Koncové body služby Azure Key Vault pro virtuální síť
Koncové body služby virtuální sítě pro Azure Key Vault umožňují omezit přístup k zadané virtuální síti. Koncové body také umožňují omezit přístup k seznamu rozsahů adres IPv4 (internet protocol version 4). Přístup byl odepřen všem uživatelům, kteří se připojují k trezoru klíčů mimo tyto zdroje.
Toto omezení má jednu důležitou výjimku. Pokud se uživatel přihlásil k povolení důvěryhodných služby Microsoft, umožňují připojení z těchto služeb bránu firewall. Mezi tyto služby patří například Office 365 Exchange Online, Office 365 SharePoint Online, Azure Compute, Azure Resource Manager a Azure Backup. Tito uživatelé stále potřebují předložit platný token Microsoft Entra a musí mít oprávnění (nakonfigurovaná jako zásady přístupu) k provedení požadované operace. Další informace najdete v tématu Koncové body služby virtuální sítě.
Scénáře použití
Ve výchozím nastavení můžete nakonfigurovat brány firewall služby Key Vault a virtuální sítě tak, aby odepřely přístup k provozu ze všech sítí (včetně internetového provozu). Můžete udělit přístup k provozu z konkrétních virtuálních sítí Azure a rozsahů veřejných internetových IP adres, což vám umožní vytvořit pro své aplikace zabezpečenou hranici sítě.
Poznámka:
Brány firewall služby Key Vault a pravidla virtuální sítě se vztahují pouze na rovinu dat služby Key Vault. Operace řídicí roviny služby Key Vault (například operace vytvoření, odstranění a úpravy, nastavení zásad přístupu, nastavení bran firewall a pravidel virtuální sítě a nasazení tajných kódů nebo klíčů prostřednictvím šablon ARM) nemají vliv na brány firewall a pravidla virtuální sítě.
Tady je několik příkladů, jak můžete používat koncové body služby:
- K ukládání šifrovacích klíčů, tajných kódů aplikací a certifikátů používáte službu Key Vault a chcete blokovat přístup k trezoru klíčů z veřejného internetu.
- Chcete uzamknout přístup k trezoru klíčů, aby se k trezoru klíčů mohl připojit jenom aplikace nebo krátký seznam určených hostitelů.
- Máte ve virtuální síti Azure spuštěnou aplikaci a tato virtuální síť je uzamčená pro veškerý příchozí a odchozí provoz. Vaše aplikace se stále potřebuje připojit ke službě Key Vault, aby načítá tajné kódy nebo certifikáty, nebo používala kryptografické klíče.
Udělení přístupu k důvěryhodným službám Azure
Přístup k důvěryhodným službám Azure můžete udělit trezoru klíčů a přitom zachovat pravidla sítě pro jiné aplikace. Tyto důvěryhodné služby pak budou k zabezpečenému připojení k trezoru klíčů používat silné ověřování.
Přístup k důvěryhodným službám Azure můžete udělit konfigurací nastavení sítě. Podrobné pokyny najdete v možnostech konfigurace sítě v tomto článku.
Když udělíte přístup k důvěryhodným službám Azure, udělíte následující typy přístupu:
- Důvěryhodný přístup pro výběrové operace k prostředkům registrovaným ve vašem předplatném.
- Důvěryhodný přístup k prostředkům na základě spravované identity
- Důvěryhodný přístup mezi tenanty pomocí přihlašovacích údajů federované identity
Důvěryhodné služby
Tady je seznam důvěryhodných služeb, které mají povolený přístup k trezoru klíčů, pokud je povolená možnost Povolit důvěryhodné služby .
Poznámka:
Musíte nastavit příslušná přiřazení rolí RBAC služby Key Vault nebo zásady přístupu (starší verze), aby odpovídající služby mohly získat přístup ke službě Key Vault.
Další kroky
- Podrobné pokyny najdete v tématu Konfigurace bran firewall služby Azure Key Vault a virtuálních sítí.
- Přehled zabezpečení služby Azure Key Vault