Salvar e gerenciar a frase secreta do agente MARS com segurança no Azure Key Vault

O Backup do Azure usando o agente dos Serviços de Recuperação (MARS) permite fazer backup de arquivos/pastas e dados de estado do sistema no cofre dos Serviços de Recuperação do Azure. Esses dados são criptografados usando uma frase secreta que você fornece durante a instalação e o registro do agente MARS. Essa frase secreta é necessária para recuperar e restaurar os dados de backup e precisa ser salva em um local externo seguro.

Importante

Se essa frase secreta for perdida, a Microsoft não poderá recuperar dados de backup armazenados no cofre dos Serviços de Recuperação. Recomendamos que você armazene essa frase secreta em um local externo seguro, como o Azure Key Vault.

Agora, você pode salvar sua frase secreta de criptografia com segurança no Azure Key Vault como um segredo. Para novos computadores, você pode salvar a frase secreta do console mars durante a instalação. Para computadores existentes, salve a frase secreta alterando-a. Para habilitar o salvamento no Azure Key Vault, conceda permissão ao cofre dos Serviços de Recuperação para criar um Segredo no Key Vault.

Pré-requisitos

Antes de começar a proteger sua frase secreta no Azure Key Vault, verifique se os seguintes pré-requisitos são atendidos:

Crie um cofre dos Serviços de Recuperação caso você não tenha um.
Crie um Key Vault caso você não tenha um. Os preços do Azure Key Vault são aplicáveis quando você cria um novo Azure Key Vault para armazenar a sua frase secreta. Você deve usar um único Azure Key Vault para armazenar todas as frases secretas.
Habilite a exclusão reversível e limpe a proteção no Key Vault após a criação para proteger as frases secretas contra exclusão acidental ou mal-intencionada. Saiba mais sobre o gerenciamento de recuperação do Azure Key Vault com exclusão reversível e proteção contra purga.
Examine a versão do agente MARS; esse recurso só tem suporte em regiões públicas do Azure com o agente MARS versão 2.0.9262.0 ou superior.

Configurar o cofre dos Serviços de Recuperação para armazenar a senha do agente MARS no Azure Key Vault

Antes de salvar a sua frase secreta no Azure Key Vault, configure o cofre dos Serviços de Recuperação e o Azure Key Vault,

Para configurar um cofre, siga estas etapas na sequência fornecida para obter os resultados pretendidos. Cada ação é discutida em detalhes nas seguintes seções:

Identidade gerenciada atribuída pelo sistema habilitada para o cofre dos Serviços de Recuperação.
Para salvar a frase secreta como um segredo no Azure Key Vault, atribua permissões ao cofre dos Serviços de Recuperação.
Habilite a exclusão reversível e limpe a proteção do Azure Key Vault.

Observação

Depois de habilitar esse recurso, você não deve desabilitar a identidade gerenciada (mesmo temporariamente). Desabilitar a identidade gerenciada pode levar a um comportamento inconsistente.
No momento, não há suporte para a identidade gerenciada atribuída pelo usuário para salvar a frase secreta no Azure Key Vault.

Habilitar a identidade gerenciada atribuída pelo sistema para o cofre dos Serviços de Recuperação

Escolha um cliente:

Siga estas etapas:

Vá para Cofre dos Serviços de Recuperação>Identidade.
Selecione a guia Atribuído pelo sistema.
Altere o Status para Ativado.
Clique em Salvar para de habilitar a identidade para o cofre.

Uma ID de objeto é gerada, que é a identidade gerenciada atribuída pelo sistema do cofre.

Para habilitar a identidade gerenciada atribuída pelo sistema para o cofre dos Serviços de Recuperação, use o cmdlet Update-AzRecoveryServicesVault.

Exemplo

$vault=Get-AzRecoveryServicesVault -ResourceGroupName "testrg" -Name "testvault"
Update-AzRecoveryServicesVault -IdentityType SystemAssigned -ResourceGroupName TestRG -Name TestVault
$vault.Identity | fl

PrincipalId : xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx
TenantId    : xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx
Type        : SystemAssigned

Para habilitar a identidade gerenciada atribuída pelo sistema para o cofre dos Serviços de Recuperação, use o comando az backup vault identity assign.

Exemplo

az backup vault identity assign --system-assigned --resource-group MyResourceGroup --name MyVault

PrincipalId : xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx
TenantId    : xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx
Type        : SystemAssigned

Atribuir permissões para salvar a frase secreta no Azure Key Vault

Com base no modelo de permissão do Key Vault (permissões de acesso baseadas em função ou modelo de permissão baseado em política de acesso) configuradas para Key Vault, confira as seções a seguir.

Habilitar permissões usando o modelo de permissão de acesso baseado em função para o Key Vault

Selecione um cliente:

Para atribuir as permissões, siga estas etapas:

Vá para Azure Key Vault>Configurações>Configuração de acesso para garantir que o modelo de permissão seja RBAC.
Selecione Controle de acesso (IAM)>+Adicionar para adicionar uma atribuição de função.
A identidade do cofre dos Serviços de Recuperação requer a permissão Set no Segredo para criar e adicionar a frase secreta como um segredo no Key Vault.

Você pode selecionar uma função interna, como o Key Vault Secrets Officer que tenha a permissão (juntamente com outras permissões não necessárias para esse recurso) ou criar uma função personalizada com apenas a permissão Set no Segredo.

Em Detalhes, selecione Exibir para exibir as permissões concedidas pela função e garantir que a permissão Set em Segredo esteja disponível.
Selecione Avançar para prosseguir para selecionar Membros para atribuição.
Selecione Identidade gerenciada e, em seguida, + Selecionar membros. escolha a Assinatura do cofre dos Serviços de Recuperação de destino, selecione o cofre dos Serviços de Recuperação em Identidade gerenciada atribuída pelo sistema.

Pesquise e selecione o nome do cofre dos Serviços de Recuperação.
Selecione Avançar, examine a atribuição e selecione Examinar + atribuir.
Vá para Controle de acesso (IAM) no Key Vault, selecione Atribuições de função e certifique-se de que o cofre dos Serviços de Recuperação esteja listado.

Para atribuir as permissões, execute o seguinte cmdlet:

#Find the application id for your recovery services vault
Get-AzADServicePrincipal -SearchString <principalName>
#Identify a role with Set permission on Secret, like Key Vault Secret Office
Get-AzRoleDefinition | Format-Table -Property Name, IsCustom, Id
#Assign role to Recovery Services Vault identity 
Get-AzRoleDefinition -Name <roleName>
#Assign by Service Principal ApplicationId
New-AzRoleAssignment -RoleDefinitionName 'Key Vault Secrets Officer' -ApplicationId {i.e 00001111-aaaa-2222-bbbb-3333cccc4444} -Scope /subscriptions/{subscriptionid}/resourcegroups/{resource-group-name}/providers/Microsoft.KeyVault/vaults/{key-vault-name}

Para atribuir as permissões, execute o seguinte comando:

#Find the application id for your recovery services vault
az ad sp list --all --filter "displayname eq '<my recovery vault name>' and servicePrincipalType eq 'ManagedIdentity'"
#Identify a role with Set permission on Secret, like Key Vault Secret Office
az role definition list --query "[].{name:name, roleType:roleType, roleName:roleName}" --output tsv
az role definition list --name "{roleName}"
#Assign role to Recovery Services Vault identity 
az role assignment create --role "Key Vault Secrets Officer" --assignee "<application id>" {i.e "11112222-bbbb-3333-cccc-4444dddd5555"} --scope /subscriptions/{subscriptionid}/resourcegroups/{resource-group-name}/providers/Microsoft.KeyVault/vaults/{key-vault-name}

Habilitar permissões usando o modelo de permissão da Política de Acesso para o Key Vault

Escolha um cliente:

Siga estas etapas:

Vá para as políticas Azure Key Vault>Políticas de Acesso>Políticas de acesso e, em seguida, selecione + Criar.
Em Permissões de Segredo, selecione Definir operação.

Essa opção especifica as ações permitidas no Segredo.
Vá para Selecionar Entidade de Segurança e pesquise pelo seu cofre na caixa de pesquisa usando o seu nome ou identidade gerenciada.

Selecione o cofre no resultado da pesquisa e escolha Selecionar.
Vá para Examinar + criar, certifique-se de que a permissão Set esteja disponível e a Entidade de Segurança seja o cofre correto dos Serviços de Recuperação e selecione Criar.

Para obter a ID da entidade de segurança do cofre dos Serviços de Recuperação, use o cmdlet Get-AzADServicePrincipal. Em seguida, use essa ID no cmdlet Get-AzADServicePrincipal para definir uma política de acesso para o cofre de chaves.

Exemplo

$sp = Get-AzADServicePrincipal -DisplayName MyVault
$Set-AzKeyVaultAccessPolicy -VaultName myKeyVault -ObjectId $sp.Id -PermissionsToSecrets set

Para obter a ID principal do cofre dos Serviços de Recuperação, use o az ad sp list comando e use essa ID no az keyvault set-policy comando para definir uma política de acesso para o cofre de chaves.

Exemplo

az ad sp list --display-name MyVault
az keyvault set-policy --name myKeyVault --object-id <object-id> --secret-permissions set

Habilitar a exclusão temporária e a proteção contra limpeza no Azure Key Vault

Você precisa habilitar a exclusão reversível e a proteção contra limpeza no Azure Key Vault que armazena a sua chave de criptografia.

Escolher um cliente*

Você pode habilitar a exclusão reversível e limpar a proteção do Azure Key Vault.

Como alternativa, é possível definir essas propriedades podem ao criar o Key Vault. Saiba mais sobre essas propriedades do Key Vault.

Entre em sua conta do Azure.
```
Login-AzAccount
```

Selecione a assinatura que contém o cofre.

Set-AzContext -SubscriptionId SubscriptionId

Habilite a exclusão reversível.

($resource = Get-AzResource -ResourceId (Get-AzKeyVault -VaultName "AzureKeyVaultName").ResourceId).Properties | Add-Member -MemberType "NoteProperty" -Name "enableSoftDelete" -Value "true"
Set-AzResource -resourceid $resource.ResourceId -Properties $resource.Properties

Habilite a proteção contra limpeza.

($resource = Get-AzResource -ResourceId (Get-AzKeyVault -VaultName "AzureKeyVaultName").ResourceId).Properties | Add-Member -MemberType "NoteProperty" -Name "enablePurgeProtection" -Value "true"
Set-AzResource -resourceid $resource.ResourceId -Properties $resource.Properties

Entre em sua Conta do Azure.
```
az login
```

Selecione a assinatura que contém seu cofre.

az account set --subscription "Subscription1"

Habilitar exclusão reversível

az keyvault update --subscription {SUBSCRIPTION ID} -g {RESOURCE GROUP} -n {VAULT NAME} --enable-soft-delete true

Habilitar proteção contra limpeza

az keyvault update --subscription {SUBSCRIPTION ID} -g {RESOURCE GROUP} -n {VAULT NAME} --enable-purge-protection true

Salvar a senha do agente MARS no Azure Key Vault para uma nova instalação do MARS

Antes de continuar a instalar o agente MARS, certifique-se de configurar o cofre dos Serviços de Recuperação para armazenar a frase secreta do Azure Key Vault, e de que você tenha realizado o seguinte com sucesso:

Criou o cofre dos Serviços de Recuperação.
A identidade gerenciada atribuída pelo sistema do cofre dos Serviços de Recuperação foi habilitada.
Permissões atribuídas ao cofre dos Serviços de Recuperação para criar o Segredo no Key Vault.
A exclusão temporária e a proteção contra limpeza foram habilitadas para o seu Key Vault.
Para instalar o agente MARS em um computador, baixe o instalador MARS do portal do Azure e use o assistente de instalação.
Depois de fornecer as Credenciais do cofre dos Serviços de Recuperação durante o registro, em Configuração de criptografia, selecione a opção para salvar a frase secreta do Azure Key Vault.
Insira a sua frase secreta ou selecione Gerar frase secreta.
No portal do Azure, abra o Key Vault e copie o URI do Key Vault.
Cole o URI do Key Vault no console MARS e selecione Registrar.

Se você se deparar com um erro, verifique a seção de solução de problemas para obter mais informações.
Depois que o registro for bem-sucedido, a opção de copiar o identificador para o Segredo será criada e a frase secreta NÃO será salva em um arquivo localmente.

Se você alterar a frase secreta no futuro para este agente MARS, uma nova versão do Segredo será adicionada com a frase secreta mais recente.

Você pode automatizar esse processo usando a nova opção KeyVaultUri em Set-OBMachineSetting command no script de instalação.

Salvar a senha do agente MARS no Azure Key Vault em uma instalação MARS já existente

Se você tiver uma instalação de agente MARS existente e quiser salvar sua frase secreta no Azure Key Vault, atualize o agente para a versão 2.0.9262.0 ou posteriores e execute uma operação de alteração de frase secreta.

Depois de atualizar o agente MARS, certifique-se de configurar o cofre dos Serviços de Recuperação para armazenar a frase secreta do Azure Key Vault e de que você tenha realizado o seguinte com sucesso:

Criou o cofre dos Serviços de Recuperação.
A identidade gerenciada atribuída pelo sistema do cofre dos Serviços de Recuperação foi habilitada.
Permissões atribuídas ao cofre dos Serviços de Recuperação para criar o Segredo no Key Vault.
Habilitar a exclusão temporária e a proteção contra limpeza no Key Vault

Para salvar a frase secreta no Key Vault:

Abra o console do agente MARS.

Você deverá ver uma faixa solicitando que você selecione um link para salvar a frase secreta no Azure Key Vault.

Como alternativa, selecione Alterar Propriedades>Alterar a frase secreta para continuar.
Na caixa de diálogo Alterar propriedades, a opção para salvar a frase secreta no Key Vault fornecendo um URI do Key Vault é exibida.

Observação

Se o computador já estiver configurado para salvar a frase secreta no Key Vault, o URI do Key Vault será preenchido automaticamente na caixa de texto.
Abra o portal do Azure, abra o Key Vault e copie o URI do Key Vault.
Cole o URI do Key Vault no console MARS e selecione OK.

Se você se deparar com um erro, verifique a seção de solução de problemas para obter mais informações.
Depois que a operação de alteração de frase secreta for bem-sucedida, uma opção para copiar o identificador para o Segredo será criada e a frase secreta NÃO será salva em um arquivo localmente.

Se você alterar a frase secreta no futuro para este agente MARS, uma nova versão do Segredo será adicionada com a frase secreta mais recente.

Você pode automatizar essa etapa usando a nova opção KeyVaultUri no cmdlet Set-OBMachineSetting.

Recuperar a senha de acesso do agente MARS do Azure Key Vault para uma máquina

Se o computador ficar indisponível e você precisar restaurar dados de backup do cofre dos Serviços de Recuperação por meio de uma restauração de local alternativo, você precisará da frase secreta do computador para continuar.

A frase secreta é salva no Azure Key Vault como um segredo. Um Segredo é criado por computador e uma nova versão é adicionada ao Segredo quando a frase secreta do computador é alterada. O Segredo é nomeado como AzBackup-machine fully qualified name-vault name.

Para localizar a frase secreta do computador:

No portal do Azure, abra o Key Vault usado para salvar a frase secreta do computador.

Recomendamos que você use um Key Vault para salvar todas as suas frases secretas.
Selecione Segredos e pesquise o segredo chamado AzBackup-<machine name>-<vaultname>.
Selecione o Segredo, abra a versão mais recente e copie o valor do Segredo.

Esta é a frase secreta do computador a ser usada durante a recuperação.

Se você tiver um grande número de Segredos no Key Vault, use a CLI do Key Vault para listar e pesquisar o segredo.

az keyvault secret list --vault-name 'myvaultname’ | jq '.[] | select(.name|test("AzBackup-<myvmname>"))'

Solucionar problemas de cenários comuns para salvar a frase secreta no Azure Key Vault

Esta seção lista erros comumente encontrados ao salvar a frase secreta para o Azure Key Vault.

A identidade do sistema não está configurada — 391224

Causa: esse erro ocorrerá se o cofre dos Serviços de Recuperação não tiver uma identidade gerenciada atribuída pelo sistema configurada.

Ação recomendada: certifique-se de que a identidade gerenciada atribuída pelo sistema esteja configurada corretamente para o cofre dos Serviços de Recuperação de acordo com os pré-requisitos.

As permissões não estão configuradas — 391225

Causa: o cofre dos Serviços de Recuperação tem uma identidade gerenciada atribuída pelo sistema, mas não tem a permissão Set para criar um Segredo no Key Vault de destino.

Ação recomendada:

Certifique-se de que a credencial do cofre usada corresponda ao cofre de serviços de recuperação pretendido.
Certifique-se de que o URI do Key Vault corresponda ao Key Vault pretendido.
Certifique-se de que o nome do cofre dos Serviços de Recuperação esteja listado em Key Vault ->Políticas de acesso ->Aplicativo, com as Permissões de Segredo como Definidas.

Se não estiver listado, configure a permissão novamente.

O URI do Azure Key Vault está incorreto — 100272

Causa: o URI do Key Vault inserido não está no formato correto.

Ação recomendada: certifique-se de inserir um URI do Key Vault copiado do portal do Azure. Por exemplo, https://myvault.vault.azure.net/.

UserErrorSecretExistsSoftDeleted (391282)

Causa: um segredo no formato esperado já existe no Key Vault, mas está em um estado de exclusão temporária. A menos que o segredo seja restaurado, o MARS não poderá salvar a frase secreta desse computador no Key Vault fornecido.

Ação recomendada: verifique se existe um segredo no cofre com o nome AzBackup-<machine name>-<vaultname> e se ele está em um estado de exclusão temporária. Recupere o segredo com exclusão temporária para salvar a frase secreta nele.

UserErrorKeyVaultSoftDeleted (391283)

Causa: o Key Vault fornecido ao MARS está em um estado de exclusão temporária.

Ação recomendada: recuperar o Key Vault ou fornecer um novo Key Vault.

O registro está incompleto

Causa: você não concluiu o registro MARS registrando a frase secreta. Portanto, você não poderá configurar backups até se registrar.

Ação recomendada: selecione a mensagem de aviso e conclua o registro.

Comentários

Esta página foi útil?

Last updated on 2025-10-13

Compartilhar via

Salvar e gerenciar a frase secreta do agente MARS com segurança no Azure Key Vault

Pré-requisitos

Configurar o cofre dos Serviços de Recuperação para armazenar a senha do agente MARS no Azure Key Vault

Habilitar a identidade gerenciada atribuída pelo sistema para o cofre dos Serviços de Recuperação

Atribuir permissões para salvar a frase secreta no Azure Key Vault

Habilitar permissões usando o modelo de permissão de acesso baseado em função para o Key Vault

Habilitar permissões usando o modelo de permissão da Política de Acesso para o Key Vault

Habilitar a exclusão temporária e a proteção contra limpeza no Azure Key Vault

Salvar a senha do agente MARS no Azure Key Vault para uma nova instalação do MARS

Salvar a senha do agente MARS no Azure Key Vault em uma instalação MARS já existente

Recuperar a senha de acesso do agente MARS do Azure Key Vault para uma máquina

Solucionar problemas de cenários comuns para salvar a frase secreta no Azure Key Vault

A identidade do sistema não está configurada — 391224

As permissões não estão configuradas — 391225

O URI do Azure Key Vault está incorreto — 100272

UserErrorSecretExistsSoftDeleted (391282)

UserErrorKeyVaultSoftDeleted (391283)

O registro está incompleto

Comentários

Recursos adicionais