Configuración avanzada de Key Vault
Implementar la seguridad de Azure para desarrolladores
Anushika Agarwal
Cloud Data Engineer
Entra ID impulsa la autenticación de Key Vault
- Primer paso para acceder a Key Vault = Autenticación
- Demostrar quién eres
- Key Vault usa Microsoft Entra ID para la autenticación
Tipos de identidad en Key Vault
- Usuario: Una persona
- Grupo: Un conjunto de usuarios
- Entidad de servicio (Service Principal): Identidad de una app o servicio
Métodos de autenticación de apps
- Identidad administrada (recomendado)
- Sin secretos; la gestiona Azure
- Registro de aplicación
- Configuración manual; requiere credenciales
Autorización en Key Vault
Tras la autenticación, la autorización define qué puedes hacer
Azure ofrece dos modelos de autorización: Access Policies y RBAC
Políticas de acceso (heredadas)
- Controla solo el data plane (dentro de Key Vault)
- Sin control del plano de administración ni de quién puede administrar el almacén
RBAC: control de acceso basado en roles (recomendado)
- Controla el acceso a
- Plano de administración: el propio almacén
- Data plane: Keys, Secrets, Certificates
- Admite PIM, MFA y acceso condicional
Soft delete
Estado actual:
- Los elementos eliminados pueden causar una gran interrupción
Soft Delete activado:
- Los elementos eliminados pasan a un estado recuperable
- Protege frente a eliminaciones accidentales o maliciosas
¿Dónde se aplica soft delete?
- Vault
Keys
- Secrets
- Certificates
Configuración de soft delete
- Periodo de retención: 7-90 días (predeterminado: 90)
- Activado por defecto en almacenes nuevos
- No se puede desactivar una vez configurado
Protección de purga
- Purge = eliminación permanente sin recuperación
- Bloquea el purgado durante la retención
Ni los administradores pueden purgar
Aplica tanto al almacén como a su contenido.
Configuración de la protección de purga
- Configuración
- Periodo de retención: 7-90 días (predeterminado: 90)
- Requiere Soft Delete activado
- No se puede desactivar una vez configurado
Buenas prácticas
Diseña para aislar
- Usa almacenes separados
Controla el acceso
- Acceso solo para usuarios y apps de confianza
Supervisa la actividad
- Habilita el registro de diagnóstico y alertas
