Расширенные настройки Key Vault
Реализация безопасности Azure для разработчиков
Anushika Agarwal
Cloud Data Engineer
Entra ID обеспечивает аутентификацию Key Vault
- Первый шаг доступа к Key Vault — аутентификация
- Подтверждение вашей личности
- Key Vault использует Microsoft Entra ID для аутентификации
Типы удостоверений в Key Vault
- Пользователь: физическое лицо
- Группа: набор пользователей
- Субъект-служба: удостоверение приложения или службы
Методы аутентификации приложений
- Управляемое удостоверение (рекомендуется)
- Без секретов, управляется Azure
- Регистрация приложения
- Настройка вручную, требуются учётные данные
Авторизация в Key Vault
После аутентификации авторизация определяет, что вы можете делать
Azure предлагает две модели авторизации: политики доступа и RBAC
Политики доступа (устаревший подход)
- Управляет только плоскостью данных (внутри Key Vault)
- Не контролирует плоскость управления и права на управление хранилищем
RBAC: управление доступом на основе ролей (рекомендуется)
- Управляет доступом к
- Плоскости управления: само хранилище
- Плоскости данных: ключи, секреты, сертификаты
- Поддерживает PIM, MFA, условный доступ
Обратимое удаление
Текущее положение:
- Удалённые элементы могут вызвать серьёзные сбои
Обратимое удаление включено:
- Удалённые элементы переходят в восстанавливаемое состояние
- Защита от случайного или злонамеренного удаления
На что распространяется обратимое удаление?
- Хранилище
Ключи
- Секреты
- Сертификаты
Настройка обратимого удаления
- Срок хранения — 7–90 дней (по умолчанию: 90)
- Включено по умолчанию для новых хранилищ
- Отключить после настройки невозможно
Защита от очистки
- Очистка = окончательное удаление без возможности восстановления
- Блокирует очистку в течение срока хранения
Даже администраторы не могут выполнить очистку
Применяется как к хранилищу, так и к его содержимому.
Настройка защиты от очистки
- Конфигурация
- Срок хранения — 7–90 дней (по умолчанию: 90)
- Требует включённого обратимого удаления
- Отключить после настройки невозможно
Рекомендации
Принцип изоляции
- Используйте отдельные хранилища
Управление доступом
- Доступ только для доверенных пользователей и приложений
Мониторинг активности
- Включите журналирование диагностики и оповещения
