Freigeben über

Bewährte Methoden für die Verwendung von Azure Key Vault

Azure Key Vault schützt Verschlüsselungsschlüssel und geheime Schlüssel wie Zertifikate, Verbindungszeichenfolgen und Kennwörter. In diesem Artikel erfahren Sie, wie Sie die Nutzung von Schlüsseltresoren optimieren können.

Verwenden Sie separate Schlüsseltresore

Es wird empfohlen, einen Schlüsseltresor pro Anwendung und Umgebung (Entwicklung, Präproduktion und Produktion) pro Region zu verwenden. Die granulare Isolierung hilft Ihnen dabei, Geheimnisse nicht über Anwendungen, Umgebungen und Regionen hinweg zu teilen, und sie verringert auch die Bedrohung, falls es zu einer Verletzung kommt.

Warum wir separate Schlüsseltresore empfehlen

Schlüsseltresor definieren Sicherheitsgrenzen für gespeicherte Geheimnisse. Die Gruppierung von Geheimnissen im selben Tresor erweitert den Ausbreitungsradius eines Sicherheitsereignisses, da Angreifende in der Lage sein könnten, übergreifend auf Geheimnisse zuzugreifen. Um Bedenken hinsichtlich des Zugangs zu entschärfen, sollten Sie überlegen, auf welche Geheimnisse eine bestimmte Anwendung Zugriff besitzen sollte, und dann Ihre Schlüsseltresore auf der Grundlage dieser Abgrenzung trennen. Die Trennung der Tresore nach Anwendungen ist die gebräuchlichste Abgrenzung. Sicherheitsgrenzen können jedoch bei großen Anwendungen, z. B. pro Gruppe verwandter Dienste, genauer sein.

Steuern des Zugriffs auf Ihren Tresor

Verschlüsselungsschlüssel und geheime Schlüssel wie Zertifikate, Verbindungszeichenfolgen und Kennwörter sind vertraulich und geschäftskritisch. Sie müssen den Zugriff auf Ihre Schlüsseltresor sichern, indem Sie nur autorisierte Anwendungen und Benutzer zulassen. Azure Key Vault-Sicherheitsfeatures bieten eine Übersicht über das Key Vault-Zugriffsmodell. Es wird die Authentifizierung und Autorisierung erläutert. Außerdem wird beschrieben, wie Sie den Zugriff auf Ihre wichtigsten Tresore sichern können.

Empfehlungen für die Steuerung des Zugriffs auf Ihren Tresor lauten wie folgt:

  • Sperren Sie den Zugriff auf Ihr Abonnement, Ihre Ressourcengruppe und Ihre Schlüsseltresore mithilfe des Berechtigungsmodells mit rollenbasierter Zugriffssteuerung (RBAC) für die Datenebene.
    • Zuweisen von RBAC-Rollen im Key Vault-Bereich für Anwendungen, Dienste und Workloads, die dauerhaften Zugriff auf Key Vault benötigen
    • Zuweisen von JIT-berechtigten (Just-in-Time) RBAC-Rollen für Operator*innen, Admins und andere Benutzerkonten, die privilegierten Zugriff auf Key Vault mit Privileged Identity Management (PIM) benötigen
      • Mindestens einen Genehmiger anfordern
      • Erzwingen der mehrstufigen Authentifizierung
  • Einschränken des Netzwerkzugriffs mit privatem Link, Firewall und virtuellen Netzwerken

Wichtig

Das Legacy-Berechtigungsmodell für Zugriffsrichtlinien weist bekannte Sicherheitslücken auf, bietet keine Unterstützung für privilegiertes Identitätsmanagement und sollte nicht für kritische Daten und Workloads verwendet werden.

Aktivieren Sie den Datenschutz für Ihren Tresor

Aktivieren Sie den Löschschutz, um vor böswilligen oder versehentlichen Löschungen des Geheimnisses und Schlüsseltresors zu schützen, auch wenn die Soft-Delete-Option aktiviert ist.

Weitere Informationen finden Sie unter Übersicht über die Azure Key Vault-Funktion für vorläufiges Löschen.

Aktivieren Sie die Protokollierung.

Aktivieren Sie die Protokollierung für Ihren Schlüsseltresor. Richten Sie außerdem Warnungen ein.

Datensicherung

Der Löschschutz verhindert böswillige und versehentliche Löschung von Tresorobjekten für bis zu 90 Tage. In Szenarien, in denen Löschschutz keine mögliche Option ist, empfehlen wir, Backup-Tresorobjekte zu verwenden, die nicht aus anderen Quellen wie Verschlüsselungsschlüsseln, die im Tresor generiert werden, neu erstellt werden können.

Weitere Informationen zur Sicherung finden Sie unter Azure Key Vault-Sicherung und -Wiederherstellung.

Multitenant-Lösungen und Key Vault

Eine mehrinstanzenfähige Lösung basiert auf einer Architektur, in der Komponenten verwendet werden, um mehrere Kunden oder Mandanten zu bedienen. Multitenant-Lösungen werden häufig verwendet, um Software as a Service (SaaS)-Lösungen zu unterstützen. Wenn Sie eine mehrinstanzenfähige Lösung erstellen, die Key Vault umfasst, empfiehlt es sich, einen Key Vault pro Kunde zu verwenden, um eine Isolierung der Kundendaten und -workloads zu gewährleisten. Weitere Informationen finden Sie unter Multitenancy und Azure Key Vault.

Häufig gestellte Fragen:

Kann ich das Berechtigungsmodell der rollenbasierten Zugriffssteuerung (RBAC) in Key Vault verwenden, indem ich Objektbereichszuweisungen nutze, um für Isolation der Anwendungsteams innerhalb des Key Vault zu sorgen?

Nein. Das RBAC-Berechtigungsmodell ermöglicht das Zuweisen des Zugriffs auf einzelne Objekte im Key Vault zu Benutzern oder Anwendungen, jedoch nur zum Lesen. Alle administrativen Vorgänge wie Netzwerkzugriffskontrolle, Überwachung und Objektverwaltung erfordern Berechtigungen auf Tresorebene. Ein Key Vault pro Anwendung bietet eine sichere Isolation für Operatoren in allen Anwendungsteams.

Nächste Schritte

Erfahren Sie mehr über bewährte Methoden für die Schlüsselverwaltung: