Pengaturan Key Vault lanjutan
Menerapkan Keamanan Azure untuk Pengembang
Anushika Agarwal
Cloud Data Engineer
Entra ID mendukung autentikasi Key Vault
- Langkah awal mengakses Key Vault = Autentikasi
- Membuktikan identitas Anda
- Key Vault menggunakan Microsoft Entra ID untuk autentikasi
Jenis identitas di Key Vault
- User: Seseorang
- Group: Sekelompok user
- Service Principal: Identitas aplikasi atau layanan
Metode autentikasi aplikasi
- Managed Identity (disarankan)
- Tanpa secret, dikelola oleh Azure
- App Registration
- Penyiapan manual, butuh kredensial
Otorisasi di Key Vault
Setelah autentikasi, otorisasi menentukan apa yang dapat Anda lakukan
Azure menawarkan dua model otorisasi: Access Policies dan RBAC
Access Policies (lawas)
- Hanya mengendalikan data plane (di dalam Key Vault)
- Tidak mengendalikan management plane atau siapa yang dapat mengelola vault
RBAC: Role-Based Access Control (disarankan)
- Mengendalikan akses ke
- Management Plane: Vault itu sendiri
- Data Plane: Keys, Secrets, Certificates
- Mendukung PIM, MFA, Conditional Access
Soft delete
Status quo:
- Item yang dihapus dapat menyebabkan gangguan besar
Soft Delete aktif:
- Item yang dihapus masuk ke status dapat dipulihkan
- Melindungi dari penghapusan tidak sengaja atau berbahaya
Di mana soft delete berlaku?
- Vault
Keys
- Secrets
- Certificates
Konfigurasi soft delete
- Durasi retensi - 7–90 hari (default: 90)
- Aktif secara default untuk vault baru
- Tidak dapat dimatikan setelah dikonfigurasi
Purge protection
- Purge = penghapusan permanen tanpa pemulihan
- Memblokir purge selama masa retensi
Admin pun tidak bisa melakukan purge
Berlaku untuk vault dan isinya.
Konfigurasi purge protection
- Konfigurasi
- Durasi retensi - 7–90 hari (default: 90)
- Memerlukan Soft Delete diaktifkan
- Tidak dapat dimatikan setelah dikonfigurasi
Praktik terbaik
Rancang untuk Isolasi
- Gunakan vault terpisah
Kendalikan Akses
- Akses hanya untuk pengguna dan aplikasi tepercaya
Pantau Aktivitas
- Aktifkan pencatatan diagnostik dan peringatan
