Azure Key Vault-Wiederherstellungsverwaltung mit Schutz durch vorläufiges Löschen und Bereinigungsschutz
Artikel
In diesem Artikel werden die beiden Wiederherstellungsfeatures vorläufiges Löschen und Löschschutz von Azure Key Vault behandelt. Dieses Dokument enthält eine Übersicht über diese Features und zeigt, wie Sie sie über das Azure-Portal, die Azure-Befehlszeilenschnittstelle und Azure PowerShell verwalten.
Wichtig
Wenn ein Schlüsseltresor keinen Schutz für vorläufiges Löschen aktiviert hat, wird ein Schlüssel durch Löschen dauerhaft gelöscht. Kunden wird dringend empfohlen, das Erzwingen für vorläufiges Löschen für ihre Tresore über Azure Policy zu aktivieren.
Weitere Informationen zu Key Vault finden Sie unter
So stellen Sie vorläufig gelöschte Daten wieder her
Vorläufiges Löschen und Löschschutz
Vorläufiger Löschen und Löschschutz sind zwei verschiedene Key Vault-Wiederherstellungsfeatures.
Vorläufiges Löschen soll verhindern, dass Ihr Schlüsseltresor oder die in ihm gespeicherten Schlüssel, Geheimnisse und Zertifikate versehentlich gelöscht werden. Stellen Sie sich das vorläufige Löschen wie einen Papierkorb vor. Wenn Sie einen Schlüsseltresor oder ein Schlüsseltresorobjekt löschen, kann dieser oder dieses für eine vom Benutzer konfigurierbare Dauer (Aufbewahrungszeitraum, standardmäßig 90 Tage) wiederhergestellt werden. Schlüsseltresore im vorläufig gelöschten Zustand können auch gelöscht (endgültig gelöscht) werden, sodass Sie Schlüsseltresor und Schlüsseltresorobjekte mit demselben Namen neu erstellen können. Sowohl das Wiederherstellen als auch das Löschen von Schlüsseltresoren und -objekten erfordert erweiterte Zugriffsrichtlinienberechtigungen. Wenn das vorläufige Löschen aktiviert wurde, kann es nicht mehr deaktiviert werden.
Beachten Sie auch, dass Schlüsseltresornamen global eindeutig sind. Aus diesem Grund können Sie keinen Schlüsseltresor mit dem gleichen Namen wie ein vorläufig gelöschter Schlüsseltresor erstellen. Auch die Namen von Schlüsseln, Geheimnissen und Zertifikaten sind innerhalb eines Schlüsseltresors eindeutig. Sie können kein Geheimnis, keinen Schlüssel und kein Zertifikat mit demselben Namen wie ein anderes vorläufig gelöschtes Objekt erstellen.
Der Löschschutz soll das Löschen von Schlüsseltresoren, Schlüsseln, Geheimnissen und Zertifikaten durch böswillige interne Benutzer verhindern. Stellen Sie sich dieses Features als einen Papierkorb mit einem Zeitschloss vor. Sie können Elemente während des konfigurierbaren Aufbewahrungszeitraums jederzeit wiederherstellen. Sie können einen Schlüsseltresor erst dann dauerhaft löschen oder bereinigen, wenn der Aufbewahrungszeitraum abgelaufen ist. Nach Ablauf des Aufbewahrungszeitraums wird der Schlüsseltresor oder das Schlüsseltresorobjekt automatisch bereinigt.
Hinweis
Der Löschschutz ist so konzipiert, dass er von keiner Administratorrolle oder Berechtigung überschrieben, deaktiviert und umgangen werden kann. Wenn der Löschschutz aktiviert ist, kann er nicht mehr deaktiviert oder überschrieben werden, auch nicht von Microsoft. Dies bedeutet, dass Sie einen gelöschten Schlüsseltresor entweder wiederherstellen oder warten müssen, bis der Aufbewahrungszeitraum abläuft, bevor Sie den Schlüsseltresornamen wiederverwenden können.
Überprüfen, ob vorläufiges Löschen für einen Schlüsseltresor aktiviert ist, und Aktivieren des vorläufigen Löschens
Melden Sie sich beim Azure-Portal an.
Wählen Sie Ihren Schlüsseltresor aus.
Wählen Sie das Blatt „Eigenschaften” aus.
Überprüfen Sie, ob das Optionsfeld neben „Vorläufiges Löschen“ auf „Wiederherstellung dieses Tresors und der zugehörigen Objekte ermöglichen (empfohlen)“ festgelegt ist.
Wenn für den Schlüsseltresor vorläufiges Löschen nicht aktiviert ist, wählen Sie das Optionsfeld aus, um das vorläufige Löschen zu aktivieren, und wählen Sie dann „Speichern“ aus.
Gewähren des Zugriffs auf einen Dienstprinzipal zum Bereinigen und Wiederherstellen gelöschter Geheimnisse
Melden Sie sich beim Azure-Portal an.
Wählen Sie Ihren Schlüsseltresor aus.
Wählen Sie das Blatt „Zugriffsrichtlinie“ aus.
Suchen Sie in der Tabelle die Zeile des Sicherheitsprinzipals, dem Sie den Zugriff gewähren möchten (oder fügen Sie einen neuen Sicherheitsprinzipal hinzu).
Wählen Sie das Dropdownmenü für Schlüssel, Zertifikate und Geheimnisse aus.
Scrollen Sie im Dropdownmenü ganz nach unten, und wählen Sie dann „Wiederherstellen“ und „Bereinigen“ aus.
Sicherheitsprinzipale benötigen für die meisten Vorgänge auch die Funktionen „Abrufen” und „Auflisten”.
Auflisten, Wiederherstellen oder Bereinigen vorläufig gelöschter Schlüsseltresore
Melden Sie sich beim Azure-Portal an.
Wählen Sie oben auf der Seite die Suchleiste aus.
Suchen Sie den „Key Vault“-Dienst. Klicken Sie nicht auf einen bestimmten Schlüsseltresor.
Wählen Sie oben auf dem Bildschirm auf die Option „Gelöschte Tresore verwalten“ aus.
Auf der rechten Seite des Bildschirms wird ein Kontextbereich geöffnet.
Wählen Sie Ihr Abonnement aus.
Wenn Ihr Schlüsseltresor vorläufig gelöscht wurde, wird er im Kontextbereich auf der rechten Seite angezeigt.
Wenn zu viele Tresore angezeigt werden, wählen Sie unten im Kontextbereich „Weitere laden“ aus, oder rufen Sie die Ergebnisse über die Befehlszeilenschnittstelle oder PowerShell ab.
Wenn Sie den Tresor gefunden haben, den Sie wiederherstellen oder bereinigen möchten, aktivieren Sie die Checkbox daneben.
Wählen Sie die Option „Wiederherstellen“ am unteren Rand des Kontextbereichs aus, wenn Sie den Schlüsseltresor wiederherstellen möchten.
Wählen Sie die Option „Bereinigen“ aus, wenn Sie den Schlüsseltresor dauerhaft löschen möchten.
Auflisten, Wiederherstellen oder Bereinigen vorläufig gelöschter Geheimnisse, Schlüssel und Zertifikate
Melden Sie sich beim Azure-Portal an.
Wählen Sie Ihren Schlüsseltresor aus.
Wählen Sie das Blatt des Geheimnistyps aus, den Sie verwalten möchten (Schlüssel, Geheimnisse oder Zertifikate).
Wählen Sie oben auf dem Bildschirm „Gelöschte Schlüssel (Geheimnisse, Zertifikate) verwalten“ aus.
Auf der rechten Seite des Bildschirms wird ein Kontextbereich angezeigt.
Wenn das Geheimnis, der Schlüssel oder das Zertifikat in der Liste nicht angezeigt wird, wurde es bzw. er nicht vorläufig gelöscht.
Wählen Sie das Geheimnis, den Schlüssel oder das Zertifikat aus, den oder das Sie verwalten möchten.
Wählen Sie unten im Kontextbereich eine der Optionen „Wiederherstellen“ oder „Bereinigen“ aus.
Key Vault (Befehlszeilenschnittstelle)
Überprüfen, ob vorläufiges Löschen für einen Schlüsseltresor aktiviert ist
az keyvault show --subscription {SUBSCRIPTION ID} -g {RESOURCE GROUP} -n {VAULT NAME}
Aktivieren des vorläufigen Löschens für den Schlüsseltresor
Für alle neuen Schlüsseltresore ist vorläufiges Löschen standardmäßig aktiviert. Wenn Sie derzeit über einen Schlüsseltresor verfügen, für den vorläufiges Löschen nicht aktiviert ist, können Sie es mit dem folgenden Befehl aktivieren.
