Geavanceerde Key Vault-instellingen
Azure-beveiliging implementeren voor developers
Anushika Agarwal
Cloud Data Engineer
Entra ID verzorgt Key Vault-authenticatie
- Eerste stap voor toegang tot Key Vault = Authenticatie
- Bewijzen wie je bent
- Key Vault gebruikt Microsoft Entra ID voor authenticatie
Identiteitstypen in Key Vault
- User: een persoon
- Group: een verzameling gebruikers
- Service Principal: een app- of service-identiteit
App-authenticatiemethoden
- Managed Identity (aanbevolen)
- Geen secrets, beheerd door Azure
- App Registration
- Handmatige setup, inloggegevens vereist
Autorisatie in Key Vault
Na authenticatie bepaalt autorisatie wat je mag doen
Azure biedt twee autorisatiemodellen: Access Policies en RBAC
Access policies (verouderd)
- Alleen controle over de data plane (binnen Key Vault)
- Geen controle over de management plane of wie de kluis mag beheren
RBAC: Role-Based Access Control (aanbevolen)
- Regelt toegang tot
- Management Plane: de kluis zelf
- Data Plane: Keys, Secrets, Certificates
- Ondersteunt PIM, MFA, Conditional Access
Soft delete
Huidige situatie:
- Verwijderde items kunnen grote verstoring veroorzaken
Soft Delete ingeschakeld:
- Verwijderde items worden herstelbaar
- Beschermt tegen per ongeluk of kwaadwillig verwijderen
Waar geldt soft delete voor?
- Vault
Keys
- Secrets
- Certificates
Soft delete-configuratie
- Bewaartermijn: 7–90 dagen (standaard: 90)
- Standaard ingeschakeld voor nieuwe kluizen
- Kan niet worden uitgeschakeld na configuratie
Purge protection
- Purge = permanent verwijderen zonder herstel
- Blokkeert purge tijdens bewaartermijn
Zelfs admins kunnen niet purgen
Geldt voor zowel de kluis als de inhoud.
Purge protection-configuratie
- Configuratie
- Bewaartermijn: 7–90 dagen (standaard: 90)
- Vereist dat Soft Delete is ingeschakeld
- Kan niet worden uitgeschakeld na configuratie
Best practices
Ontwerp voor isolatie
- Gebruik aparte kluizen
Beheer toegang
- Toegang alleen voor vertrouwde gebruikers en apps
Monitor activiteit
- Zet diagnostische logboeken en meldingen aan
