Configurações avançadas do Key Vault
Implementar segurança do Azure para desenvolvedores
Anushika Agarwal
Cloud Data Engineer
Entra ID impulsiona a autenticação do Key Vault
- Primeiro passo para acessar o Key Vault = Autenticação
- Provar quem você é
- O Key Vault usa Microsoft Entra ID para autenticação
Tipos de identidade no Key Vault
- Usuário: Uma pessoa
- Grupo: Um conjunto de usuários
- Service Principal: Identidade de app ou serviço
Métodos de autenticação de apps
- Managed Identity (recomendado)
- Sem segredos; gerenciado pela Azure
- App Registration
- Configuração manual; requer credenciais
Autorização no Key Vault
Após a autenticação, a autorização define o que você pode fazer
A Azure oferece dois modelos de autorização: Access Policies e RBAC
Access policies (legado)
- Controla apenas o data plane (dentro do Key Vault)
- Sem controle sobre o management plane ou quem pode gerenciar o cofre
RBAC: Role-Based Access Control (recomendado)
- Controla o acesso a:
- Management Plane: o próprio cofre
- Data Plane: Keys, Secrets, Certificates
- Suporta PIM, MFA e Acesso Condicional
Soft delete
Status quo:
- Itens excluídos podem causar grande interrupção
Soft Delete ativado:
- Itens excluídos entram em estado recuperável
- Protege contra exclusão acidental ou maliciosa
Onde o soft delete se aplica?
- Vault
Keys
- Secrets
- Certificates
Configuração do soft delete
- Período de retenção: 7–90 dias (padrão: 90)
- Ativado por padrão em novos cofres
- Não pode ser desativado após configurado
Purge protection
- Purge = exclusão permanente sem recuperação
- Bloqueia purge durante a retenção
Nem administradores podem executar purge
Aplica-se ao cofre e ao conteúdo.
Configuração do purge protection
- Configuração
- Período de retenção: 7–90 dias (padrão: 90)
- Requer Soft Delete ativado
- Não pode ser desativado após configurado
Boas práticas
Projetar para isolamento
- Use cofres separados
Controlar o acesso
- Acesso só para usuários e apps confiáveis
Monitorar atividade
- Ative logs de diagnóstico e alertas
