Konfigurace nastavení sítě ve službě Azure Key Vault

1. Přejděte do trezoru klíčů, který chcete zabezpečit.
2. Vyberte Sítě a pak vyberte kartu Brány firewall a virtuální sítě .
3. V části Povolit přístup vyberte Vybrané sítě.
4. Pokud chcete přidat existující virtuální sítě do bran firewall a pravidel virtuální sítě, vyberte + Přidat existující virtuální sítě.
5. V novém okně, které se otevře, vyberte předplatné, virtuální sítě a podsítě, které chcete povolit přístup k tomuto trezoru klíčů. Pokud virtuální sítě a podsítě, které vyberete, nemají povolené koncové body služby, potvrďte, že chcete povolit koncové body služby, a vyberte Povolit. Může trvat až 15 minut, než se projeví.
6. V části Sítě IP přidejte rozsahy adres IPv4 zadáním rozsahů adres IPv4 do notace CIDR (Classless Inter-Domain Routing) nebo jednotlivých IP adres.
7. Pokud chcete povolit, aby důvěryhodné služby Microsoftu obešly bránu firewall služby Key Vault, vyberte Ano. Úplný seznam aktuálních důvěryhodných služeb služby Key Vault najdete na následujícím odkazu. Důvěryhodné služby Azure Key Vault
8. Zvolte Uložit.

Můžete také přidat nové virtuální sítě a podsítě a potom povolit koncové body služby pro nově vytvořené virtuální sítě a podsítě výběrem + Přidat novou virtuální síť. Pak postupujte podle pokynů.

Tady je postup konfigurace bran firewall služby Key Vault a virtuálních sítí pomocí Azure CLI.

1. Nainstalujte Azure CLI a přihlaste se.

2. Zobrazí seznam dostupných pravidel virtuální sítě. Pokud jste pro tento trezor klíčů nenastavili žádná pravidla, seznam bude prázdný.

   az keyvault network-rule list --resource-group myresourcegroup --name mykeyvault
   

3. Povolte koncový bod služby pro Key Vault ve stávající virtuální síti a podsíti.

   az network vnet subnet update --resource-group "myresourcegroup" --vnet-name "myvnet" --name "mysubnet" --service-endpoints "Microsoft.KeyVault"
   

4. Přidejte pravidlo sítě pro virtuální síť a podsíť.

   subnetid=$(az network vnet subnet show --resource-group "myresourcegroup" --vnet-name "myvnet" --name "mysubnet" --query id --output tsv)
   az keyvault network-rule add --resource-group "demo9311" --name "demo9311premium" --subnet $subnetid
   

5. Přidejte rozsah IP adres, ze kterého chcete povolit provoz.

   az keyvault network-rule add --resource-group "myresourcegroup" --name "mykeyvault" --ip-address "191.10.18.0/24"
   

6. Pokud by tento trezor klíčů měl být přístupný všemi důvěryhodnými službami, nastavte na AzureServiceshodnotu bypass .

   az keyvault update --resource-group "myresourcegroup" --name "mykeyvault" --bypass AzureServices
   

7. Zapněte pravidla sítě nastavením výchozí akce na Denyhodnotu .

   az keyvault update --resource-group "myresourcegroup" --name "mekeyvault" --default-action Deny
   

Tady je postup konfigurace bran firewall služby Key Vault a virtuálních sítí pomocí PowerShellu:

1. Nainstalujte nejnovější Azure PowerShell a přihlaste se.

2. Zobrazí seznam dostupných pravidel virtuální sítě. Pokud jste pro tento trezor klíčů nenastavili žádná pravidla, seznam bude prázdný.

   (Get-AzKeyVault -VaultName "mykeyvault").NetworkAcls
   

3. Povolte koncový bod služby pro Key Vault ve stávající virtuální síti a podsíti.

   Get-AzVirtualNetwork -ResourceGroupName "myresourcegroup" -Name "myvnet" | Set-AzVirtualNetworkSubnetConfig -Name "mysubnet" -AddressPrefix "10.1.1.0/24" -ServiceEndpoint "Microsoft.KeyVault" | Set-AzVirtualNetwork
   

4. Přidejte pravidlo sítě pro virtuální síť a podsíť.

   $subnet = Get-AzVirtualNetwork -ResourceGroupName "myresourcegroup" -Name "myvnet" | Get-AzVirtualNetworkSubnetConfig -Name "mysubnet"
   Add-AzKeyVaultNetworkRule -VaultName "mykeyvault" -VirtualNetworkResourceId $subnet.Id
   

5. Přidejte rozsah IP adres, ze kterého chcete povolit provoz.

   Add-AzKeyVaultNetworkRule -VaultName "mykeyvault" -IpAddressRange "16.17.18.0/24"
   

6. Pokud by tento trezor klíčů měl být přístupný všemi důvěryhodnými službami, nastavte na AzureServiceshodnotu bypass .

   Update-AzKeyVaultNetworkRuleSet -VaultName "mykeyvault" -Bypass AzureServices
   

7. Zapněte pravidla sítě nastavením výchozí akce na Denyhodnotu .

   Update-AzKeyVaultNetworkRuleSet -VaultName "mykeyvault" -DefaultAction Deny