo-SecureString -String "****" -AsPlainText -Force
Add-AzKeyVaultKey -VaultName 'contoso' -Name 'ITPfx' -KeyFilePath 'C:\Contoso\ITPfx.pfx' -KeyFilePassword $Password

Vault Name     : contoso
Name           : ITPfx
Version        : 67da57e9cadf48a2ad8d366b115843ab
Id             : https://contoso.vault.azure.net:443/keys/ITPfx/67da57e9cadf48a2ad8d366b115843ab
Enabled        : True
Expires        :
Not Before     :
Created        : 5/21/2018 11:10:58 PM
Updated        : 5/21/2018 11:10:58 PM
Purge Disabled : False
Tags           :

第一个命令使用 ConvertTo-SecureString cmdlet 将字符串转换为安全字符串，然后将该字符串存储在$Password变量中。要了解详情，请键入 Get-Help ConvertTo-SecureString。第二个命令在 Contoso 密钥保管库中创建软件密码。该命令指定密钥的位置和存储在$Password的密码。

示例 7：导入密钥并分配属性

$Password = ConvertTo-SecureString -String "****" -AsPlainText -Force
$Expires = (Get-Date).AddYears(2).ToUniversalTime()
$Tags = @{ 'Severity' = 'high'; 'Accounting' = "true" }
Add-AzKeyVaultKey -VaultName 'contoso' -Name 'ITPfxToHSM' -Destination 'HSM' -KeyFilePath 'C:\Contoso\ITPfx.pfx' -KeyFilePassword $Password -Expires $Expires -Tag $Tags

Vault Name     : contoso
Name           : ITPfxToHSM
Version        : 929bfc14db84439b823ffd1bedadaf5f
Id             : https://contoso.vault.azure.net:443/keys/ITPfxToHSM/929bfc14db84439b823ffd1bedadaf5f
Enabled        : True
Expires        : 5/21/2020 11:12:43 PM
Not Before     :
Created        : 5/21/2018 11:13:17 PM
Updated        : 5/21/2018 11:13:17 PM
Purge Disabled : False
Tags           : Name        Value
                 Severity    high
                 Accounting  true

第一个命令使用 ConvertTo-SecureString cmdlet 将字符串转换为安全字符串，然后将该字符串存储在$Password变量中。第二个命令使用 Get-Date cmdlet 创建 DateTime 对象，然后将该对象存储在$Expires变量中。第三个命令创建$tags变量来设置高严重性和 IT 的标记。最后一个命令将密钥作为 HSM 密钥从指定位置导入。该命令指定存储在$Password中的$Expires和密码中的过期时间，并应用存储在$tags中的标记。

示例 8：为“自带密钥”（BYOK）功能生成密钥交换密钥（KEK）

$key = Add-AzKeyVaultKey -VaultName $vaultName -Name $keyName -Destination HSM -Size 2048 -KeyOps "import"

生成密钥（称为密钥交换密钥（KEK）。 KEK 必须是只有导入密钥作的 RSA-HSM 密钥。只有 Key Vault Premium SKU 支持 RSA-HSM 密钥。有关更多详细信息，请参阅 https://learn.microsoft.com/azure/key-vault/keys/hsm-protected-keys。

示例 9：在托管 hsm 中创建安全密钥

<# release_policy_template.json
{
  "anyOf": [
    {
      "allOf": [
        {
          "claim": "<claim name>",
          "equals": "<value to match>"
        }
      ],
      "authority": "<issuer>"
    }
  ],
  "version": "1.0.0"
}
#>
Add-AzKeyVaultKey -HsmName testmhsm -Name test-key -KeyType RSA -Exportable -ReleasePolicyPath release_policy.json

Vault/HSM Name : testmhsm
Name           : test-key
Key Type       : RSA
Key Size       : 2048
Curve Name     :
Version        : ed6b026bf0a605042006635713d33ef6
Id             : https://testmhsm.managedhsm.azure.net:443/keys/test-key/ed6b026bf0a605042006635713d33ef6
Enabled        : True
Expires        :
Not Before     :
Created        : 6/2/2022 7:14:37 AM
Updated        : 6/2/2022 7:14:37 AM
Recovery Level : Recoverable+Purgeable
Release Policy :
                 Content Type   : application/json; charset=utf-8
                 Policy Content : {"anyOf":[{"allOf":[{"claim":"x-ms-sgx-is-debuggable","equals":"true"}],"authority":"htt
                 ps://sharedeus.eus.attest.azure.net/"}],"version":"1.0.0"}
                 Immutable      : False


Tags           :

在名为 testmhsm 的托管 hsm 中创建安全密钥。其名称为测试键，类型为 RSA。

示例 10：将机密 VM 的密钥添加到密钥保管库。

New-AzKeyVault -Name $keyVaultName -Location $location -ResourceGroupName $resourceGroupName -Sku Premium -EnablePurgeProtection -EnabledForDiskEncryption;
$cvmAgent = Get-AzADServicePrincipal -ApplicationId '00001111-aaaa-2222-bbbb-3333cccc4444';
Set-AzKeyVaultAccessPolicy -VaultName $keyVaultName -ResourceGroupName $resourceGroupName -ObjectId $cvmAgent.id -PermissionsToKeys get,release;

$keySize = 3072;
Add-AzKeyVaultKey -VaultName $keyVaultName -Name $keyName -Size $keySize -KeyOps wrapKey,unwrapKey -KeyType RSA -Destination HSM -Exportable -UseDefaultCVMPolicy;

Vault/HSM Name : <Vault Name>
Name           : <Key Name>
Key Type       : RSA
Key Size       : 3072
Curve Name     :
Version        : <Version>
Id             : <Id>
Enabled        : True
Expires        :
Not Before     :
Created        : 9/9/2022 8:36:00 PM
Updated        : 9/9/2022 8:36:00 PM
Recovery Level : Recoverable
Release Policy :
                 Content Type   : application/json; charset=utf-8
                 Policy Content : <Policy Content>
                 Immutable      : False
Tags           :

参数

-Confirm

在运行 cmdlet 之前，提示你进行确认。

参数属性

类型:	SwitchParameter
默认值:	None
支持通配符:	False
不显示:	False
别名:	cf

参数集

(All)

Position:	Named
必需:	False
来自管道的值:	False
来自管道的值（按属性名称）:	False
来自剩余参数的值:	False

-CurveName

指定椭圆曲线加密的曲线名称，当 KeyType 为 EC 时，此值有效。

参数属性

类型:	String
默认值:	None
支持通配符:	False
不显示:	False

参数集

InteractiveCreate

Position:	Named
必需:	False
来自管道的值:	False
来自管道的值（按属性名称）:	False
来自剩余参数的值:	False

InteractiveImport

Position:	Named
必需:	False
来自管道的值:	False
来自管道的值（按属性名称）:	False
来自剩余参数的值:	False

HsmInteractiveCreate

Position:	Named
必需:	False
来自管道的值:	False
来自管道的值（按属性名称）:	False
来自剩余参数的值:	False

InputObjectCreate

Position:	Named
必需:	False
来自管道的值:	False
来自管道的值（按属性名称）:	False
来自剩余参数的值:	False

InputObjectImport

Position:	Named
必需:	False
来自管道的值:	False
来自管道的值（按属性名称）:	False
来自剩余参数的值:	False

HsmInputObjectCreate

Position:	Named
必需:	False
来自管道的值:	False
来自管道的值（按属性名称）:	False
来自剩余参数的值:	False

ResourceIdCreate

Position:	Named
必需:	False
来自管道的值:	False
来自管道的值（按属性名称）:	False
来自剩余参数的值:	False

ResourceIdImport

Position:	Named
必需:	False
来自管道的值:	False
来自管道的值（按属性名称）:	False
来自剩余参数的值:	False

HsmResourceIdCreate

Position:	Named
必需:	False
来自管道的值:	False
来自管道的值（按属性名称）:	False
来自剩余参数的值:	False

-DefaultProfile

用于与 azure 通信的凭据、帐户、租户和订阅

参数属性

类型:	IAzureContextContainer
默认值:	None
支持通配符:	False
不显示:	False
别名:	AzContext, AzureRmContext, AzureCredential

参数集

(All)

Position:	Named
必需:	False
来自管道的值:	False
来自管道的值（按属性名称）:	False
来自剩余参数的值:	False

-Destination

指定是将密钥添加为受软件保护的密钥还是 Key Vault 服务中受 HSM 保护的密钥。有效值为：HSM 和软件。注意：若要将 HSM 用作目标，必须具有支持 HSM 的密钥保管库。有关 Azure Key Vault 的服务层和功能的详细信息，请参阅 Azure Key Vault 定价网站。创建新密钥时，此参数是必需的。如果使用 KeyFilePath 参数导入密钥，此参数是可选的：

如果未指定此参数，并且此 cmdlet 导入扩展名为 .byok 的密钥，则会将该密钥导入为受 HSM 保护的密钥。该 cmdlet 无法将该密钥导入为受软件保护的密钥。
如果未指定此参数，并且此 cmdlet 导入扩展名为 .pfx 的密钥，则会将该密钥导入为受软件保护的密钥。

参数属性

类型:	String
默认值:	None
接受的值:	HSM, Software
支持通配符:	False
不显示:	False

参数集

InteractiveCreate

Position:	Named
必需:	True
来自管道的值:	False
来自管道的值（按属性名称）:	False
来自剩余参数的值:	False

InputObjectCreate

Position:	Named
必需:	True
来自管道的值:	False
来自管道的值（按属性名称）:	False
来自剩余参数的值:	False

ResourceIdCreate

Position:	Named
必需:	True
来自管道的值:	False
来自管道的值（按属性名称）:	False
来自剩余参数的值:	False

-Disable

指示要添加的密钥设置为禁用的初始状态。使用密钥的任何尝试都将失败。如果要预加载稍后要启用的密钥，请使用此参数。

参数属性

类型:	SwitchParameter
默认值:	None
支持通配符:	False
不显示:	False

参数集

(All)

Position:	Named
必需:	False
来自管道的值:	False
来自管道的值（按属性名称）:	False
来自剩余参数的值:	False

-Expires

将密钥的过期时间指定为此 cmdlet 所添加的密钥 DateTime 对象。如果未指定，密钥将不会过期。若要获取 DateTime 对象，请使用 Get-Date cmdlet。要了解详情，请键入 Get-Help Get-Date。请注意，BYOK 过程中使用的密钥 Exchange 密钥将忽略过期。

参数属性

类型:	Nullable<T>[DateTime]
默认值:	None
支持通配符:	False
不显示:	False

参数集

(All)

Position:	Named
必需:	False
来自管道的值:	False
来自管道的值（按属性名称）:	False
来自剩余参数的值:	False

-Exportable

指示是否可以导出私钥。

参数属性

类型:	SwitchParameter
默认值:	None
支持通配符:	False
不显示:	False

参数集

InteractiveCreate

Position:	Named
必需:	False
来自管道的值:	False
来自管道的值（按属性名称）:	False
来自剩余参数的值:	False

HsmInteractiveCreate

Position:	Named
必需:	False
来自管道的值:	False
来自管道的值（按属性名称）:	False
来自剩余参数的值:	False

InputObjectCreate

Position:	Named
必需:	False
来自管道的值:	False
来自管道的值（按属性名称）:	False
来自剩余参数的值:	False

HsmInputObjectCreate

Position:	Named
必需:	False
来自管道的值:	False
来自管道的值（按属性名称）:	False
来自剩余参数的值:	False

ResourceIdCreate

Position:	Named
必需:	False
来自管道的值:	False
来自管道的值（按属性名称）:	False
来自剩余参数的值:	False

HsmResourceIdCreate

Position:	Named
必需:	False
来自管道的值:	False
来自管道的值（按属性名称）:	False
来自剩余参数的值:	False

-HsmName

HSM 名称。 Cmdlet 基于名称和当前所选环境构造托管 HSM 的 FQDN。

参数属性

类型:	String
默认值:	None
支持通配符:	False
不显示:	False

参数集

HsmInteractiveCreate

Position:	Named
必需:	True
来自管道的值:	False
来自管道的值（按属性名称）:	False
来自剩余参数的值:	False

HsmInteractiveImport

Position:	Named
必需:	True
来自管道的值:	False
来自管道的值（按属性名称）:	False
来自剩余参数的值:	False

-HsmObject

HSM 对象。

参数属性

类型:	PSManagedHsm
默认值:	None
支持通配符:	False
不显示:	False

参数集

HsmInputObjectCreate

Position:	0
必需:	True
来自管道的值:	True
来自管道的值（按属性名称）:	False
来自剩余参数的值:	False

HsmInputObjectImport

Position:	0
必需:	True
来自管道的值:	True
来自管道的值（按属性名称）:	False
来自剩余参数的值:	False

-HsmResourceId

HSM 的资源 ID。

参数属性

类型:	String
默认值:	None
支持通配符:	False
不显示:	False

参数集

HsmResourceIdCreate

Position:	Named
必需:	True
来自管道的值:	False
来自管道的值（按属性名称）:	True
来自剩余参数的值:	False

HsmResourceIdImport

Position:	Named
必需:	True
来自管道的值:	False
来自管道的值（按属性名称）:	True
来自剩余参数的值:	False

-Immutable

将发布策略设置为不可变状态。标记为不可变后，无法重置此标志，并且在任何情况下都无法更改策略。

参数属性

类型:	SwitchParameter
默认值:	None
支持通配符:	False
不显示:	False

参数集

InteractiveCreate

Position:	Named
必需:	False
来自管道的值:	False
来自管道的值（按属性名称）:	False
来自剩余参数的值:	False

HsmInteractiveCreate

Position:	Named
必需:	False
来自管道的值:	False
来自管道的值（按属性名称）:	False
来自剩余参数的值:	False

InputObjectCreate

Position:	Named
必需:	False
来自管道的值:	False
来自管道的值（按属性名称）:	False
来自剩余参数的值:	False

HsmInputObjectCreate

Position:	Named
必需:	False
来自管道的值:	False
来自管道的值（按属性名称）:	False
来自剩余参数的值:	False

ResourceIdCreate

Position:	Named
必需:	False
来自管道的值:	False
来自管道的值（按属性名称）:	False
来自剩余参数的值:	False

HsmResourceIdCreate

Position:	Named
必需:	False
来自管道的值:	False
来自管道的值（按属性名称）:	False
来自剩余参数的值:	False

-InputObject

Vault 对象。

参数属性

类型:	PSKeyVault
默认值:	None
支持通配符:	False
不显示:	False

参数集

InputObjectCreate

Position:	0
必需:	True
来自管道的值:	True
来自管道的值（按属性名称）:	False
来自剩余参数的值:	False

InputObjectImport

Position:	0
必需:	True
来自管道的值:	True
来自管道的值（按属性名称）:	False
来自剩余参数的值:	False

-KeyFilePassword

将导入的文件的密码指定为 SecureString 对象。若要获取 SecureString 对象，请使用 ConvertTo-SecureString cmdlet。要了解详情，请键入 Get-Help ConvertTo-SecureString。必须指定此密码才能导入扩展名为 .pfx 的文件。

参数属性

类型:	SecureString
默认值:	None
支持通配符:	False
不显示:	False

参数集

InteractiveImport

Position:	Named
必需:	False
来自管道的值:	False
来自管道的值（按属性名称）:	False
来自剩余参数的值:	False

HsmInteractiveImport

Position:	Named
必需:	False
来自管道的值:	False
来自管道的值（按属性名称）:	False
来自剩余参数的值:	False

InputObjectImport

Position:	Named
必需:	False
来自管道的值:	False
来自管道的值（按属性名称）:	False
来自剩余参数的值:	False

HsmInputObjectImport

Position:	Named
必需:	False
来自管道的值:	False
来自管道的值（按属性名称）:	False
来自剩余参数的值:	False

ResourceIdImport

Position:	Named
必需:	False
来自管道的值:	False
来自管道的值（按属性名称）:	False
来自剩余参数的值:	False

HsmResourceIdImport

Position:	Named
必需:	False
来自管道的值:	False
来自管道的值（按属性名称）:	False
来自剩余参数的值:	False

-KeyFilePath

指定包含此 cmdlet 导入的密钥材料的本地文件的路径。有效的文件扩展名为 .byok 和 .pfx。

如果该文件是 .byok 文件，则导入后，密钥会自动受到 HSM 的保护，并且无法替代此默认值。
如果该文件是 .pfx 文件，则导入后软件会自动保护密钥。若要替代此默认值，请将 Destination 参数设置为 HSM，以便密钥受 HSM 保护。指定此参数时，Destination 参数是可选的。

参数属性

类型:	String
默认值:	None
支持通配符:	False
不显示:	False

参数集

InteractiveImport

Position:	Named
必需:	True
来自管道的值:	False
来自管道的值（按属性名称）:	False
来自剩余参数的值:	False

HsmInteractiveImport

Position:	Named
必需:	True
来自管道的值:	False
来自管道的值（按属性名称）:	False
来自剩余参数的值:	False

InputObjectImport

Position:	Named
必需:	True
来自管道的值:	False
来自管道的值（按属性名称）:	False
来自剩余参数的值:	False

HsmInputObjectImport

Position:	Named
必需:	True
来自管道的值:	False
来自管道的值（按属性名称）:	False
来自剩余参数的值:	False

ResourceIdImport

Position:	Named
必需:	True
来自管道的值:	False
来自管道的值（按属性名称）:	False
来自剩余参数的值:	False

HsmResourceIdImport

Position:	Named
必需:	True
来自管道的值:	False
来自管道的值（按属性名称）:	False
来自剩余参数的值:	False

-KeyOps

指定可以使用此 cmdlet 添加的键执行的作数组。如果未指定此参数，则可以执行所有作。此参数的可接受值是 JSON Web 密钥（JWK）规范定义的键作逗号分隔列表：

加密
解密
封装密钥
unwrapKey
标志
验证
导入（仅适用于 KEK，请参阅示例 7）

参数属性

类型:	String[]
默认值:	None
支持通配符:	False
不显示:	False

参数集

(All)

Position:	Named
必需:	False
来自管道的值:	False
来自管道的值（按属性名称）:	False
来自剩余参数的值:	False

-KeyType

指定此键的键类型。导入 BYOK 密钥时，默认为“RSA”。

参数属性

类型:	String
默认值:	None
支持通配符:	False
不显示:	False

参数集

InteractiveCreate

Position:	Named
必需:	False
来自管道的值:	False
来自管道的值（按属性名称）:	False
来自剩余参数的值:	False

InteractiveImport

Position:	Named
必需:	False
来自管道的值:	False
来自管道的值（按属性名称）:	False
来自剩余参数的值:	False

InputObjectCreate

Position:	Named
必需:	False
来自管道的值:	False
来自管道的值（按属性名称）:	False
来自剩余参数的值:	False

InputObjectImport

Position:	Named
必需:	False
来自管道的值:	False
来自管道的值（按属性名称）:	False
来自剩余参数的值:	False

ResourceIdCreate

Position:	Named
必需:	False
来自管道的值:	False
来自管道的值（按属性名称）:	False
来自剩余参数的值:	False

ResourceIdImport

Position:	Named
必需:	False
来自管道的值:	False
来自管道的值（按属性名称）:	False
来自剩余参数的值:	False

-Name

指定要添加到密钥保管库的密钥的名称。此 cmdlet 基于此参数指定的名称、密钥保管库的名称和当前环境构造密钥的完全限定域名（FQDN）。该名称的长度必须为 1 到 63 个字符的字符串，仅包含 0-9、a-z、A-Z 和 - （短划线符号）。

参数属性

类型:	String
默认值:	None
支持通配符:	False
不显示:	False
别名:	KeyName

参数集

(All)

Position:	1
必需:	True
来自管道的值:	False
来自管道的值（按属性名称）:	False
来自剩余参数的值:	False

-NotBefore

将时间指定为 DateTime 对象，在该对象之前无法使用键。此参数使用 UTC。若要获取 DateTime 对象，请使用 Get-Date cmdlet。如果未指定此参数，则可以立即使用该密钥。

参数属性

类型:	Nullable<T>[DateTime]
默认值:	None
支持通配符:	False
不显示:	False

参数集

(All)

Position:	Named
必需:	False
来自管道的值:	False
来自管道的值（按属性名称）:	False
来自剩余参数的值:	False

-ReleasePolicyPath

包含 JSON 策略定义的文件的路径。可在其中导出密钥的策略规则。

参数属性

类型:	String
默认值:	None
支持通配符:	False
不显示:	False

参数集

InteractiveCreate

Position:	Named
必需:	False
来自管道的值:	False
来自管道的值（按属性名称）:	False
来自剩余参数的值:	False

HsmInteractiveCreate

Position:	Named
必需:	False
来自管道的值:	False
来自管道的值（按属性名称）:	False
来自剩余参数的值:	False

InputObjectCreate

Position:	Named
必需:	False
来自管道的值:	False
来自管道的值（按属性名称）:	False
来自剩余参数的值:	False

HsmInputObjectCreate

Position:	Named
必需:	False
来自管道的值:	False
来自管道的值（按属性名称）:	False
来自剩余参数的值:	False

ResourceIdCreate

Position:	Named
必需:	False
来自管道的值:	False
来自管道的值（按属性名称）:	False
来自剩余参数的值:	False

HsmResourceIdCreate

Position:	Named
必需:	False
来自管道的值:	False
来自管道的值（按属性名称）:	False
来自剩余参数的值:	False

-ResourceId

保管库资源 ID。

参数属性

类型:	String
默认值:	None
支持通配符:	False
不显示:	False

参数集

ResourceIdCreate

Position:	0
必需:	True
来自管道的值:	False
来自管道的值（按属性名称）:	True
来自剩余参数的值:	False

ResourceIdImport

Position:	0
必需:	True
来自管道的值:	False
来自管道的值（按属性名称）:	True
来自剩余参数的值:	False

-Size

RSA 密钥大小（以位为单位）。如果未指定，该服务将提供安全的默认值。

参数属性

类型:	Nullable<T>[Int32]
默认值:	None
支持通配符:	False
不显示:	False

参数集

InteractiveCreate

Position:	Named
必需:	False
来自管道的值:	False
来自管道的值（按属性名称）:	False
来自剩余参数的值:	False

HsmInteractiveCreate

Position:	Named
必需:	False
来自管道的值:	False
来自管道的值（按属性名称）:	False
来自剩余参数的值:	False

InputObjectCreate

Position:	Named
必需:	False
来自管道的值:	False
来自管道的值（按属性名称）:	False
来自剩余参数的值:	False

HsmInputObjectCreate

Position:	Named
必需:	False
来自管道的值:	False
来自管道的值（按属性名称）:	False
来自剩余参数的值:	False

ResourceIdCreate

Position:	Named
必需:	False
来自管道的值:	False
来自管道的值（按属性名称）:	False
来自剩余参数的值:	False

HsmResourceIdCreate

Position:	Named
必需:	False
来自管道的值:	False
来自管道的值（按属性名称）:	False
来自剩余参数的值:	False

-Tag

以哈希表的形式进行键值对。例如：@{key0=“value0”;key1=$null;key2=“value2”}

参数属性

类型:	Hashtable
默认值:	None
支持通配符:	False
不显示:	False
别名:	标记

参数集

(All)

Position:	Named
必需:	False
来自管道的值:	False
来自管道的值（按属性名称）:	False
来自剩余参数的值:	False

-UseDefaultCVMPolicy

指定使用默认策略，以便导出密钥进行 CVM 磁盘加密。

参数属性

类型:	SwitchParameter
默认值:	None
支持通配符:	False
不显示:	False

参数集

InteractiveCreate

Position:	Named
必需:	False
来自管道的值:	False
来自管道的值（按属性名称）:	False
来自剩余参数的值:	False

HsmInteractiveCreate

Position:	Named
必需:	False
来自管道的值:	False
来自管道的值（按属性名称）:	False
来自剩余参数的值:	False

InputObjectCreate

Position:	Named
必需:	False
来自管道的值:	False
来自管道的值（按属性名称）:	False
来自剩余参数的值:	False

HsmInputObjectCreate

Position:	Named
必需:	False
来自管道的值:	False
来自管道的值（按属性名称）:	False
来自剩余参数的值:	False

ResourceIdCreate

Position:	Named
必需:	False
来自管道的值:	False
来自管道的值（按属性名称）:	False
来自剩余参数的值:	False

HsmResourceIdCreate

Position:	Named
必需:	False
来自管道的值:	False
来自管道的值（按属性名称）:	False
来自剩余参数的值:	False

-VaultName

指定此 cmdlet 向其添加密钥的密钥保管库的名称。此 cmdlet 基于此参数指定的名称和当前环境构造密钥保管库的 FQDN。

参数属性

类型:	String
默认值:	None
支持通配符:	False
不显示:	False

参数集

InteractiveCreate

Position:	0
必需:	True
来自管道的值:	False
来自管道的值（按属性名称）:	False
来自剩余参数的值:	False

InteractiveImport

Position:	0
必需:	True
来自管道的值:	False
来自管道的值（按属性名称）:	False
来自剩余参数的值:	False

-WhatIf

显示 cmdlet 运行时会发生什么情况。命令脚本未运行。

参数属性

类型:	SwitchParameter
默认值:	None
支持通配符:	False
不显示:	False
别名:	无线

参数集

(All)

Position:	Named
必需:	False
来自管道的值:	False
来自管道的值（按属性名称）:	False
来自剩余参数的值:	False

CommonParameters

此 cmdlet 支持通用参数：-Debug、-ErrorAction、-ErrorVariable、-InformationAction、-InformationVariable、-OutBuffer、-OutVariable、-PipelineVariable、-ProgressAction、-Verbose、-WarningAction 和 -WarningVariable。有关详细信息，请参阅 about_CommonParameters。

通过

Add-AzKeyVaultKey

语法

InteractiveCreate （默认值）

InteractiveImport

HsmInteractiveCreate

HsmInteractiveImport

InputObjectCreate

InputObjectImport

HsmInputObjectCreate

HsmInputObjectImport

ResourceIdCreate

ResourceIdImport

HsmResourceIdCreate

HsmResourceIdImport

说明

示例

示例 1：创建密钥

示例 2：创建 EC 密钥

示例 3：创建受 HSM 保护的密钥

示例 4：创建具有非默认值的键

示例 5：导入受 HSM 保护的密钥

示例 6：导入受软件保护的密钥

示例 7：导入密钥并分配属性

示例 8：为“自带密钥”（BYOK）功能生成密钥交换密钥（KEK）

示例 9：在托管 hsm 中创建安全密钥

示例 10：将机密 VM 的密钥添加到密钥保管库。

参数

-Confirm

参数属性

参数集

-CurveName

参数属性

参数集

-DefaultProfile

参数属性

参数集

-Destination

参数属性

参数集

-Disable

参数属性

参数集

-Expires

参数属性

参数集

-Exportable

参数属性

参数集

-HsmName

参数属性

参数集

-HsmObject

参数属性

参数集

-HsmResourceId

参数属性

参数集

-Immutable

参数属性

参数集

-InputObject

参数属性

参数集

-KeyFilePassword

参数属性

参数集

-KeyFilePath

参数属性

参数集

-KeyOps

参数属性

参数集

-KeyType

参数属性

参数集

-Name

参数属性

参数集

-NotBefore