Розширені настройки Key Vault
Реалізація безпеки Azure для розробників
Anushika Agarwal
Cloud Data Engineer
Entra ID забезпечує автентифікацію Key Vault
- Перший крок доступу до Key Vault — автентифікація
- Підтвердження вашої особи
- Key Vault використовує Microsoft Entra ID для автентифікації
Типи ідентичностей у Key Vault
- Користувач: людина
- Група: набір користувачів
- Service Principal: ідентичність застосунку або служби
Методи автентифікації застосунків
- Керована ідентичність (рекомендовано)
- Без секретів, керується Azure
- Реєстрація застосунку
- Ручне налаштування, потрібні облікові дані
Авторизація в Key Vault
Після автентифікації авторизація визначає, що ви можете робити
Azure пропонує дві моделі авторизації — Access Policies і RBAC
Політики доступу (застаріле)
- Контролює лише data plane (усередині Key Vault)
- Не керує management plane або тим, хто може адмініструвати сховище
RBAC: керування доступом на основі ролей (рекомендовано)
- Керує доступом до
- Management Plane: саме сховище
- Data Plane: Keys, Secrets, Certificates
- Підтримує PIM, MFA, умовний доступ
Soft delete
Поточний стан:
- Видалені елементи можуть спричинити значні збої
Soft Delete увімкнено:
- Видалені елементи переходять у стан, з якого можна відновити
- Захист від випадкового чи навмисного видалення
Де застосовується soft delete?
- Сховище
Keys
- Secrets
- Certificates
Налаштування soft delete
- Період зберігання — 7–90 днів (типово: 90)
- Увімкнено типово для нових сховищ
- Неможливо вимкнути після налаштування
Захист від остаточного видалення (Purge)
- Purge = остаточне видалення без відновлення
- Блокує purge протягом періоду зберігання
Навіть адміністратори не можуть виконати purge
Застосовується і до сховища, і до його вмісту.
Налаштування захисту від purge
- Налаштування
- Період зберігання — 7–90 днів (типово: 90)
- Потрібно, щоб було увімкнено Soft Delete
- Неможливо вимкнути після налаштування
Найкращі практики
Проєктуйте ізоляцію
- Використовуйте окремі сховища
Керуйте доступом
- Доступ лише для довірених користувачів і застосунків
Моніторте активність
- Увімкніть діагностичне логування та сповіщення
