Paramètres avancés de Key Vault
Mettre en œuvre la sécurité Azure pour les développeurs
Anushika Agarwal
Cloud Data Engineer
Entra ID alimente l'authentification de Key Vault
- Première étape pour accéder à Key Vault = Authentification
- Prouver votre identité
- Key Vault utilise Microsoft Entra ID pour l'authentification
Types d'identité dans Key Vault
- Utilisateur : une personne
- Groupe : un ensemble d'utilisateurs
- Principal de service : identité d'une appli ou d'un service
Méthodes d'authentification des applis
- Identité gérée (recommandée)
- Aucuns secrets, gérée par Azure
- Inscription d'application
- Configuration manuelle, justificatifs requis
Autorisation dans Key Vault
Après l'authentification, l'autorisation définit ce que vous pouvez faire
Azure propose deux modèles d'autorisation : strategies d'accès et RBAC
Stratégies d'accès (héritées)
- Contrôle le plan des données seulement (à l'intérieur de Key Vault)
- Aucun contrôle du plan de gestion ni de qui peut gérer le coffre
RBAC : contrôle d'accès basé sur les rôles (recommandé)
- Contrôle l'accès au
- Plan de gestion : le coffre lui-même
- Plan des données : clés, secrets, certificats
- Prend en charge PIM, MFA, accès conditionnel
Suppression souple
État actuel :
- Les éléments supprimés peuvent causer de graves perturbations
Suppression souple activée :
- Les éléments supprimés passent à un état récupérable
- Protège contre les suppressions accidentelles ou malveillantes
Où s'applique la suppression souple ?
- Coffre
Clés
- Secrets
- Certificats
Configuration de la suppression souple
- Durée de rétention : 7 à 90 jours (par défaut : 90)
- Activée par défaut pour les nouveaux coffres
- Impossible à désactiver une fois configurée
Protection contre la purge
- Purge = suppression permanente sans récupération
- Bloque la purge pendant la rétention
Même les admin. ne peuvent pas purger
S'applique au coffre et à son contenu.
Configuration de la protection contre la purge
- Configuration
- Durée de rétention : 7 à 90 jours (par défaut : 90)
- Exige que la suppression souple soit activée
- Impossible à désactiver une fois configurée
Pratiques exemplaires
Concevoir pour l'isolation
- Utilisez des coffres séparés
Contrôler l'accès
- Accès seulement pour les utilisateurs et applis de confiance
Surveiller l'activité
- Activer la journalisation diagnostique et les alertes
