Impostazioni avanzate di Key Vault
Implementare Azure Security per sviluppatori
Anushika Agarwal
Cloud Data Engineer
Entra ID gestisce l'autenticazione di Key Vault
- Primo passo per accedere a Key Vault = Autenticazione
- Dimostrare chi sei
- Key Vault usa Microsoft Entra ID per l'autenticazione
Tipi di identità in Key Vault
- User: una persona
- Group: un insieme di utenti
- Service Principal: identità di un'app o servizio
Metodi di autenticazione delle app
- Managed Identity (consigliata)
- Niente segreti, gestita da Azure
- App Registration
- Configurazione manuale, servono credenziali
Autorizzazione in Key Vault
Dopo l'autenticazione, l'autorizzazione definisce cosa puoi fare
Azure offre due modelli di autorizzazione: Access Policies e RBAC
Access policies (legacy)
- Controlla solo il data plane (dentro Key Vault)
- Nessun controllo sul management plane o su chi può gestire il vault
RBAC: Role-Based Access Control (consigliato)
- Controlla l'accesso a
- Management Plane: il vault
- Data Plane: Keys, Secrets, Certificates
- Supporta PIM, MFA, Accesso Condizionale
Soft delete
Stato attuale:
- Gli elementi eliminati possono causare gravi disservizi
Soft Delete abilitato:
- Gli elementi eliminati entrano in uno stato recuperabile
- Protegge da eliminazioni accidentali o malevole
Dove si applica il soft delete?
- Vault
Keys
- Secrets
- Certificates
Configurazione di Soft delete
- Durata di conservazione: 7-90 giorni (predefinito: 90)
- Abilitato per impostazione predefinita sui nuovi vault
- Non si può disattivare dopo la configurazione
Purge protection
- Purge = eliminazione permanente senza recupero
- Blocca il purge durante la conservazione
Neanche gli admin possono fare purge
Si applica sia al vault sia ai suoi contenuti.
Configurazione di Purge protection
- Configurazione
- Durata di conservazione: 7-90 giorni (predefinito: 90)
- Richiede che Soft Delete sia abilitato
- Non si può disattivare dopo la configurazione
Best practice
Progetta per l'isolamento
- Usa vault separati
Controlla l'accesso
- Accesso solo a utenti e app fidati
Monitora l'attività
- Abilita log diagnostici e avvisi
