Zaawansowane ustawienia Key Vault
Implementowanie zabezpieczeń Azure dla deweloperów
Anushika Agarwal
Cloud Data Engineer
Entra ID obsługuje uwierzytelnianie Key Vault
- Pierwszy krok dostępu do Key Vault = uwierzytelnianie
- Potwierdzenie tożsamości
- Key Vault używa Microsoft Entra ID do uwierzytelniania
Typy tożsamości w Key Vault
- Użytkownik: osoba
- Grupa: zbiór użytkowników
- Jednostka usługi: tożsamość aplikacji lub usługi
Metody uwierzytelniania aplikacji
- Tożsamość zarządzana (zalecane)
- Bez wpisów tajnych, zarządzana przez Azure
- Rejestracja aplikacji
- Konfiguracja ręczna, wymagane poświadczenia
Autoryzacja w Key Vault
Po uwierzytelnieniu autoryzacja określa, co można zrobić
Azure oferuje dwa modele autoryzacji – Zasady dostępu i RBAC
Zasady dostępu (starsza wersja)
- Kontrola wyłącznie płaszczyzny danych (wnętrze Key Vault)
- Brak kontroli nad płaszczyzną zarządzania ani tym, kto zarządza magazynem
RBAC: kontrola dostępu oparta na rolach (zalecane)
- Kontrola dostępu do
- Płaszczyzny zarządzania: sam magazyn
- Płaszczyzny danych: klucze, wpisy tajne, certyfikaty
- Obsługuje PIM, MFA, dostęp warunkowy
Usuwanie nietrwałe
Stan obecny:
- Usunięte elementy mogą powodować poważne zakłócenia
Usuwanie nietrwałe włączone:
- Usunięte elementy przechodzą w stan możliwy do odzyskania
- Chroni przed przypadkowym lub złośliwym usunięciem
Do czego stosuje się usuwanie nietrwałe?
- Magazyn
Klucze
- Wpisy tajne
- Certyfikaty
Konfiguracja usuwania nietrwałego
- Okres przechowywania – 7–90 dni (domyślnie: 90)
- Domyślnie włączone dla nowych magazynów
- Nie można wyłączyć po skonfigurowaniu
Ochrona przed przeczyszczeniem
- Przeczyszczenie = trwałe usunięcie bez możliwości odzyskania
- Blokuje przeczyszczanie przez okres przechowywania
Nawet administratorzy nie mogą przeczyszczać
Dotyczy zarówno magazynu, jak i jego zawartości.
Konfiguracja ochrony przed przeczyszczeniem
- Konfiguracja
- Okres przechowywania – 7–90 dni (domyślnie: 90)
- Wymaga włączonego usuwania nietrwałego
- Nie można wyłączyć po skonfigurowaniu
Najlepsze praktyki
Projektowanie z izolacją
- Używanie oddzielnych magazynów
Kontrola dostępu
- Dostęp tylko dla zaufanych użytkowników i aplikacji
Monitorowanie aktywności
- Włączenie rejestrowania diagnostycznego i alertów
