Azure Key Vault: a helyreállítható törlés áttekintése

  • Cikk

Fontos

Azonnal engedélyeznie kell a helyreállítható törlést a kulcstartókon. A helyreállítható törlés letiltásának lehetősége elavult, és 2025 februárjában megszűnik. A teljes részleteket itt tekinti meg

Fontos

A Key Vault helyreállítható törlésekor a Key Vaulttal integrált szolgáltatások törlődnek. Például: Azure RBAC-szerepkör-hozzárendelések és Event Grid-előfizetések. A helyreállíthatóan törölt Key Vault helyreállítása nem állítja vissza ezeket a szolgáltatásokat. Ezeket újra létre kell hozni.

A Key Vault helyreállítható törlési funkciója lehetővé teszi a törölt tárolók és a törölt kulcstartóobjektumok (például kulcsok, titkos kódok, tanúsítványok) helyreállítását, más néven a helyreállítható törlést. Konkrétan a következő forgatókönyvekkel foglalkozunk: Ez a védelmi megoldás a következő védelmet nyújtja:

  • Once a secret, key, certificate, or key vault is deleted, it will remain recoverable for a configurable period of 7 to 90 calendar days. Ha nincs megadva konfiguráció, az alapértelmezett helyreállítási időszak értéke 90 nap lesz. Ez elegendő időt biztosít a felhasználóknak a titkos kódok véletlen törlésének észlelésére és a válaszadásra.
  • Two operations must be made to permanently delete a secret. Először a felhasználónak törölnie kell az objektumot, helyreállítható módon törölt állapotba helyezve azt. Second, a user must purge the object in the soft-deleted state. These additional protections reduce the risk of a user accidentally or maliciously deleting a secret or a key vault.
  • A titkos kulcs, kulcs és tanúsítvány helyreállíthatóan törölt állapotban való törléséhez a biztonsági tagnak "törlési" műveletengedélyt kell adni.

Támogató felületek

A helyreállítható törlési funkció a REST API, az Azure CLI, az Azure PowerShell és a .NET/C# felületeken, valamint ARM-sablonokon keresztül érhető el.

Forgatókönyvek

Az Azure Key Vaultok az Azure Resource Manager által felügyelt, nyomon követett erőforrások. Az Azure Resource Manager egy jól definiált törlési viselkedést is meghatároz, amely megköveteli, hogy egy sikeres TÖRLÉSi művelet azt eredményezi, hogy az erőforrás többé nem lesz elérhető. A helyreállítható törlés funkció a törölt objektum helyreállítását kezeli, függetlenül attól, hogy a törlés véletlen vagy szándékos volt-e.

  1. A tipikus forgatókönyvben a felhasználók véletlenül töröltek egy kulcstartót vagy egy kulcstartó-objektumot; ha az adott kulcstartó vagy kulcstartó objektum egy előre meghatározott ideig helyreállítható lenne, a felhasználó visszavonhatja a törlést, és helyreállíthatja az adatait.

  2. Egy másik forgatókönyvben a gazemberek megpróbálhatnak törölni egy kulcstartót vagy egy kulcstartó objektumot, például egy tárolón belüli kulcsot, ami üzleti fennakadást okoz. A kulcstartó vagy kulcstartó objektum törlésének a mögöttes adatok tényleges törlésétől való elkülönítése biztonsági intézkedésként használható például úgy, hogy az adatok törlésére vonatkozó engedélyeket egy másik, megbízható szerepkörre korlátozza. Ez a megközelítés gyakorlatilag kvórumot igényel egy olyan művelethez, amely egyébként azonnali adatvesztést eredményezhet.

Soft-delete behavior

Ha engedélyezve van a helyreállítható törlés, a törölt erőforrásként megjelölt erőforrásokat a rendszer egy megadott ideig (alapértelmezés szerint 90 napig) őrzi meg. A szolgáltatás továbbá egy mechanizmust biztosít a törölt objektum helyreállítására, lényegében a törlés visszavonására.

Új kulcstartó létrehozásakor a helyreállítható törlés alapértelmezés szerint be van kapcsolva. Ha a helyreállítható törlés engedélyezve van egy kulcstartón, az nem tiltható le.

A megőrzési szabályzat időköze csak a kulcstartó létrehozásakor konfigurálható, és később nem módosítható. Lehetősége van arra, hogy 7 és 90 nap között bárhol be legyen állítva, és a 90 nap legyen az alapértelmezett. Ugyanez az időköz vonatkozik a helyreállítható törlésre és a törlési védelmi megőrzési szabályzatra is.

A helyreállíthatóan törölt kulcstartó nevét nem használhatja újra a megőrzési időszak lejártáig.

Törlés elleni védelem

A törlés elleni védelem nem kötelező Key Vault-viselkedés, és alapértelmezés szerint nincs engedélyezve. A törlés elleni védelem csak akkor engedélyezhető, ha engedélyezve van a helyreállítható törlés. A törlés elleni védelem akkor ajánlott, ha kulcsokat használ titkosításhoz az adatvesztés megakadályozása érdekében. Az Azure Key Vaulttal integrálható legtöbb Azure-szolgáltatás, például a Storage törlési védelmet igényel az adatvesztés megelőzése érdekében.

Ha a törlés elleni védelem be van kapcsolva, a tároló vagy a törölt állapotban lévő objektumok csak a megőrzési időszak leteltével törölhetők. A helyreállíthatóan törölt tárolók és objektumok továbbra is helyreállíthatók, biztosítva a megőrzési szabályzat betartását.

Az alapértelmezett megőrzési időszak 90 nap, de az Azure Portalon 7 és 90 nap közötti értékre is beállíthatja a megőrzési szabályzat időközét. Miután beállította és mentette a megőrzési szabályzat időközét, az nem módosítható a tárolóhoz.

A Purge Protection parancssori felülettel, PowerShell-lel vagy portállal kapcsolható be.

Engedélyezett kiürítés

A kulcstartó végleges törlése, törlése a proxyerőforrás POST műveletével lehetséges, és speciális jogosultságokat igényel. Általában csak az előfizetés tulajdonosa tudja kiüríteni a kulcstartót. A POST művelet aktiválja a tároló azonnali és helyreállíthatatlan törlését.

Kivételek a következők:

  • Ha az Azure-előfizetés kézbesíthetetlenként lett megjelölve. Ebben az esetben csak a szolgáltatás végezheti el a tényleges törlést, és ütemezett folyamatként hajthatja végre.
  • Ha az --enable-purge-protection argumentum engedélyezve van a tárolón. Ebben az esetben a Key Vault 7–90 napot vár az eredeti titkos objektum törlésre való megjelölésétől az objektum végleges törléséig.

A lépésekért tekintse meg a Key Vault helyreállítható törlésének használatát a parancssori felülettel: Kulcstartó kiürítése vagy a Key Vault helyreállítható törlésének használata a PowerShell-lel: Kulcstartó törlése.

Kulcstartó helyreállítása

A kulcstartó törlésekor a szolgáltatás létrehoz egy proxyerőforrást az előfizetés alatt, és elegendő metaadatot ad hozzá a helyreállításhoz. A proxyerőforrás egy tárolt objektum, amely a törölt kulcstartóval azonos helyen érhető el.

Key Vault objektum helyreállítása

Egy kulcstartó objektum( például kulcs) törlésekor a szolgáltatás törölt állapotba helyezi az objektumot, így az nem érhető el a lekérési műveletekhez. Ebben az állapotban a kulcstartó objektum csak listázható, helyreállítható vagy véglegesen törölhető. Az objektumok megtekintéséhez használja az Azure CLI-parancsot az keyvault key list-deleted (a Key Vault helyreállítható törlés használata a CLI-vel) vagy az Azure PowerShell-parancsot Get-AzKeyVault -InRemovedState (a Key Vault helyreállítható törlésének használata a PowerShell-lel) című cikkben leírtak szerint.

Ugyanakkor a Key Vault előre meghatározott megőrzési időköz után ütemezi a törölt kulcstartónak vagy kulcstartó-objektumnak megfelelő mögöttes adatok törlését végrehajtásra. A tárolónak megfelelő DNS-rekord is megmarad a megőrzési időköz időtartamára.

Helyreállítható törlési megőrzési időszak

A helyreállíthatóan törölt erőforrások meghatározott ideig, 90 napig maradnak meg. A helyreállítható törlés megőrzési időköze alatt a következők érvényesek:

  • Az előfizetés helyreállítható törlési állapotában lévő összes kulcstartót és kulcstartó-objektumot listázhatja, valamint hozzáférhet a törlési és helyreállítási adatokhoz.
    • Csak a speciális engedélyekkel rendelkező felhasználók listázhatják a törölt tárolókat. Javasoljuk, hogy felhasználóink hozzanak létre egy egyéni szerepkört ezekkel a speciális engedélyekkel a törölt tárolók kezeléséhez.
  • Az azonos nevű kulcstartó nem hozható létre ugyanazon a helyen; Ennek megfelelően egy kulcstartó-objektum nem hozható létre egy adott tárolóban, ha a kulcstartó egy azonos nevű és törölt állapotú objektumot tartalmaz.
  • Csak egy kifejezetten kiemelt felhasználó állíthat vissza egy kulcstartót vagy kulcstartó-objektumot a megfelelő proxyerőforrás helyreállítási parancsának kiadásával.
    • Az egyéni szerepkör tagja, aki jogosult kulcstartót létrehozni az erőforráscsoport alatt, visszaállíthatja a tárolót.
  • Csak egy kifejezetten kiemelt felhasználó törölhet kényszerítetten egy kulcstartót vagy key vault objektumot a megfelelő proxyerőforrás törlési parancsának kiadásával.

Hacsak nem áll helyre egy kulcstartó vagy kulcstartó objektum, a megőrzési időköz végén a szolgáltatás törli a helyreállíthatóan törölt kulcstartót vagy kulcstartó-objektumot és annak tartalmát. Az erőforrás-törlés nem ütemezhető újra.

A számlázás következményei

Általában, ha egy objektum (kulcstartó, kulcs vagy titkos kulcs) törölt állapotban van, csak két művelet lehetséges: a "törlés" és a "helyreállítás". Az összes többi művelet sikertelen lesz. Ezért annak ellenére, hogy az objektum létezik, nem lehet műveleteket végrehajtani, ezért nem történik használat, így nincs számla. A következő kivételek azonban vannak:

  • A "kiürítés" és a "helyreállítás" műveletek a normál key vault-műveletekhez fognak számítani, és a számlázásukra kerül sor.
  • Ha az objektum HSM-kulcs, a kulcsverziónkénti "HSM védett kulcs" havi díja akkor lesz érvényes, ha az elmúlt 30 napban kulcsverziót használtak. Ezt követően, mivel az objektum törölt állapotban van, nem lehet műveleteket végrehajtani rajta, ezért a rendszer nem számít fel díjat.

Következő lépések

Az alábbi három útmutató az elsődleges használati forgatókönyveket kínálja a helyreállítható törlés használatához.