Delen via

Logboekregistratie voor Azure Key Vault

Nadat u een of meer sleutelkluizen hebt gemaakt, wilt u waarschijnlijk controleren hoe en wanneer uw sleutelkluizen worden geopend en door wie. Als u logboekregistratie inschakelt voor Azure Key Vault, worden deze gegevens opgeslagen in een Azure-opslagaccount dat u opgeeft. Zie Key Vault-logboekregistratie inschakelen voor stapsgewijze instructies.

U kunt uw logboekgegevens 10 minuten (maximaal) benaderen na de sleutelkluisbewerking. In de meeste gevallen is het sneller. Het is aan u om uw logboeken in uw opslagaccount te beheren:

  • Gebruik standaardmethoden voor Azure-toegangsbeheer in uw opslagaccount om uw logboeken te beveiligen door te beperken wie er toegang tot deze logboeken heeft.
  • Verwijder de logboeken die u niet meer in uw opslagaccount wilt bewaren.

Zie Wat is Azure Key Vault? voor overzichtsinformatie over Key Vault. Zie de pagina met prijzen voor informatie over waar Key Vault beschikbaar is. Voor informatie over het gebruik van Azure Monitor voor Key Vault.

Uw Key Vault-logboeken interpreteren

Wanneer u logboekregistratie inschakelt, wordt automatisch een nieuwe container met de naam insights-logs-auditevent gemaakt voor uw opgegeven opslagaccount. U kunt hetzelfde opslagaccount gebruiken voor het verzamelen van logboeken voor meerdere sleutelkluizen.

Afzonderlijke blobs worden opgeslagen als tekst, opgemaakt als een JSON-blob. Laten we eens naar een voorbeeld van een logboekvermelding kijken.

    {
        "records":
        [
            {
                "time": "2016-01-05T01:32:01.2691226Z",
                "resourceId": "/SUBSCRIPTIONS/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/RESOURCEGROUPS/CONTOSOGROUP/PROVIDERS/MICROSOFT.KEYVAULT/VAULTS/CONTOSOKEYVAULT",
                "operationName": "VaultGet",
                "operationVersion": "2015-06-01",
                "category": "AuditEvent",
                "resultType": "Success",
                "resultSignature": "OK",
                "resultDescription": "",
                "durationMs": "78",
                "callerIpAddress": "104.40.82.76",
                "correlationId": "",
                "identity": {"claim":{"http://schemas.microsoft.com/identity/claims/objectidentifier":"d9da5048-2737-4770-bd64-XXXXXXXXXXXX","http://schemas.xmlsoap.org/ws/2005/05/identity/claims/upn":"live.com#username@outlook.com","appid":"00001111-aaaa-2222-bbbb-3333cccc4444"}},
                "properties": {"clientInfo":"azure-resource-manager/2.0","requestUri":"https://control-prod-wus.vaultcore.azure.net/subscriptions/361da5d4-a47a-4c79-afdd-XXXXXXXXXXXX/resourcegroups/contosoresourcegroup/providers/Microsoft.KeyVault/vaults/contosokeyvault?api-version=2015-06-01","id":"https://contosokeyvault.vault.azure.net/","httpStatusCode":200}
            }
        ]
    }

De volgende tabel bevat de namen en beschrijvingen van velden:

Veldnaam Beschrijving
Tijd Datum en tijd in UTC.
resourceId Azure Resource Manager resource-ID. Voor Key Vault-logboeken is dit altijd de resource-id van Key Vault.
operationName Naam van de bewerking, zoals beschreven in de volgende tabel.
operationVersion REST API-versie aangevraagd door de klant.
categorie Type resultaat. Voor Key Vault-logboeken AuditEvent is dit de enige beschikbare waarde.
resultType Resultaat van de REST-API-aanvraag.
resultSignature HTTP-status
resultaatBeschrijving Meer beschrijving over het resultaat, indien beschikbaar.
durationMs De tijd die nodig was om het REST API-verzoek te verwerken, in milliseconden. De tijd bevat niet de netwerklatentie, dus de tijd die u aan de clientzijde meet, komt mogelijk niet overeen met deze tijd.
callerIpAddress IP-adres van de client die de aanvraag heeft ingediend.
correlationId Een optionele GUID die de client kan doorgeven om de client-side logboeken te correleren met de service-side (Key Vault) logboeken.
identiteit De identiteit van het token dat is opgegeven in de REST-API-aanvraag. Meestal een 'gebruiker', een 'service-principal' of de combinatie 'user+appId', bijvoorbeeld wanneer de aanvraag afkomstig is van een Azure PowerShell-cmdlet.
eigenschappen Informatie die varieert op basis van de bewerking (operationName). In de meeste gevallen bevat dit veld clientgegevens (de useragent-tekenreeks die door de client wordt doorgegeven), de exacte URI voor de REST-API-aanvraag en de HTTP-statuscode. Wanneer een object wordt geretourneerd als gevolg van een aanvraag (bijvoorbeeld KeyCreate of VaultGet), bevat het ook de sleutel-URI (als id), kluis-URI of geheime URI.

De veldwaarden van operationName zijn in ObjectVerb-formaat. Voorbeeld:

  • Alle sleutelkluisbewerkingen hebben de Vault<action> indeling, zoals VaultGet en VaultCreate.
  • Alle sleutelbewerkingen hebben de Key<action> indeling, zoals KeySign en KeyList.
  • Alle geheime bewerkingen hebben de Secret<action> indeling, zoals SecretGet en SecretListVersions.

De volgende tabel bevat de operationName-waarden en bijbehorende REST API-opdrachten:

Tabel namen van operaties

naam van de operatie REST API-opdracht
Verificatie Verifiëren via Microsoft Entra-eindpunt
VaultGet Informatie over een sleutelkluis verkrijgen
VaultPut Een sleutelkluis maken of bijwerken
VaultDelete Een sleutelkluis verwijderen
VaultPatch Een sleutelkluis bijwerken
VaultRecover Verwijderde kluis herstellen
WijzigingVanDeToegangsbeleidVoorKluisOpEventGridMelding Een gebeurtenis waarbij het kluistoegangsbeleid is gewijzigd, is gepubliceerd. Het wordt geregistreerd, ongeacht of er een Event Grid-abonnement bestaat.

Azure Monitor-logboeken gebruiken

U kunt de Key Vault-oplossing in Azure Monitor-logboeken gebruiken om Key Vault-logboeken AuditEvent te controleren. In Azure Monitor-logboeken kunt u logboekquery’s gebruiken om gegevens te analyseren en de informatie op te halen die u nodig hebt.

Zie Azure Key Vault in Azure Monitor voor meer informatie, waaronder het instellen ervan.

Zie Voorbeeldquery's voor Kusto-logboeken voor meer informatie over het analyseren van logboeken

Volgende stappen

  • Last updated on