일시 삭제 및 제거 방지를 통한 Azure Key Vault 복구 관리

  • 아티클

이 문서에서는 Azure Key Vault의 두 가지 복구 기능인 일시 삭제와 제거 방지에 관해 설명합니다. 이 문서에서는 이러한 기능의 개요를 제공하고 Azure Portal, Azure CLI, Azure PowerShell을 통해 해당 기능을 관리하는 방법을 설명합니다.

Important

키 자격 증명 모음에 일시 삭제 보호를 사용하도록 설정하지 않은 경우 키를 삭제하면 영구적으로 삭제됩니다. 고객은 Azure Policy를 통해 자격 증명 모음에 대해 일시 삭제 적용을 설정하는 것이 좋습니다.

Key Vault에 대한 자세한 내용은 다음을 참조하세요.

필수 조건

  • Azure 구독 - 체험 구독 만들기

  • Azure PowerShell.

  • Azure CLI

  • Key Vault - Azure Portal, Azure CLI 또는 Azure PowerShell을 사용하여 만들 수 있습니다.

  • 일시 삭제된 자격 증명 모음에 대한 작업을 수행하려면 구독 수준에서 다음 권한이 필요합니다.

    Permission 설명
    Microsoft.KeyVault/locations/deletedVaults/read 일시 삭제된 한 Key Vault의 속성을 봅니다.
    Microsoft.KeyVault/locations/deletedVaults/purge/action 일시 삭제된 Key Vault를 제거합니다.
    Microsoft.KeyVault/locations/operationResults/read 자격 증명 모음의 제거 상태를 확인하려면
    키 자격 증명 모음 기여자 일시 삭제된 자격 증명 모음을 복구하려면

일시 삭제와 제거 방지 소개

일시 삭제와 제거 방지는 두 가지 키 자격 증명 모음 복구 기능입니다.

일시 삭제는 키 자격 증명 모음과 키 자격 증명 모음 내에 저장된 키, 비밀, 인증서를 실수로 삭제하지 못하도록 하기 위해 설계되었습니다. 일시 삭제는 휴지통과 유사합니다. 키 자격 증명 모음 또는 키 자격 증명 모음 개체를 삭제하면 사용자가 구성할 수 있는 보존 기간 또는 기본값인 90일 동안 복구할 수 있습니다. 일시 삭제된 상태의 키 자격 증명 모음도 제거(영구적으로 삭제)할 수 있으므로 동일한 이름으로 키 자격 증명 모음 및 키 자격 증명 모음 개체를 다시 만들 수 있습니다. 키 자격 증명 모음 및 개체를 복구하고 삭제하려면 상승된 액세스 정책 권한이 필요합니다. 일시 삭제를 사용하도록 설정한 후에는 사용하지 않도록 설정할 수 없습니다.

키 자격 증명 모음 이름은 전역적으로 고유하므로 일시 삭제된 상태에서 키 자격 증명 모음과 동일한 이름의 키 자격 증명 모음을 만들 수 없습니다. 마찬가지로 키, 비밀, 인증서의 이름은 키 자격 증명 모음 내에서 고유합니다. 일시 삭제된 상태의 다른 이름과 동일한 이름의 비밀, 키 또는 인증서를 만들 수 없습니다.

제거 방지는 악의적인 내부자가 키 자격 증명 모음, 키, 비밀, 인증서를 삭제하지 못하도록 하기 위해 설계되었습니다. 시간 기반 잠금이 있는 휴지통으로 간주합니다. 구성 가능한 보존 기간 동안 언제든지 항목을 복구할 수 있습니다. 보존 기간이 경과할 때까지 키 자격 증명 모음을 영구적으로 삭제하거나 제거할 수는 없습니다. 보존 기간이 경과하면 키 자격 증명 모음 또는 키 자격 증명 모음 개체가 자동으로 제거됩니다.

참고 항목

제거 방지는 관리자 역할이나 사용 권한이 있는 사용자가 제거 방지를 재정의하거나 사용하지 않도록 설정하거나 우회하지 못하도록 하기 위해 설계되었습니다. 제거 보호를 사용하는 경우 Microsoft를 비롯한 모든 사용자가 사용하지 않도록 설정하거나 재정의할 수 없습니다. 즉, 삭제된 키 자격 증명 모음을 복구하거나 보존 기간이 경과될 때까지 기다린 이후에야 키 자격 증명 모음 이름을 다시 사용할 수 있습니다.

일시 삭제에 대한 자세한 내용은 Azure Key Vault soft-delete overview(Azure Key Vault 일시 삭제 개요)를 참조하세요.

키 자격 증명 모음에서 일시 삭제가 사용하도록 설정되어 있는지 확인하고 일시 삭제를 사용하도록 설정

  1. Azure Portal에 로그인합니다.
  2. 키 자격 증명 모음을 선택합니다.
  3. "속성" 블레이드를 선택합니다.
  4. 일시 삭제 옆의 라디오 단추가 “복구 사용”으로 설정되어 있는지 확인합니다.
  5. 키 자격 증명 모음에서 일시 삭제를 사용하도록 설정하지 않은 경우 라디오 단추를 선택하여 일시 삭제를 사용하도록 설정하고 "저장"을 선택합니다.

속성에서 일시 삭제가 강조 표시되어 있음(사용하도록 설정된 것을 나타냄)

서비스 주체에 삭제된 비밀을 제거하고 복구하는 액세스 권한 부여

  1. Azure Portal에 로그인합니다.
  2. 키 자격 증명 모음을 선택합니다.
  3. "액세스 정책" 블레이드를 선택합니다.
  4. 테이블에서 액세스 권한을 부여하려는 보안 주체의 행을 찾거나 새 보안 주체를 추가합니다.
  5. 키, 인증서 및 비밀에 대한 드롭다운을 선택합니다.
  6. 드롭다운의 아래쪽으로 스크롤하여 "복구" 및 "제거"를 선택합니다.
  7. 또한 보안 주체는 대부분의 작업을 수행하려면 "get" 및 "list" 기능이 필요합니다.

왼쪽 탐색 창에 액세스 정책이 강조 표시되어 있습니다. 액세스 정책에서 비밀 위치 드롭다운 목록이 표시되고 가져오기, 나열, 복구, 제거의 네 가지 항목이 선택되어 있습니다.

일시 삭제된 키 자격 증명 모음 나열, 복구, 제거

  1. Azure Portal에 로그인합니다.
  2. 페이지 맨 위에 있는 검색 창을 선택합니다.
  3. "Key Vault" 서비스를 검색합니다. 개별 키 자격 증명 모음을 선택하지 마세요.
  4. 화면 맨 위에서 "삭제된 자격 증명 모음 관리" 옵션을 선택합니다.
  5. 화면 오른쪽에 컨텍스트 창이 열립니다.
  6. 구독을 선택합니다.
  7. 키 자격 증명 모음이 일시 삭제된 경우 오른쪽의 컨텍스트 창에 표시됩니다.
  8. 자격 증명 모음이 너무 많은 경우 컨텍스트 창 아래쪽에서 "추가 로드"를 선택하거나 CLI 또는 PowerShell을 사용하여 결과를 가져올 수 있습니다.
  9. 복구하거나 제거하려는 자격 증명 모음을 찾으면 옆의 확인란을 선택합니다.
  10. 주요 자격 증명 모음을 복구하려는 경우 컨텍스트 창 맨 아래에 있는 복구 옵션을 선택합니다.
  11. 키 자격 증명 모음을 영구적으로 삭제하려는 경우 제거 옵션을 선택합니다.

Key Vault에서 삭제된 자격 증명 모음 관리 옵션이 강조 표시되어 있습니다.

삭제된 Key Vault 관리에서 나열된 Key Vault만 강조 표시 및 선택되어 있고 복구 단추가 강조 표시되어 있습니다.

일시 삭제된 비밀, 키, 인증서 나열, 복구, 제거

  1. Azure Portal에 로그인합니다.
  2. 키 자격 증명 모음을 선택합니다.
  3. 관리하려는 비밀 유형(키, 비밀, 인증서)에 해당하는 블레이드를 선택합니다.
  4. 화면 맨 위에서 "삭제된 관리(키, 비밀 또는 인증서)
  5. 화면 오른쪽에 컨텍스트 창이 나타납니다.
  6. 비밀, 키, 인증서가 목록에 표시되지 않는 경우 일시 삭제된 상태가 아닙니다.
  7. 관리하려는 비밀, 키, 인증서를 선택합니다.
  8. 컨텍스트 창의 맨 아래에서 복구 또는 제거 옵션을 선택합니다.

키에서 삭제된 키 관리 옵션이 강조 표시되어 있습니다.

다음 단계