Управление восстановлением Azure Key Vault с обратимым удалением и защитой от очистки
Статья
В этой статье рассматриваются две функции восстановления Azure Key Vault: обратимое удаление и защита от очистки. В этом документе представлен обзор этих функций и показано, как управлять ими с помощью портала Azure, Azure CLI и Azure PowerShell.
Внимание
Если в хранилище ключей не включена защита обратимого удаления, удаление ключа удаляется окончательно. Клиентам настоятельно рекомендуется включить принудительное применение обратимого удаления для своих хранилищ через Политика Azure.
Для получения дополнительных сведений о Key Vault см.
Обратимое удаление и защита от очистки – это две разные функции восстановления хранилища ключей.
Обратимое удаление предназначено для предотвращения случайного удаления хранилища ключей, а также ключей, секретов и сертификатов, хранящихся в хранилище ключей. Обратимое удаление по принципу работы подобно корзине. При удалении хранилища ключей или объекта хранилища ключей он остается доступным для настраиваемого пользователем периода хранения или по умолчанию 90 дней. Хранилища ключей в обратимом удаленном состоянии также можно очистить (безвозвратно удалить), что позволяет воссоздать хранилища ключей и объекты хранилища ключей с тем же именем. Как для восстановления, так и для удаления хранилищ ключей и объектов требуются разрешения политики расширенного доступа. После включения обратимого удаления его отключение невозможно.
Важно отметить, что имена хранилищ ключей глобально уникальны, поэтому вы не можете создать хранилище ключей с таким же именем, как хранилище ключей в обратимом удаленном состоянии. Точно так же имена ключей, секретов и сертификатов уникальны в пределах хранилища ключей. Вы не можете создать секрет, ключ или сертификат с тем же именем, что и другой в обратимом удаленном состоянии.
Защита от очистки предназначена для предотвращения удаления хранилища ключей, ключей, секретов и сертификатов внутренним злоумышленником. Подумайте об этом как корзине с блокировкой на основе времени. Можно восстановить элементы в любой момент в течение настраиваемого периода хранения. Не удастся окончательно удалить или очистить хранилище ключей до истечения периода хранения. После истечения периода хранения объект хранилища ключей или хранилища ключей очищается автоматически.
Примечание.
Защита от очистки разработана таким образом, что никакая роль или разрешение администратора не может переопределять, отключать или обходить защиту от очистки. Если защита от очистки включена, она не может быть отключена или переопределена любым пользователем, включая Корпорацию Майкрософт. Это означает, что требуется восстановить удаленное хранилище ключей или дождаться истечения срока хранения, прежде чем повторно использовать имя хранилища ключей.
Проверка включения обратимого удаления для хранилище ключей и включение обратимого удаления
Войдите на портал Azure.
Выберите нужное хранилище ключей.
Выберите колонку "Свойства".
Убедитесь, что переключатель рядом с параметром обратимого удалением установлен в положение "Включить восстановление".
Если обратимое удаление не включено в хранилище ключей, нажмите переключатель, чтобы включить обратимое удаление и нажмите кнопку "Сохранить".
Предоставление доступа субъекту- службе для очистки и восстановления удаленных секретов
Войдите на портал Azure.
Выберите нужное хранилище ключей.
Выберите колонку "Политика доступа".
В таблице найдите строку субъекта безопасности, которому требуется предоставить доступ (или добавьте нового субъекта безопасности).
Выберите раскрывающийся список ключей, сертификатов и секретов.
Прокрутите вниз раскрывающегося списка и выберите "Восстановить" и "Очистить"
Для выполнения большинства операций также требуются функции get и list.
Создание списков, восстановление или очистка хранилища ключей с обратимым удалением
Войдите на портал Azure.
Выберите панель поиска в верхней части страницы.
Найдите сервис "Хранилище ключей". Не выбирайте отдельные хранилища ключей.
В верхней части экрана выберите параметр "Управление удаленными хранилищами"
Откроется область контекста в правой части экрана.
Выберите свою подписку.
Если хранилище ключей было обратимо удалено, оно отображается в области контекста справа.
Если есть слишком много хранилищ, можно выбрать "Загрузить больше" в нижней части области контекста или использовать CLI или PowerShell, чтобы получить результаты.
Установите флажок для хранилища, которое требуется восстановить или очистить.
Выберите параметр Восстановить в нижней части контекстной панели, если требуется восстановить хранилище ключей.
Выберите параметр очистки, если необходимо окончательно удалить хранилище ключей.
Создание списков, восстановление или очистка обратимо удаленных секретов, ключей и сертификатов
Войдите на портал Azure.
Выберите нужное хранилище ключей.
Выберите колонку, соответствующую типу секрета, которым требуется управлять (ключи, секреты или сертификаты).
В верхней части экрана выберите "Управление удаленными (ключи, секреты или сертификаты)
Область контекста отображается справа от экрана.
Если секрет, ключ или сертификат не отображаются в списке, значит, он для него не использовалось обратимое удаление.
Выберите секрет, ключ или сертификат, которым требуется управлять.
Выберите параметр восстановления или очистки внизу контекстной панели.
Key Vault (CLI)
Проверка включения обратимого удаления для хранилища ключей
az keyvault show --subscription {SUBSCRIPTION ID} -g {RESOURCE GROUP} -n {VAULT NAME}
Включение обратимого удаления для хранилища ключей
Для всех новых хранилищ ключей по умолчанию включено обратимое удаление. Если на данный момент есть хранилище ключей, для которого не включено обратимое удаление, используйте следующую команду, чтобы включить его.
