Avancerade Key Vault-inställningar
Implementera Azure-säkerhet för utvecklare
Anushika Agarwal
Cloud Data Engineer
Entra ID driver Key Vault-autentisering
- Första steget för att komma åt Key Vault = Autentisering
- Bekräftar vem du är
- Key Vault använder Microsoft Entra ID för autentisering
Identitetstyper i Key Vault
- Användare: En person
- Grupp: En uppsättning användare
- Service Principal: En app- eller tjänsteidentitet
Autentiseringsmetoder för appar
- Managed Identity (rekommenderas)
- Inga hemligheter, hanteras av Azure
- App Registration
- Manuell konfiguration, autentiseringsuppgifter krävs
Auktorisering i Key Vault
Efter autentisering styr auktorisering vad du får göra
Azure erbjuder två auktoriseringsmodeller – Åtkomstprinciper och RBAC
Åtkomstprinciper (äldre)
- Styr bara dataplanet (inuti Key Vault)
- Ingen kontroll över hanteringsplanet eller vem som kan hantera valvet
RBAC: rollbaserad åtkomstkontroll (rekommenderas)
- Styr åtkomst till
- Hanteringsplanet: Valvet självt
- Dataplanet: Nycklar, hemligheter, certifikat
- Stöder PIM, MFA och villkorlig åtkomst
Mjuk borttagning
Utan skydd:
- Borttagna objekt kan orsaka allvarliga problem
Mjuk borttagning aktiverad:
- Borttagna objekt hamnar i ett återställningsbart tillstånd
- Skyddar mot oavsiktlig eller avsiktlig borttagning
Var gäller mjuk borttagning?
- Valv
Nycklar
- Hemligheter
- Certifikat
Konfiguration av mjuk borttagning
- Kvarhållningstid – 7–90 dagar (standard: 90)
- Aktiverat som standard för nya valv
- Kan inte inaktiveras efter konfiguration
Rensningsskydd
- Rensning = permanent borttagning utan återställning
- Blockerar rensning under kvarhållningstiden
Inte ens administratörer kan rensa
Gäller både valvet och dess innehåll.
Konfiguration av rensningsskydd
- Konfiguration
- Kvarhållningstid – 7–90 dagar (standard: 90)
- Kräver att mjuk borttagning är aktiverat
- Kan inte inaktiveras efter konfiguration
Bästa praxis
Planera för isolering
- Använd separata valv
Styr åtkomst
- Åtkomst endast för betrodda användare och appar
Övervaka aktivitet
- Aktivera diagnostikloggning och aviseringar
