Gestion de la récupération d’Azure Key Vault avec suppression réversible et protection contre la suppression définitive

Cet article traite de deux fonctionnalités de récupération d’Azure Key Vault : la suppression réversible et de la protection contre le vidage. Ce document fournit une vue d’ensemble de ces fonctionnalités et vous montre comment les gérer via le portail Azure, Azure CLI et Azure PowerShell.

Pour plus d’informations sur Key Vault, consultez

Prérequis

  • Un abonnement Azure : créez-en un gratuitement

  • Azure PowerShell.

  • Azure CLI

  • Un coffre de clés : vous pouvez en créer un en utilisant le Portail Azure, l’interface Azure CLI ou Azure PowerShell

  • L’utilisateur doit disposer des autorisations suivantes (au niveau de l’abonnement) pour effectuer des opérations sur les coffres supprimés de manière réversible :

    Autorisation Description
    Microsoft.KeyVault/locations/deletedVaults/read Afficher les propriétés d’un coffre Key Vault supprimé de manière réversible
    Microsoft.KeyVault/locations/deletedVaults/purge/action Vider un coffre Key Vault supprimé de manière réversible
    Microsoft.KeyVault/locations/operationResults/read Pour vérifier l’état de vidage du coffre
    Contributeur Key Vault Pour récupérer un coffre supprimé de manière réversible

Définition de la suppression réversible et la protection contre le vidage

La suppression réversible et la protection contre le vidage sont deux fonctionnalités différentes de récupération de coffre de clés.

La suppression réversible est conçue pour empêcher la suppression accidentelle de votre coffre de clés et de vos clés, secrets et certificats qui y sont stockés. Pensez à la suppression réversible comme à une corbeille. Lorsque vous supprimez un coffre de clés ou un objet de coffre de clés, il reste récupérable pendant une période de rétention configurable par l’utilisateur ou une durée par défaut de 90 jours. Les coffres de clés supprimés de manière réversible peuvent également être vidés, ce qui signifie qu’ils sont supprimés définitivement. Cela vous permet de recréer des coffres de clés et des objets de coffre de clés portant le même nom. La récupération et la suppression des coffres de clés et des objets nécessitent des autorisations d’accès élevées. Une fois la suppression réversible activée, elle ne peut pas être désactivée.

Important

Vous devez immédiatement activer la suppression réversible sur vos coffres de clés. La possibilité de refuser la suppression réversible est dépréciée et sera supprimée en février 2025. Vous trouverez plus de détails ici.

Il est important de noter que les noms des coffres de clés sont généralement uniques. Vous ne pourrez donc pas créer un coffre de clés portant le même nom qu’un coffre de clés supprimé de manière réversible. De même, les noms des clés, des secrets et des certificats sont uniques au sein d’un coffre de clés. Vous ne pouvez pas créer un secret, une clé ou un certificat portant le même nom qu’un autre supprimé de manière réversible.

La protection contre le vidage est conçue pour empêcher la suppression de votre coffre de clés et de vos clés, secrets et certificats par une personne interne malveillante. Considérez-la comme une corbeille dotée d’un verrou basé sur la durée. Vous pouvez récupérer des éléments à tout moment pendant la période de rétention configurable. Vous ne pouvez pas supprimer définitivement ou vider un coffre de clés tant que la période de rétention n’est pas écoulée. Une fois la période de rétention écoulée, le coffre de clés ou l’objet de coffre de clés est vidé automatiquement.

Notes

La protection contre le vidage est conçue de sorte qu’aucun rôle ni aucune autorisation d’administrateur ne peut remplacer, désactiver ou déjouer la protection contre le vidage. Une fois la protection contre le vidage activée, elle ne peut pas être désactivée ni remplacée par quiconque, y compris Microsoft. Cela signifie que vous devez récupérer un coffre de clés supprimé ou attendre la fin de la période de rétention avant de réutiliser le nom du coffre de clés.

Pour plus d’informations sur la suppression réversible, consultez Vue d’ensemble de la suppression réversible d’Azure Key Vault.

Vérifier si la suppression réversible est activée sur un coffre de clés et activer la suppression réversible

  1. Connectez-vous au portail Azure.
  2. Sélectionnez votre coffre de clés.
  3. Cliquez sur le panneau « Propriétés ».
  4. Vérifiez que la case d’option située à côté de la suppression réversible est définie sur « Activer la récupération ».
  5. Si la suppression réversible n’est pas activée sur le coffre de clés, cliquez sur la case d’option pour activer la suppression réversible, puis cliquez sur « Enregistrer ».

Dans Propriétés, l’option de suppression réversible est mise en surbrillance, tout comme la valeur pour l’activer.

Accorder l’accès à un principal de service pour vider et récupérer les secrets supprimés

  1. Connectez-vous au portail Azure.
  2. Sélectionnez votre coffre de clés.
  3. Cliquez sur le panneau « Stratégie d’accès ».
  4. Dans le tableau, recherchez la ligne du principal de sécurité auquel vous souhaitez accorder l’accès (ou ajoutez un nouveau principal de sécurité).
  5. Cliquez sur la liste déroulante des clés, certificats et secrets.
  6. Faites défiler vers le bas de la liste déroulante, puis cliquez sur « Récupérer » et « Vider ».
  7. Les principaux de sécurité auront également besoin d’une fonctionnalité d’extraction et de liste pour effectuer la plupart des opérations.

Dans le volet de navigation de gauche, le panneau Stratégies d’accès est mis en surbrillance. Dans Stratégies d’accès, la liste déroulante Positions secrètes s’affiche, et quatre éléments sont sélectionnés : Obtenir, Répertorier, Récupérer et Vider.

Répertorier, récupérer ou vider un coffre de clés supprimé de manière réversible

  1. Connectez-vous au portail Azure.
  2. Cliquez sur la barre de recherche en haut de la page.
  3. Recherchez le service « Key Vault ». Ne cliquez pas sur un coffre de clés individuel.
  4. En haut de l’écran, cliquez sur l’option « Gérer les coffres supprimés ».
  5. Un volet contextuel s’ouvre sur le côté droit de l’écran.
  6. Sélectionnez votre abonnement.
  7. Si votre coffre de clés a été supprimé de manière réversible, il apparaît dans le volet contextuel à droite.
  8. S’il y a trop de coffres, vous pouvez soit cliquer sur « Charger plus » en bas du volet contextuel, soit utiliser l’interface CLI ou PowerShell pour extraire les résultats.
  9. Une fois que vous avez trouvé le coffre que vous souhaitez récupérer ou vider, cochez la case à côté de celui-ci.
  10. Sélectionnez l’option Récupérer en bas du volet contextuel si vous souhaitez récupérer le coffre de clés.
  11. Sélectionnez l’option Vider si vous souhaitez supprimer définitivement le coffre de clés.

Dans les coffres de clés, l’option Gérer les coffres supprimés est mise en surbrillance.

Dans le volet Gérer les coffres de clés supprimés, le seul coffre de clés répertorié est mis en surbrillance et sélectionné, et le bouton Récupérer est mis en surbrillance.

Répertorier, récupérer ou vider les secrets, les clés et les certificats supprimés de manière réversible

  1. Connectez-vous au portail Azure.
  2. Sélectionnez votre coffre de clés.
  3. Sélectionnez le panneau correspondant au type de secret que vous souhaitez gérer (clés, secrets ou certificats).
  4. En haut de l’écran, cliquez sur « Gérer les clés/secrets/certificats supprimés ».
  5. Un volet contextuel s’affiche sur le côté droit de l’écran.
  6. Si votre secret, clé ou certificat ne figure pas dans la liste, il n’a pas été supprimé de manière réversible.
  7. Sélectionnez le secret, la clé ou le certificat que vous souhaitez gérer.
  8. Sélectionnez l’option de récupération ou de vidage en bas du volet contextuel.

Dans le panneau Clés, l’option Gérer les clés supprimées est mise en surbrillance.

Étapes suivantes