Delen via

Herstelbeheer van Azure Key Vault met zachte verwijdering en verwijderingsbeveiliging

Dit artikel bespreekt twee herstelmogelijkheden van Azure Key Vault, soft delete en zuiverbescherming. Dit document bevat een overzicht van deze functies en laat zien hoe u deze kunt beheren via Azure Portal, Azure CLI en Azure PowerShell.

Belangrijk

Als voor een sleutelkluis geen beveiliging voor voorlopig verwijderen is ingeschakeld, verwijdert u deze definitief door een sleutel te verwijderen. Klanten worden sterk aangeraden om het afdwingen van soft-delete in te schakelen voor hun kluizen via Azure Policy.

Overzicht van herstelopties

Azure Key Vault biedt meerdere opties om de beschikbaarheid en herstelbaarheid van uw kluisgegevens te garanderen:

  • Automatische redundantie en failover: Key Vault repliceert automatisch gegevens in verschillende regio's en verwerkt failover tijdens storingen - zie beschikbaarheid en redundantie van Azure Key Vault
  • Soft delete en bescherming tegen opschoning (beschreven in dit artikel): Voorkomt onbedoelde of schadelijke verwijdering van uw kluis of kluisobjecten
  • Handmatige back-up en herstel: voor afzonderlijke geheimen, sleutels en certificaten - zie Back-up van Azure Key Vault

Dit artikel is gericht op de beveiligingsfuncties voor voorlopig verwijderen en opschonen die u helpen beschermen tegen onbedoelde of schadelijke verwijdering.

Vereisten

  • Een Azure-abonnement - Een gratis abonnement maken

  • Azure PowerShell.

  • Azure-CLI

  • Een sleutelkluis kunt u maken met behulp van de Azure Portal, Azure CLI of Azure PowerShell.

  • De gebruiker heeft de volgende machtigingen (op abonnementsniveau) nodig om bewerkingen uit te voeren op voorlopig verwijderde kluizen:

    Machtiging Beschrijving
    Microsoft.KeyVault/locations/deletedVaults/read De eigenschappen van een voorlopig verwijderde sleutelkluis weergeven
    Microsoft.KeyVault/locations/deletedVaults/purge/action Een voorlopig verwijderde sleutelkluis leegmaken
    Microsoft.KeyVault/locations/operationResults/read De zuiveringsstatus van de kluis controleren
    Key Vault-beheerder Voorlopig verwijderde kluis herstellen

Wat zijn beveiliging tegen voorlopig verwijderen en opschonen

Zacht verwijderen en zuiveringsbescherming zijn twee verschillende functies voor sleutelkluisherstel.

Voorlopig verwijderen is bedoeld om te voorkomen dat uw sleutelkluis en de daarin opgeslagen sleutels, geheimen en certificaten per ongeluk worden verwijderd. U kunt voorlopig verwijderen beschouwen als een prullenbak. Wanneer u een sleutelkluis of een sleutelkluisobject verwijdert, blijft het herstelbaar voor een door de gebruiker configureerbare bewaarperiode of een standaardperiode van 90 dagen. Sleutelkluizen met de status Voorlopig verwijderd kunnen ook worden verwijderd (permanent verwijderd), zodat u sleutelkluizen en sleutelkluisobjecten met dezelfde naam opnieuw kunt maken. Voor zowel het herstellen als verwijderen van sleutelkluizen en objecten zijn verhoogde toegangsbeleidsmachtigingen vereist. Zodra voorlopig verwijderen is ingeschakeld, kan deze niet worden uitgeschakeld.

Het is belangrijk te weten dat sleutelkluisnamen wereldwijd uniek zijn, dus u kunt geen sleutelkluis maken met dezelfde naam als een sleutelkluis die in de status soft deleted verkeert. Op dezelfde manier zijn de namen van sleutels, geheimen en certificaten uniek binnen een sleutelkluis. U kunt geen geheim, sleutel of certificaat maken met dezelfde naam als een andere met de status Voorlopig verwijderd.

Beveiliging tegen opschonen is ontworpen om te voorkomen dat uw sleutelkluis, sleutels, geheimen en certificaten door een kwaadwillende insider worden verwijderd. U kunt het beschouwen als een prullenbak met een tijdvergrendeling. U kunt items op elk gewenst moment herstellen tijdens de configureerbare bewaarperiode. U kunt een sleutelkluis pas definitief verwijderen of leegmaken als de bewaarperiode is verstreken. Zodra de bewaarperiode is verstreken, wordt de sleutelkluis of het sleutelkluisobject automatisch geschoond.

Notitie

Beveiliging tegen opschonen is zodanig ontworpen dat geen beheerdersrol of -machtiging de beveiliging tegen opschonen kan overschrijven, uitschakelen of omzeilen. Wanneer beveiliging tegen opschonen is ingeschakeld, kan deze niet worden uitgeschakeld of overschreven door iedereen, waaronder Microsoft. Dit betekent dat u een verwijderde sleutelkluis moet herstellen of moet wachten tot de retentieperiode is verstreken voordat u de naam van de sleutelkluis opnieuw gebruikt.

Deze functies worden sterk aanbevolen voor productieomgevingen.

Zie het overzicht van voorlopig verwijderen in Azure Key Vault voor meer informatie over voorlopig verwijderen

Controleren of voorlopig verwijderen is ingeschakeld in een sleutelkluis en voorlopig verwijderen inschakelen

  1. Meld u aan bij het Azure-portaal.
  2. Selecteer uw sleutelkluis.
  3. Selecteer de eigenschappen-blade.
  4. Controleer of het keuzerondje naast 'soft-delete' is ingesteld op "Herstel inschakelen".
  5. Als soft-delete niet is ingeschakeld in de sleutelkluis, selecteert u het keuzerondje om soft-delete in te schakelen en selecteert u "Opslaan".

On Properties, Soft-delete is highlighted, as is the value to enable it.Bij Eigenschappen is Voorlopig verwijderen gemarkeerd, net zoals de waarde die u wilt inschakelen.

Toegang verlenen tot een service-principal voor het verwijderen en herstellen van verwijderde geheime gegevens.

  1. Meld u aan bij het Azure-portaal.
  2. Selecteer uw sleutelkluis.
  3. Selecteer de blade Toegangsbeleid.
  4. Zoek in de tabel de rij van de beveiligingsprincipaal waaraan u toegang wilt verlenen (of voeg een nieuwe beveiligingsprincipaal toe).
  5. Selecteer de vervolgkeuzelijst voor sleutels, certificaten en geheimen.
  6. Scroll naar beneden in de vervolgkeuzelijst en selecteer 'Herstellen' en 'Leegmaken'
  7. Beveiligingsprinciplen hebben ook de functionaliteit 'get' en 'list' nodig om de meeste bewerkingen uit te voeren.

In the left navigation pane, Access policies is highlighted. On Access policies, the Secret Positions drop-down list is shown, and four items are selected: Get, List, Recover, and Purge.In het linkernavigatiedeelvenster is Toegangsbeleid gemarkeerd. In het toegangsbeleid wordt de vervolgkeuzelijst Geheime posities weergegeven en zijn er vier items geselecteerd: Ophalen, Weergeven, Herstellen en Leegmaken.

Een voorlopig verwijderde sleutelkluis weergeven, herstellen of opschonen

  1. Meld u aan bij het Azure-portaal.
  2. Selecteer de zoekbalk boven aan de pagina.
  3. Zoek naar de service 'Key Vault'. Selecteer geen individuele sleutelkluis.
  4. Selecteer bovenaan het scherm de optie Verwijderde kluizen beheren
  5. Aan de rechterkant van het scherm wordt een contextvenster geopend.
  6. Selecteer uw abonnement.
  7. Als uw sleutelkluis voorlopig is verwijderd, wordt deze weergegeven in het contextvenster aan de rechterkant.
  8. Als er te veel kluizen zijn, kunt u onderaan het contextvenster 'Meer laden' selecteren of CLI of PowerShell gebruiken om de resultaten op te halen.
  9. Zodra u de kluis hebt gevonden die u wilt herstellen of opschonen, schakelt u het selectievakje ernaast in.
  10. Selecteer de optie 'Herstellen' onderaan het contextvenster als je de sleutelkluis wilt herstellen.
  11. Selecteer de optie voor opschonen als u de sleutelkluis definitief wilt verwijderen.

Op Sleutelkluizen is de optie 'Verwijderde kluizen beheren' gemarkeerd.Op Sleutelkluizen is de optie 'Verwijderde kluizen beheren' gemarkeerd.

On Manage deleted key vaults, the only listed key vault is highlighted and selected, and the Recover button is highlighted.Bij Verwijderde sleutelkluizen beheren is de enige vermelde sleutelkluis gemarkeerd en geselecteerd en is de knop Herstellen gemarkeerd.

Voorlopig verwijderde geheimen, sleutels en certificaten weergeven, herstellen of opschonen

  1. Meld u aan bij het Azure-portaal.
  2. Selecteer uw sleutelkluis.
  3. Selecteer de blade die overeenkomt met het geheime type dat u wilt beheren (sleutels, geheimen of certificaten).
  4. Selecteer bovenaan het scherm 'Verwijderde beheren (sleutels, geheimen of certificaten)
  5. Aan de rechterkant van het scherm wordt een contextvenster weergegeven.
  6. Als uw geheim, sleutel of certificaat niet in de lijst verschijnt, is het niet in de zacht verwijderd status.
  7. Selecteer het geheim, de sleutel of het certificaat dat u wilt beheren.
  8. Selecteer de optie om onder aan het contextvenster te herstellen of leeg te maken.

In het gedeelte Sleutels is de optie "Verwijderde sleutels beheren" zichtbaar gemarkeerd.

Volgende stappen

  • Last updated on