Pokročilá nastavení Key Vault
Implementace zabezpečení Azure pro vývojáře
Anushika Agarwal
Cloud Data Engineer
Entra ID zajišťuje ověřování Key Vault
- První krok přístupu k Key Vault = ověření
- Prokázání totožnosti
- Key Vault používá Microsoft Entra ID k ověřování
Typy identit v Key Vault
- Uživatel: Osoba
- Skupina: Sada uživatelů
- Instanční objekt: Identita aplikace nebo služby
Metody ověřování aplikací
- Spravovaná identita (doporučeno)
- Bez tajných kódů, spravováno Azure
- Registrace aplikace
- Ruční nastavení, vyžaduje přihlašovací údaje
Autorizace v Key Vault
Po ověření určuje autorizace, co lze dělat
Azure nabízí dva modely autorizace – Zásady přístupu a RBAC
Zásady přístupu (starší)
- Řídí pouze datovou rovinu (uvnitř Key Vault)
- Bez kontroly nad rovinou správy nebo správci trezoru
RBAC: Řízení přístupu na základě rolí (doporučeno)
- Řídí přístup k
- Rovina správy: samotný trezor
- Datová rovina: klíče, tajné kódy, certifikáty
- Podporuje PIM, MFA, podmíněný přístup
Obnovitelné smazání
Současný stav:
- Smazané položky mohou způsobit závažné problémy
Obnovitelné smazání:
- Smazané položky přejdou do obnovitelného stavu
- Chrání před náhodným nebo úmyslným smazáním
Na co se obnovitelné smazání vztahuje?
- Trezor
Klíče
- Tajné kódy
- Certifikáty
Konfigurace obnovitelného smazání
- Doba uchování – 7–90 dní (výchozí: 90)
- Povoleno ve výchozím nastavení pro nové trezory
- Po konfiguraci nelze vypnout
Ochrana před vymazáním
- Vymazání = trvalé smazání bez možnosti obnovy
- Blokuje vymazání během doby uchování
Ani správci nemohou vymazat
Vztahuje se na trezor i jeho obsah.
Konfigurace ochrany před vymazáním
- Konfigurace
- Doba uchování – 7–90 dní (výchozí: 90)
- Vyžaduje povolené obnovitelné smazání
- Po konfiguraci nelze vypnout
Osvědčené postupy
Navrhujte s izolací
- Používejte oddělené trezory
Řiďte přístup
- Přístup pouze pro důvěryhodné uživatele a aplikace
Sledujte aktivitu
- Povolte diagnostické protokolování a upozornění
