Erweiterte Key-Vault-Einstellungen
Azure-Sicherheit für Entwickler implementieren
Anushika Agarwal
Cloud Data Engineer
Entra ID steuert die Key-Vault-Authentifizierung
- Erster Schritt für den Zugriff auf Key Vault = Authentifizierung
- Nachweisen, wer du bist
- Key Vault nutzt Microsoft Entra ID zur Authentifizierung
Identitätstypen in Key Vault
- User: Eine Person
- Group: Eine Menge von Nutzern
- Service Principal: Identität einer App oder eines Diensts
App-Authentifizierungsmethoden
- Managed Identity (empfohlen)
- Keine Secrets, von Azure verwaltet
- App Registration
- Manuelles Setup, Anmeldedaten nötig
Autorisierung in Key Vault
Nach der Authentifizierung legt die Autorisierung fest, was du tun darfst
Azure bietet zwei Modelle: Access Policies und RBAC
Access Policies (veraltet)
- Steuert nur die Data Plane (im Key Vault)
- Keine Steuerung der Management-Ebene oder wer den Vault verwalten darf
RBAC: Role-Based Access Control (empfohlen)
- Steuert den Zugriff auf
- Management Plane: den Vault selbst
- Data Plane: Keys, Secrets, Certificates
- Unterstützt PIM, MFA, bedingten Zugriff
Soft Delete
Status quo:
- Gelöschte Objekte können stark stören
Soft Delete aktiviert:
- Gelöschte Objekte sind wiederherstellbar
- Schützt vor versehentlichem oder böswilligem Löschen
Wo gilt Soft Delete?
- Vault
Keys
- Secrets
- Certificates
Soft-Delete-Konfiguration
- Aufbewahrungsdauer – 7–90 Tage (Standard: 90)
- Standardmäßig für neue Vaults aktiviert
- Nach Konfiguration nicht mehr deaktivierbar
Purge Protection
- Purge = endgültiges Löschen ohne Wiederherstellung
- Sperrt Purge während der Aufbewahrung
Selbst Admins können nicht purgen
Gilt für den Vault und seinen Inhalt.
Purge-Protection-Konfiguration
- Konfiguration
- Aufbewahrungsdauer – 7–90 Tage (Standard: 90)
- Soft Delete muss aktiviert sein
- Nach Konfiguration nicht mehr deaktivierbar
Best Practices
Für Isolation designen
- Separate Vaults verwenden
Zugriff steuern
- Zugriff nur für vertrauenswürdige Nutzer und Apps
Aktivität überwachen
- Diagnoselogs und Alarme aktivieren
