Paramètres avancés de Key Vault
Mettre en œuvre la sécurité Azure pour les développeurs
Anushika Agarwal
Cloud Data Engineer
Entra ID gère l'authentification de Key Vault
- Première étape pour accéder à Key Vault = authentification
- Prouver votre identité
- Key Vault utilise Microsoft Entra ID pour l'authentification
Types d'identité dans Key Vault
- Utilisateur : Une personne
- Groupe : Un ensemble d'utilisateurs
- Service principal : Identité d'une application ou d'un service
Méthodes d'authentification des applications
- Identité managée (recommandé)
- Sans secrets, gérée par Azure
- Enregistrement d'application
- Configuration manuelle, identifiants requis
Autorisation dans Key Vault
Après l'authentification, l'autorisation définit vos droits
Azure propose deux modèles d'autorisation : Access Policies et RBAC
Access policies (héritées)
- Contrôle uniquement le plan de données (dans Key Vault)
- Aucun contrôle sur le plan de gestion ni sur qui peut gérer le coffre
RBAC : contrôle d'accès basé sur les rôles (recommandé)
- Contrôle l'accès au :
- Plan de gestion : le coffre lui‑même
- Plan de données : clés, secrets, certificats
- Prend en charge PIM, MFA, accès conditionnel
Soft delete
Statut quo :
- Les éléments supprimés peuvent fortement perturber
Soft Delete activé :
- Les éléments supprimés passent en état récupérable
- Protège contre les suppressions accidentelles ou malveillantes
Où s'applique Soft Delete ?
- Coffre
Clés
- Secrets
- Certificats
Configuration de Soft Delete
- Durée de rétention : 7–90 jours (par défaut : 90)
- Activé par défaut pour les nouveaux coffres
- Ne peut plus être désactivé après configuration
Protection contre la purge
- Purge = suppression définitive sans récupération
- Bloque la purge pendant la rétention
Même les admins ne peuvent pas purger
S'applique au coffre et à son contenu.
Configuration de la protection contre la purge
- Configuration
- Durée de rétention : 7–90 jours (par défaut : 90)
- Nécessite l'activation de Soft Delete
- Ne peut plus être désactivée après configuration
Bonnes pratiques
Concevoir pour l'isolation
- Utiliser des coffres séparés
Contrôler l'accès
- Accès réservé aux utilisateurs et applis de confiance
Surveiller l'activité
- Activer les journaux de diagnostic et les alertes
