Vue d’ensemble des clés, des secrets et des certificats Azure Key Vault

Azure Key Vault permet aux applications et utilisateurs Microsoft Azure de stocker et d’utiliser plusieurs types de données secrètes et clés : clés, secrets et certificats. Les clés, les secrets et les certificats sont collectivement appelés « objets ».

Identificateurs d’objet

Key Vault identifie de manière unique les objets à l’aide d’un identifiant insensible à la casse appelé identifiant d’objet. Aucun des deux objets du système n’a le même identificateur, quel que soit l’emplacement géographique. L’identificateur se compose d’un préfixe qui identifie le coffre de clés, le type d’objet, le nom d’objet fourni par l’utilisateur et une version d’objet. Les identifiants qui n’incluent pas la version de l’objet sont appelés des « identifiants de base ». Les identifiants d’objet Key Vault sont également des URL valides, mais ils doivent toujours être comparés comme des chaînes insensibles à la casse.

Pour plus d’informations, consultez Authentification, demandes et réponses.

Un identificateur d’objet a le format général suivant (selon le type de conteneur) :

• Pour les coffres : https://{vault-name}.vault.azure.net/{object-type}/{object-name}/{object-version}

• Pour les pools Managed HSM : https://{hsm-name}.managedhsm.azure.net/{object-type}/{object-name}/{object-version}

Où :

Suffixes DNS pour les identificateurs d’objets

Le fournisseur de ressources Azure Key Vault prend en charge deux types de ressources : les coffres et les HSM managés. Cette table présente le suffixe DNS utilisé par le point de terminaison du plan de données pour les coffres et les HSM managés dans différents environnements cloud.

Types d’objets

Ce tableau montre les types d’objet et leurs suffixes dans l’identificateur d’objet.

• Clés de chiffrement : prend en charge plusieurs algorithmes et types de clés et permet l’utilisation de clés protégées par logiciel et par HSM. Pour plus d’informations sur les clés, consultez À propos des clés.
• Secrets : offre un stockage sécurisé des secrets, tels que les mots de passe et les chaînes de connexion de base de données. Pour plus d’informations, consultez À propos des secrets.
• Certificats : prend en charge les certificats, qui sont basés sur des clés et des secrets, et offre une fonctionnalité de renouvellement automatique. Lorsque vous créez un certificat, le processus crée également une clé adressable et un secret portant le même nom. Pour plus d’informations, consultez À propos des certificats.
• Clés de compte de stockage Azure : peut gérer les clés d’un compte Stockage Azure pour vous. En interne, Key Vault peut lister (synchroniser) les clés avec un compte Stockage Azure et regénérer (faire tourner) régulièrement les clés. Pour plus d’informations, consultez Gérer les clés de compte de stockage avec Key Vault.

Pour plus d’informations générales sur Key Vault, consultez À propos d’Azure Key Vault. Pour plus d’informations sur les pools de HSM managés, consultez Qu’est-ce qu’Azure Key Vault Managed HSM ?

Types de données

Reportez-vous aux spécifications JOSE pour les types de données appropriés pour les clés, le chiffrement et la signature.

• algorithme : algorithme pris en charge pour une opération de clé, tel que RSA_OAEP_256
• ciphertext-value - octets de texte chiffrés, encodés à l’aide de Base64URL
• digest-value : sortie d’un algorithme de hachage, encodée à l’aide de Base64URL
• type de clé : l’un des types de clés pris en charge, tels que RSA (Rivest-Shamir-Adleman).
• plaintext-value - octets en texte brut, encodés en utilisant Base64URL
• signature-value - sortie d’un algorithme de signature, encodé à l’aide de Base64URL
• base64URL : valeur binaire codée Base64URL [RFC4648]
• boolean : true (vrai) ou false (faux)
• Identité : identité de Microsoft Entra ID.
• IntDate : valeur décimale JSON représentant le nombre de secondes entre 1970-01-01T0:0:0Z UTC et la date/heure UTC spécifiée. Consultez la RFC3339 pour plus d’informations sur les dates/heures en général, et sur UTC en particulier.

Objets, identificateurs et gestion de versions

Key Vault met en version les objets chaque fois que vous créez une nouvelle instance d’un objet. Chaque version a un identificateur d’objet unique. Lorsque vous créez un objet, vous lui donnez un identificateur de version unique et en faites la version actuelle de l’objet. Lorsque vous créez une nouvelle instance avec le même nom d’objet, vous attribuez à ce nouvel objet un identificateur de version unique et en faites la version actuelle.

Vous pouvez récupérer des objets dans Key Vault en spécifiant une version ou en omettant la version pour obtenir la dernière version de l’objet. Pour effectuer des opérations sur des objets, vous devez fournir la version pour utiliser une version spécifique de l’objet.

Étapes suivantes

• À propos des clés
• À propos des secrets
• À propos des certificats
• Authentification, requêtes et réponses
• Guide du développeur Key Vault