Gestion de la récupération d’Azure Key Vault avec suppression réversible et protection contre la suppression définitive
Article
Cet article traite de deux fonctionnalités de récupération d’Azure Key Vault : la suppression réversible et de la protection contre le vidage. Ce document fournit une vue d’ensemble de ces fonctionnalités et vous montre comment les gérer via le portail Azure, Azure CLI et Azure PowerShell.
Important
Si aucune protection de suppression réversible n’est activée pour un coffre de clés, la suppression d’une clé la supprime définitivement. Les clients sont fortement encouragés à activer l’application de la suppression réversible pour leurs coffres via Azure Policy.
L’utilisateur doit disposer des autorisations suivantes (au niveau de l’abonnement) pour effectuer des opérations sur les coffres supprimés de manière réversible :
Autorisation
Description
Microsoft.KeyVault/locations/deletedVaults/read
Afficher les propriétés d’un coffre Key Vault supprimé de manière réversible
Pour récupérer un coffre supprimé de manière réversible
Définition de la suppression réversible et la protection contre le vidage
La suppression réversible et la protection contre le vidage sont deux fonctionnalités différentes de récupération de coffre de clés.
La suppression réversible est conçue pour empêcher la suppression accidentelle de votre coffre de clés et de vos clés, secrets et certificats qui y sont stockés. Pensez à la suppression réversible comme à une corbeille. Lorsque vous supprimez un coffre de clés ou un objet de coffre de clés, il reste récupérable pendant une période de rétention configurable par l’utilisateur ou une durée par défaut de 90 jours. Les coffres de clés dans l’état de suppression réversible peuvent également être purgés (supprimés définitivement), ce qui vous permet de recréer des coffres de clés et des objets de coffre de clés portant le même nom. La récupération et la suppression des coffres de clés et des objets nécessitent des autorisations d’accès élevées. Une fois la suppression réversible activée, elle ne peut pas être désactivée.
Il est important de noter que les noms des coffres de clés sont généralement uniques. Vous ne pourrez donc pas créer un coffre de clés portant le même nom qu’un coffre de clés supprimé de manière réversible. De même, les noms des clés, des secrets et des certificats sont uniques au sein d’un coffre de clés. Vous ne pouvez pas créer un secret, une clé ou un certificat portant le même nom qu’un autre supprimé de manière réversible.
La protection contre le vidage est conçue pour empêcher la suppression de votre coffre de clés et de vos clés, secrets et certificats par une personne interne malveillante. Considérez-la comme une corbeille dotée d’un verrou basé sur la durée. Vous pouvez récupérer des éléments à tout moment pendant la période de rétention configurable. Vous ne pouvez pas supprimer définitivement ou vider un coffre de clés tant que la période de rétention n’est pas écoulée. Une fois la période de rétention écoulée, le coffre de clés ou l’objet de coffre de clés est purgé automatiquement.
Remarque
La protection contre le vidage est conçue de sorte qu’aucun rôle ni aucune autorisation d’administrateur ne peut remplacer, désactiver ou déjouer la protection contre le vidage. Une fois la protection contre la purge activée, elle ne peut pas être désactivée ni remplacée par quiconque, y compris Microsoft. Cela signifie que vous devez récupérer un coffre de clés supprimé ou attendre la fin de la période de rétention avant de réutiliser le nom du coffre de clés.
Vérifier si la suppression réversible est activée sur un coffre de clés et activer la suppression réversible
Connectez-vous au portail Azure.
Sélectionnez votre coffre de clés.
Sélectionnez le panneau « Propriétés ».
Vérifiez que la case d’option située à côté de la suppression réversible est définie sur « Activer la récupération ».
Si la suppression réversible n’est pas activée sur le coffre de clés, sélectionnez le bouton radio pour activer la suppression réversible, puis cliquez sur « Enregistrer ».
Accorder l’accès à un principal de service pour vider et récupérer les secrets supprimés
Connectez-vous au portail Azure.
Sélectionnez votre coffre de clés.
Cliquez sur le panneau « Stratégie d’accès ».
Dans le tableau, recherchez la ligne du principal de sécurité auquel vous souhaitez accorder l’accès (ou ajoutez un nouveau principal de sécurité).
Cliquez sur la liste déroulante des clés, certificats et secrets.
Faites défiler vers le bas de la liste déroulante, puis cliquez sur « Récupérer » et « Purger »
Les principaux de sécurité auront également besoin d’une fonctionnalité d’extraction (« get ») et de liste (« list ») pour effectuer la plupart des opérations.
Répertorier, récupérer ou vider un coffre de clés supprimé de manière réversible
Connectez-vous au portail Azure.
Sélectionnez la barre de recherche en haut de la page.
Recherchez le service « Key Vault ». Ne sélectionnez pas sur un coffre de clés individuel.
En haut de l’écran, cliquez sur l’option « Gérer les coffres supprimés »
Un volet contextuel s’ouvre sur le côté droit de l’écran.
Sélectionnez votre abonnement.
Si votre coffre de clés a été supprimé de manière réversible, il apparaît dans le volet contextuel à droite.
S’il y a trop de coffres, vous pouvez soit cliquer sur « Charger plus » en bas du volet contextuel, soit utiliser l’interface CLI ou PowerShell pour extraire les résultats.
Une fois que vous avez trouvé le coffre que vous souhaitez récupérer ou vider, cochez la case correspondante.
Sélectionnez l’option Récupérer en bas du volet contextuel si vous souhaitez récupérer le coffre de clés.
Sélectionnez l’option Vider si vous souhaitez supprimer définitivement le coffre de clés.
Répertorier, récupérer ou vider les secrets, les clés et les certificats supprimés de manière réversible
Connectez-vous au portail Azure.
Sélectionnez votre coffre de clés.
Sélectionnez le panneau correspondant au type de secret que vous souhaitez gérer (clés, secrets ou certificats).
En haut de l’écran, cliquez sur « Gérer les clés/secrets/certificats supprimés »
Un volet contextuel apparaît sur le côté droit de l’écran.
Si votre secret, clé ou certificat ne figure pas dans la liste, il n’a pas été supprimé de manière réversible.
Sélectionnez le secret, la clé ou le certificat que vous souhaitez gérer.
Sélectionnez l’option de récupération ou de vidage en bas du volet contextuel.
Coffre de clés (CLI)
Vérifier si la suppression réversible est activée pour un coffre de clés
az keyvault show --subscription {SUBSCRIPTION ID} -g {RESOURCE GROUP} -n {VAULT NAME}
Activer la suppression réversible sur un coffre de clés
La suppression réversible est activée par défaut pour tous les nouveaux coffres de clés. Si vous disposez actuellement d’un coffre de clés pour lequel la suppression réversible n’est pas activée, utilisez la commande suivante pour l’activer.
