---
title: "Certificados no Azure Key Vault"
description: "Como obter certificados armazenados no Azure Key Vault, que funciona como um HSM na nuvem, e usá-los para assinar digitalmente documentos como PDFs."
canonical: "https://docs.lacunasoftware.com/articles/pki-guide/key-vault-certs"
locale: "pt-BR"
product: "Certificação Digital"
last_updated: "2026-10-12"
---

# Certificados no Azure Key Vault

O [Azure Key Vault](https://azure.microsoft.com/en-us/services/key-vault/) pode ser visto como um HSM na nuvem. As chaves ficam armazenadas em HSMs
validados no FIPS 140-2 nível 2, a um custo relativamente baixo, de cerca de 5 dólares por mês por chave. Esse serviço da Microsoft viabilizou o uso de HSMs
em projetos que, de outra forma, não teriam orçamento para isso.

Este artigo trata dos passos para [obter](https://docs.lacunasoftware.com/articles/pki-guide/key-vault-certs#obtendo-um-certificado-armazenado-no-azure-key-vault) e [usar](https://docs.lacunasoftware.com/articles/pki-guide/key-vault-certs#usando-certificados-armazenados-no-azure-key-vault) certificados armazenados em cofres do Azure Key Vault para assinar digitalmente documentos, como PDFs.

Os passos abaixo pressupõem que você já tem uma [assinatura do Azure](https://azure.microsoft.com/en-us/free/) e acesso ao [portal do Azure](https://portal.azure.com).

Eles também pressupõem que você já criou um cofre de chaves. Se ainda não criou, entre no [portal do Azure](https://portal.azure.com) e siga os passos abaixo:

1. Na opção **Key Vaults**, clique em **Add**
1. Preencha os dados de acordo com a sua infraestrutura
1. Se quiser usar chaves protegidas por HSM (recomendado para produção), escolha **Premium** na opção *Pricing tier*
1. Clique em **Review + create**
1. Clique em **Create**

## Obtendo um certificado armazenado no Azure Key Vault

Os certificados podem ser **importados** para um cofre de chaves ou **gerados** dentro dele. Essa distinção é importante, pois a maior segurança
é obtida mantendo a chave do certificado armazenada com segurança no cofre de chaves o tempo todo, desde a sua criação.

> [NOTE]
> Se você já tem um certificado e quer importá-lo para um cofre de chaves, essa é uma tarefa simples, explicada na documentação do Azure [aqui](https://docs.microsoft.com/en-us/azure/key-vault/certificates/tutorial-import-certificate).

Esta seção trata do caso de uso de obter um certificado com uma chave gerada dentro de um cofre de chaves. Isso envolve três passos:

1. Gerar uma chave no cofre de chaves
1. Obter um certificado X.509 de chave pública correspondente à chave gerada
1. Enviar o certificado ao cofre de chaves

Para gerar o par de chaves, siga os passos abaixo:

1. No portal do Azure, clique em **Key vaults**
1. **Selecione o cofre de chaves** em que você pretende armazenar o certificado
1. Clique em **Certificates**
1. Clique em **Generate/Import** e preencha os seguintes valores:
   * Em *Method of Certificate Creation*, selecione **Generate**
   * Em *Certificate Name*, escolha um nome para identificar este certificado
   * Em *Type of Certificate Authority (CA)*, escolha **Certificate issued by a non-integrated CA**
   * Em *Subject*, preencha o nome comum (`CN=`), a organização (`O=`) e o país (`C=`) que você quer no certificado, por exemplo: `CN=Patorum Solutions,O=Patorum Inc.,C=US`
   * Deixe *DNS names* vazio
   * Não altere o campo *Validity Period* (ele não é usado de fato)
   * Em *Content Type*, escolha **PEM**
   * Preencha *Lifetime Action Type* e *Percentage Lifetime* como preferir
   * Clique em *Advanced Policy Configuration* e mantenha os valores padrão, exceto:
     * Em *X.509 Key Usage Flags*, marque **Non-repudiation**
     * Em *Exportable Private Key*, escolha **No**
     * Em *Key Type*, escolha **RSA-HSM** para usar uma chave protegida por HSM (recomendado para produção)
     * Em *Enable Certificate Transparency*, escolha **No**
1. Clique em **Create**

Após alguns segundos, o certificado aparece na subseção *In progress, failed or cancelled* da lista de certificados.

1. Clique no certificado
1. Clique em **Certificate Operation**
1. Clique em **Download CSR**

Para obter um certificado, você precisa solicitá-lo a uma Autoridade Certificadora (AC), como a
[DigiCert](https://www.digicert.com/) ou a [GlobalSign](https://www.globalsign.com). Dependendo do tipo de certificado que você pretende adquirir,
a AC aplica diferentes níveis de verificação de dados, como exigir que você digitalize um documento oficial de identidade ou que compareça (pessoalmente) a um representante local.

## Usando certificados armazenados no Azure Key Vault