Správa obnovení služby Azure Key Vault s využitím obnovitelného odstranění a ochrany před vymazáním
Článek
Tento článek se věnuje dvěma funkcím obnovení služby Azure Key Vault, obnovitelnému odstranění a ochraně před vymazáním. Tento dokument obsahuje přehled těchto funkcí a ukazuje, jak je spravovat prostřednictvím webu Azure Portal, Azure CLI a Azure PowerShellu.
Důležité
Pokud trezor klíčů nemá povolenou ochranu obnovitelného odstranění, odstranění klíče ho trvale odstraní. Zákazníkům se důrazně doporučuje zapnout vynucení obnovitelného odstranění pro své trezory prostřednictvím služby Azure Policy.
Další informace o službě Key Vault najdete v tématu
Co je ochrana proti obnovitelnému odstranění a vymazání
Obnovitelné odstranění a ochrana před vymazáním jsou dvě různé funkce obnovení trezoru klíčů.
Obnovitelné odstranění je navržené tak, aby zabránilo náhodnému odstranění trezoru klíčů, klíčů, tajných klíčů a certifikátů uložených v trezoru klíčů. Obnovitelné odstranění si můžete představit jako koš. Když odstraníte trezor klíčů nebo objekt trezoru klíčů, zůstane obnovitelný pro uživatele konfigurovatelnou dobu uchovávání nebo výchozí dobu 90 dnů. Trezory klíčů ve stavu obnovitelného odstranění se dají také vyprázdnit (trvale odstranit), což vám umožní znovu vytvořit trezory klíčů a objekty trezoru klíčů se stejným názvem. Obnovení a odstranění trezorů klíčů a objektů vyžadují zvýšená oprávnění zásad přístupu. Jakmile je povolené obnovitelné odstranění, nedá se zakázat.
Je důležité si uvědomit, že názvy trezorů klíčů jsou globálně jedinečné, takže nemůžete vytvořit trezor klíčů se stejným názvem jako trezor klíčů ve stavu obnovitelného odstranění. Podobně jsou názvy klíčů, tajných klíčů a certifikátů jedinečné v rámci trezoru klíčů. V obnovitelném odstraněném stavu nemůžete vytvořit tajný klíč, klíč nebo certifikát se stejným názvem jako jiný.
Ochrana před vymazáním je navržená tak, aby zabránila odstranění trezoru klíčů, klíčů, tajných kódů a certifikátů škodlivým účastníky programu Insider. Představte si ho jako koš se zámkem založeným na čase. Položky můžete obnovit v libovolném okamžiku během konfigurovatelné doby uchovávání. Dokud neuplyne doba uchovávání, nebudete moct trezor klíčů trvale odstranit ani vyprázdnit. Po uplynutí doby uchovávání trezoru klíčů nebo objektu trezoru klíčů se automaticky vyprázdní.
Poznámka:
Ochrana před vymazáním je navržená tak, aby žádná role správce nebo oprávnění mohly přepsat, zakázat nebo obejít ochranu před vymazáním. Pokud je ochrana před vymazáním povolená, nemůže ji zakázat ani přepsat nikdo včetně Microsoftu. To znamená, že musíte odstraněný trezor klíčů obnovit nebo počkat na uplynutí doby uchovávání a teprve potom název trezoru klíčů znovu použít.
Ověřte, jestli je v trezoru klíčů povolené obnovitelné odstranění, a povolte obnovitelné odstranění.
Přihlaste se k portálu Azure.
Vyberte trezor klíčů.
Vyberte okno Vlastnosti.
Ověřte, jestli je přepínač vedle obnovitelného odstranění nastavený na Povolit obnovení.
Pokud v trezoru klíčů není povolené obnovitelné odstranění, vyberte přepínač pro povolení obnovitelného odstranění a vyberte Uložit.
Udělení přístupu k instančnímu objektu pro vymazání a obnovení odstraněných tajných kódů
Přihlaste se k portálu Azure.
Vyberte trezor klíčů.
Vyberte okno Zásady přístupu.
V tabulce najděte řádek objektu zabezpečení, ke které chcete udělit přístup (nebo přidat nový objekt zabezpečení).
Vyberte rozevírací seznam pro klíče, certifikáty a tajné kódy.
Posuňte se do dolní části rozevíracího seznamu a vyberte Obnovit a Vyprázdnit.
K provádění většiny operací potřebují objekty zabezpečení také funkci get a list.
Výpis, obnovení nebo vymazání obnovitelného odstraněného trezoru klíčů
Přihlaste se k portálu Azure.
Vyberte panel hledání v horní části stránky.
Vyhledejte službu Key Vault. Neklikejte na jednotlivé trezory klíčů.
V horní části obrazovky vyberte možnost Spravovat odstraněné trezory.
Na pravé straně obrazovky se otevře kontextové podokno.
Vyberte své předplatné.
Pokud je trezor klíčů odstraněný, zobrazí se v kontextovém podokně napravo.
Pokud existuje příliš mnoho trezorů, můžete buď vybrat načíst více v dolní části kontextového podokna, nebo získat výsledky pomocí rozhraní příkazového řádku nebo PowerShellu.
Jakmile najdete trezor, který chcete obnovit nebo vyprázdnit, zaškrtněte políčko vedle něj.
Pokud chcete trezor klíčů obnovit, vyberte možnost obnovení v dolní části kontextového podokna.
Pokud chcete trvale odstranit trezor klíčů, vyberte možnost vyprázdnění.
Výpis, obnovení nebo vymazání obnovitelně odstraněných tajných klíčů, klíčů a certifikátů
Přihlaste se k portálu Azure.
Vyberte trezor klíčů.
Vyberte okno odpovídající typu tajného kódu, který chcete spravovat (klíče, tajné kódy nebo certifikáty).
V horní části obrazovky vyberte Spravovat odstraněné klíče, tajné kódy nebo certifikáty.
Na pravé straně obrazovky se zobrazí kontextové podokno.
Pokud se váš tajný klíč, klíč nebo certifikát v seznamu nezobrazí, není ve stavu obnovitelného odstranění.
Vyberte tajný klíč, klíč nebo certifikát, který chcete spravovat.
Vyberte možnost obnovení nebo vyprázdnění v dolní části kontextového podokna.
Key Vault (CLI)
Ověření, jestli má trezor klíčů povolený obnovitelné odstranění
az keyvault show --subscription {SUBSCRIPTION ID} -g {RESOURCE GROUP} -n {VAULT NAME}
Povolení obnovitelného odstranění v trezoru klíčů
Všechny nové trezory klíčů mají ve výchozím nastavení povolené obnovitelné odstranění. Pokud aktuálně máte trezor klíčů, který nemá povolené obnovitelné odstranění, povolte obnovitelné odstranění pomocí následujícího příkazu.
