Ukázkové dotazy Azure Resource Graphu pro Azure Key Vault

Tato stránka je kolekce ukázkových dotazů Azure Resource Graphu pro Azure Key Vault.

Vzorové dotazy

Počet prostředků klíčového úložiště

Tento dotaz používá count místo summarize k počítání počtu vrácených záznamů. Počet zahrnuje pouze trezory klíčů.

Resources
| where type =~ 'microsoft.keyvault/vaults'
| count

az graph query -q "Resources | where type =~ 'microsoft.keyvault/vaults' | count"

Trezory klíčů bez povoleného měkkého smazání

Tento dotaz identifikuje trezory klíčů, které nemají povolené obnovitelné odstranění, což je důležitá funkce zabezpečení, která umožňuje obnovení odstraněných objektů trezoru klíčů.

Resources
| where type =~ 'microsoft.keyvault/vaults'
| where properties.enableSoftDelete == false or isnull(properties.enableSoftDelete)
| project name, resourceGroup, subscriptionId, location, properties.enableSoftDelete

az graph query -q "Resources | where type =~ 'microsoft.keyvault/vaults' | where properties.enableSoftDelete == false or isnull(properties.enableSoftDelete) | project name, resourceGroup, subscriptionId, location, properties.enableSoftDelete"

Trezory klíčů bez povolené ochrany proti vymazání

Tento dotaz vyhledá trezory klíčů, které nemají povolenou ochranu před vymazáním. Doporučuje se použít ochranu před vymazáním pro produkční prostředí, aby se zabránilo trvalému odstranění objektů úložiště klíčů během doby uchovávání.

Resources
| where type =~ 'microsoft.keyvault/vaults'
| where properties.enablePurgeProtection != true
| project name, resourceGroup, subscriptionId, location, softDeleteEnabled = properties.enableSoftDelete, purgeProtectionEnabled = properties.enablePurgeProtection

az graph query -q "Resources | where type =~ 'microsoft.keyvault/vaults' | where properties.enablePurgeProtection != true | project name, resourceGroup, subscriptionId, location, softDeleteEnabled = properties.enableSoftDelete, purgeProtectionEnabled = properties.enablePurgeProtection"

Trezory klíčů využívající autorizaci RBAC

Tento dotaz obsahuje seznam trezorů klíčů, které místo zásad přístupu používají Azure RBAC k autorizaci. Autorizace RBAC je doporučeným přístupem ke správě přístupu k datovému rozhraní úložiště klíčů.

Resources
| where type =~ 'microsoft.keyvault/vaults'
| extend rbacEnabled = properties.enableRbacAuthorization
| project name, resourceGroup, subscriptionId, location, rbacEnabled
| where rbacEnabled == true

az graph query -q "Resources | where type =~ 'microsoft.keyvault/vaults' | extend rbacEnabled = properties.enableRbacAuthorization | project name, resourceGroup, subscriptionId, location, rbacEnabled | where rbacEnabled == true"

Trezory klíčů s povoleným přístupem k veřejné síti

Tento dotaz identifikuje trezory klíčů, které umožňují přístup k veřejné síti. Pokud chcete zvýšit zabezpečení, zvažte omezení přístupu k určitým sítím nebo používání privátních koncových bodů.

Resources
| where type =~ 'microsoft.keyvault/vaults'
| extend networkDefaultAction = tostring(properties.networkAcls.defaultAction)
| where networkDefaultAction =~ 'Allow' or isnull(networkDefaultAction)
| project name, resourceGroup, subscriptionId, location, networkDefaultAction

az graph query -q "Resources | where type =~ 'microsoft.keyvault/vaults' | extend networkDefaultAction = tostring(properties.networkAcls.defaultAction) | where networkDefaultAction =~ 'Allow' or isnull(networkDefaultAction) | project name, resourceGroup, subscriptionId, location, networkDefaultAction"

Souhrn konfigurace zabezpečení trezorů klíčů

Tento dotaz poskytuje komplexní souhrn stavu zabezpečení pro všechny klíčové trezory, včetně stavu měkkého odstranění, ochrany proti vymazání, autorizace RBAC a nastavení sítě.

Resources
| where type =~ 'microsoft.keyvault/vaults'
| extend 
    softDeleteEnabled = tobool(properties.enableSoftDelete),
    purgeProtectionEnabled = tobool(properties.enablePurgeProtection),
    rbacEnabled = tobool(properties.enableRbacAuthorization),
    networkDefaultAction = tostring(properties.networkAcls.defaultAction),
    sku = tostring(properties.sku.name)
| project name, resourceGroup, subscriptionId, location, sku, softDeleteEnabled, purgeProtectionEnabled, rbacEnabled, networkDefaultAction
| order by name asc

az graph query -q "Resources | where type =~ 'microsoft.keyvault/vaults' | extend softDeleteEnabled = tobool(properties.enableSoftDelete), purgeProtectionEnabled = tobool(properties.enablePurgeProtection), rbacEnabled = tobool(properties.enableRbacAuthorization), networkDefaultAction = tostring(properties.networkAcls.defaultAction), sku = tostring(properties.sku.name) | project name, resourceGroup, subscriptionId, location, sku, softDeleteEnabled, purgeProtectionEnabled, rbacEnabled, networkDefaultAction | order by name asc"

Trezory klíčů podle umístění

Tento dotaz počítá trezory klíčů seskupené podle oblasti Azure, což je užitečné pro pochopení geografické distribuce prostředků správy klíčů.

Resources
| where type =~ 'microsoft.keyvault/vaults'
| summarize count() by location
| order by count_ desc

az graph query -q "Resources | where type =~ 'microsoft.keyvault/vaults' | summarize count() by location | order by count_ desc"

Trezory klíčů podle typu skladové položky

Tento dotaz seskupuje trezory klíčů podle úrovně skladové položky (Standard nebo Premium). U klíčů chráněných modulem HSM jsou vyžadovány skladové položky Úrovně Premium.

Resources
| where type =~ 'microsoft.keyvault/vaults'
| extend skuName = tostring(properties.sku.name)
| summarize count() by skuName

az graph query -q "Resources | where type =~ 'microsoft.keyvault/vaults' | extend skuName = tostring(properties.sku.name) | summarize count() by skuName"

Trezory klíčů s názvem předplatného

Následující dotaz ukazuje složité použití join s typem jako leftouter. Dotaz omezuje připojenou tabulku na prostředky předplatného a s project zahrnuje pouze původní pole subscriptionId a pole name přejmenované na SubName. Přejmenování pole join zabrání tomu, aby nebylo přidáno jako název1, protože pole již existuje v prostředcích. Původní tabulka se filtruje where a následující project obsahuje sloupce z obou tabulek. Výsledkem dotazu jsou všechny trezory klíčů, které zobrazují typ, název trezoru klíčů a název předplatného, ve kterém se nachází.

Resources
| join kind=leftouter (ResourceContainers | where type=='microsoft.resources/subscriptions' | project SubName=name, subscriptionId) on subscriptionId
| where type == 'microsoft.keyvault/vaults'
| project type, name, SubName

az graph query -q "Resources | join kind=leftouter (ResourceContainers | where type=='microsoft.resources/subscriptions' | project SubName=name, subscriptionId) on subscriptionId | where type == 'microsoft.keyvault/vaults' | project type, name, SubName"

Další kroky

  • Přečtěte si další informace o dotazovacím jazyce.
  • Přečtěte si další informace o tom, jak prozkoumat prostředky.
  • Poslední aktualizace v