Библиотека Azure Key Vault Certificates для Rust

Управление сертификатами X.509 для TLS/SSL, подписи кода и аутентификации.

Используйте этот инструмент, когда:

• Приложению необходимо создавать или управлять сертификатами X.509 в Key Vault из кода на Rust
• Вам нужны самоподписанные или выпущенные центром сертификации (CA) сертификаты
• Вам требуются длительные операции (LRO) для выпуска сертификатов
• Вам необходимо подписывать данные с использованием ключа сертификата

ВАЖНО: Используйте только официальный пакет azure_security_keyvault_certificates, опубликованный пользователем azure-sdk на crates.io. НЕ используйте неофициальные или общедоступные пакеты. В названиях официальных пакетов используются символы подчеркивания, и ни один из них не имеет версию 0.21.0.

Установка

cargo add azure_security_keyvault_certificates azure_identity tokio futures

Если ваш код напрямую использует типы azure_core, добавьте azure_core в Cargo.toml. Если вы используете только переопределения из azure_security_keyvault_certificates, прямая зависимость от azure_core является необязательной.

Переменные среды

AZURE_KEYVAULT_URL=https://<vault-name>.vault.azure.net/ # Требуется для всех операций
</vault-name>

Аутентификация

use azure_identity::DeveloperToolsCredential;
use azure_security_keyvault_certificates::CertificateClient;

#[tokio::main]
async fn main() -> Result> {
    // Локальная разработка: DeveloperToolsCredential. Для production: используйте ManagedIdentityCredential.
    let credential = DeveloperToolsCredential::new(None)?;
    let client = CertificateClient::new(
        "https://<vault-name>.vault.azure.net/",
        credential.clone(),
        None,
    )?;

    let cert = client
        .get_certificate("cert-name", None)
        .await?
        .into_model()?;
    println!("Certificate: {:?}", cert.id);
    Ok(())
}
</vault-name>

Основной рабочий процесс

Создание самоподписанного сертификата (LRO)

Создание сертификата является длительной операцией. Poller<t></t> реализует IntoFuture — просто используйте .await:

use azure_security_keyvault_certificates::{
    models::{
        CertificatePolicy, CreateCertificateParameters, IssuerParameters,
        X509CertificateProperties,
    },
    ResourceExt,
};

let policy = CertificatePolicy {
    x509_certificate_properties: Some(X509CertificateProperties {
        subject: Some("CN=example.com".into()),
        ..Default::default()
    }),
    issuer_parameters: Some(IssuerParameters {
        name: Some("Self".into()),
        ..Default::default()
    }),
    ..Default::default()
};
let body = CreateCertificateParameters {
    certificate_policy: Some(policy),
    ..Default::default()
};

// Poller реализует IntoFuture — используйте await напрямую для завершения
let cert = client
    .begin_create_certificate("cert-name", body.try_into()?, None)?
    .await?
    .into_model()?;

println!(
    "Name: {:?}, Version: {:?}",
    cert.resource_id()?.name,
    cert.resource_id()?.version,
);

Обновление свойств сертификата

use azure_security_keyvault_certificates::models::UpdateCertificatePropertiesParameters;
use std::collections::HashMap;

#[allow(clippy::needless_update)]
let params = UpdateCertificatePropertiesParameters {
    tags: Some(HashMap::from_iter(vec![("env".into(), "prod".into())])),
    ..Default::default()
};

client
    .update_certificate_properties("cert-name", params.try_into()?, None)
    .await?
    .into_model()?;

Удаление сертификата

client.delete_certificate("cert-name", None).await?;

Список сертификатов (пагинация)

list_certificate_properties возвращает Pager<t></t> — перебирайте элементы напрямую:

use azure_security_keyvault_certificates::ResourceExt;
use futures::TryStreamExt as _;

let mut pager = client.list_certificate_properties(None)?;
while let Some(cert) = pager.try_next().await? {
    println!("Found: {}", cert.resource_id()?.name);
}

Подписание с использованием ключа сертификата

Сертификаты в Key Vault имеют связанный с ними ключ. Используйте SDK Key Vault Keys для криптографических операций:

use azure_security_keyvault_keys::{
    models::{KeyClientSignOptions, SignParameters, SignatureAlgorithm},
    KeyClient,
};

let key_client = KeyClient::new(
    "https://<vault-name>.vault.azure.net/",
    credential.clone(),
    None,
)?;

// Подписание с использованием EC-ключа сертификата
let digest = vec![0u8; 32]; // дайджест SHA-256
let body = SignParameters {
    algorithm: Some(SignatureAlgorithm::Es256),
    value: Some(digest),
};

let result = key_client
    .sign(
        "cert-name",
        body.try_into()?,
        Some(KeyClientSignOptions {
            key_version: Some("<certificate-version>".to_string()),
            ..Default::default()
        }),
    )
    .await?
    .into_model()?;
println!("Signature: {:?}", result.result);
</certificate-version></vault-name>

Форматы сертификатов
-------------------

<table><thead><tr><th>Формат</th><th>Тип содержимого</th><th>Сценарий использования</th></tr></thead><tbody><tr><td>PKCS#12</td><td>`application/x-pkcs12`</td><td>Связанный сертификат + закрытый ключ</td></tr><tr><td>PEM</td><td>`application/x-pem-file`</td><td>Base64-кодирование, распространено в Linux/веб</td></tr></tbody></table>

Роли RBAC
----------

Для аутентификации через Entra ID назначьте одну из следующих ролей:

<table><thead><tr><th>Роль</th><th>Доступ</th></tr></thead><tbody><tr><td>`Key Vault Certificate User`</td><td>Использование сертификатов</td></tr><tr><td>`Key Vault Certificates Officer`</td><td>Полное управление сертификатами</td></tr></tbody></table>

Рекомендации
--------------

1. **Используйте `cargo add` для управления зависимостями, никогда не редактируйте `Cargo.toml` напрямую.** Добавляйте и удаляйте зависимости SDK Rust с помощью команд cargo вместо ручного редактирования манифеста.
2. **Добавляйте `azure_core` только при прямом импорте типов `azure_core`.** Если ваш код импортирует `azure_core::http::Url`, `azure_core::http::RequestContent` или `azure_core::error::ErrorKind`, включите `azure_core`; в противном случае прямая зависимость является необязательной.
3. **Используйте `DeveloperToolsCredential`** для локальной разработки, **`ManagedIdentityCredential`** для production — в Rust не предусмотрен единый тип `DefaultAzureCredential`
4. **Никогда не храните учетные данные в коде** — используйте переменные среды или управляемую идентичность
5. **Используйте `..Default::default()`** с `#[allow(clippy::needless_update)]` для обновления структур моделей
6. **Используйте `ResourceExt`** для извлечения имени/версии сертификата из идентификаторов
7. **LRO** — `begin_create_certificate` возвращает `Poller`; просто используйте `.await` для завершения (клиентам редко требуется опрашивать статус)
8. **Переиспользуйте клиенты** — `CertificateClient` является потокобезопасным; создавайте один раз и разделяйте между задачами

Ссылки на справочные материалы
---------------

<table><thead><tr><th>Ресурс</th><th>Ссылка</th></tr></thead><tbody><tr><td>Справочник по API</td><td>https://docs.rs/azure\_security\_keyvault\_certificates/latest/azure\_security\_keyvault\_certificates</td></tr><tr><td>crates.io</td><td>https://crates.io/crates/azure\_security\_keyvault\_certificates</td></tr><tr><td>Исходный код</td><td>https://github.com/Azure/azure-sdk-for-rust/tree/main/sdk/keyvault/azure\_security\_keyvault\_certificates</td></tr></tbody></table>