Azure Key Vault: a helyreállítható törlés áttekintése

Fontos

Azonnal engedélyeznie kell a helyreállítható törlést a kulcstartókon. A helyreállítható törlés letiltásának lehetősége elavult, és 2025 februárjában megszűnik. A részletes információkat itt tekinti meg

Fontos

A Key Vault helyreállítható törlésekor a Key Vault integrált szolgáltatások törlődnek. Például: Azure RBAC-szerepkör-hozzárendelések és Event Grid-előfizetések. A helyreállítható módon törölt Key Vault helyreállítása nem állítja vissza ezeket a szolgáltatásokat. Ezeket újra létre kell hozni.

A Key Vault helyreállítható törlési funkciója lehetővé teszi a törölt tárolók és a törölt kulcstartóobjektumok (például kulcsok, titkos kódok, tanúsítványok) helyreállítását, más néven a helyreállítható törlést. Konkrétan a következő forgatókönyvekkel foglalkozunk: Ez a védelmi megoldás a következő védelmi megoldásokat nyújtja:

• A titkos kód, a kulcs, a tanúsítvány és a kulcstartó a törlés után 7–90 naptári nap között konfigurálható ideig helyreállítható marad. Ha nincs megadva konfiguráció, az alapértelmezett helyreállítási időszak értéke 90 nap lesz. Ez elegendő időt biztosít a felhasználóknak a titkos kódok véletlen törlésének észlelésére és a válaszadásra.
• A titkos kód végleges törléséhez két műveletet kell végrehajtani. Először a felhasználónak törölnie kell az objektumot, helyreállítható módon törölt állapotba helyezve azt. Másodszor a felhasználónak véglegesen törölnie kell a helyreállítható módon törölt állapotú objektumot. A végleges törlési művelethez további hozzáférésiszabályzat-engedélyek szükségesek. Ezek a további védelmi megoldások csökkentik annak kockázatát, hogy egy felhasználó véletlenül vagy rosszindulatúan töröljön titkos kódokat vagy kulcstartókat.
• A helyreállítható módon törölt állapotú titkos kódok végleges törléséhez további „végleges törlési” hozzáférésiszabályzat-engedélyt kell adni az alkalmazáspéldánynak. Alapértelmezés szerint egyetlen alkalmazáspéldány (beleértve a kulcstartót és az előfizetés-tulajdonosokat is) sem rendelkezik végleges törlési hozzáférésiszabályzat-engedéllyel, azt kifejezetten be kell állítani. Mivel emelt szintű hozzáférésiszabályzat-engedélyre van szükség egy helyreállítható módon törölt titkos kód végleges törléséhez, csökken annak valószínűsége, hogy a felhasználó véletlenül töröljön egy titkos kódot.

Támogató felületek

A helyreállítható törlés funkció a REST API, az Azure CLI, a Azure PowerShell és a .NET/C# felületeken, valamint ARM-sablonokon keresztül érhető el.

Forgatókönyvek

Az Azure Key Vaultok nyomon követett erőforrások, amelyeket az Azure Resource Manager kezel. Az Azure Resource Manager egy jól definiált törlési viselkedést is meghatároz, amely megköveteli, hogy egy sikeres DELETE művelet azt eredményezi, hogy az erőforrás többé nem lesz elérhető. A helyreállítható törlés funkció a törölt objektum helyreállítását kezeli, függetlenül attól, hogy a törlés véletlen vagy szándékos volt-e.

1. A tipikus forgatókönyvben előfordulhat, hogy a felhasználó véletlenül törölt egy kulcstartót vagy egy kulcstartó-objektumot; Ha a kulcstartó vagy a Key Vault-objektum előre meghatározott ideig helyreállítható lenne, a felhasználó visszavonhatja a törlést, és helyreállíthatja az adatait.

2. Egy másik forgatókönyvben a gazemberek megpróbálhatnak törölni egy kulcstartót vagy egy kulcstartó-objektumot, például egy kulcstartón belüli kulcsot, hogy üzleti fennakadást okozzanak. A kulcstartó vagy key vault objektum törlésének elkülönítése a mögöttes adatok tényleges törlésétől biztonsági intézkedésként használható például úgy, hogy az adattörlési engedélyeket egy másik, megbízható szerepkörre korlátozza. Ez a megközelítés gyakorlatilag kvórumot igényel egy olyan művelethez, amely egyébként azonnali adatvesztést eredményezhet.

Helyreállítható törlés működése

Ha engedélyezve van a helyreállítható törlés, a törölt erőforrásként megjelölt erőforrásokat a rendszer egy megadott ideig (alapértelmezés szerint 90 napig) őrzi meg. A szolgáltatás további mechanizmust biztosít a törölt objektum helyreállításához, lényegében a törlés visszavonásához.

Új kulcstartó létrehozásakor a helyreállítható törlés alapértelmezés szerint be van kapcsolva. Ha a helyreállítható törlés engedélyezve van egy kulcstartón, az nem tiltható le.

Az alapértelmezett megőrzési időtartam 90 nap, de a kulcstartó létrehozása során az adatmegőrzési szabályzat időközét 7 és 90 nap közötti értékre lehet állítani a Azure Portal. A végleges törlés elleni védelem adatmegőrzési szabályzata ugyanazt az időközt használja. A beállítás után az adatmegőrzési házirend időköze nem módosítható.

A helyreállítható módon törölt kulcstartók neve csak a megőrzési időtartam lejártával használható.

Végleges törlés elleni védelem

A végleges törlés elleni védelem nem kötelező Key Vault viselkedés, és alapértelmezés szerint nincs engedélyezve. A végleges törlés elleni védelem csak akkor engedélyezhető, ha a helyreállítható törlés engedélyezve van. A cli-n vagy a PowerShellen keresztül kapcsolható be. A törlés elleni védelem akkor ajánlott, ha kulcsokat használ titkosításhoz az adatvesztés megelőzése érdekében. A legtöbb Azure-szolgáltatás, amely integrálva van az Azure Key Vault,például a Storage, törlés elleni védelmet igényel az adatvesztés megelőzése érdekében.

Ha a végleges törlés elleni védelem be van kapcsolva, a törölt állapotú tárolók vagy objektumok nem törölhetők a megőrzési időtartam lejártáig. A helyreállíthatóan törölt tárolók és objektumok továbbra is helyreállíthatók, így biztosítva a megőrzési szabályzat betartását.

Az alapértelmezett megőrzési időszak 90 nap, de az adatmegőrzési házirend időközét 7 és 90 nap közötti értékre lehet állítani a Azure Portal. A megőrzési házirend beállítása és mentése után a tárolóhoz nem módosítható.

Engedélyezett végleges törlés

A kulcstartó végleges törlése, végleges törlése a proxyerőforrás POST műveletével lehetséges, és speciális jogosultságokat igényel. Általában csak az előfizetés tulajdonosa fog tudni kiüríteni egy kulcstartót. A POST művelet aktiválja a tároló azonnali és helyreállíthatatlan törlését.

A kivételek a következők:

• Ha az Azure-előfizetés kézbesíthetetlenként lett megjelölve. Ebben az esetben csak a szolgáltatás végezheti el a tényleges törlést, és ezt ütemezett folyamatként hajthatja végre.
• Ha az --enable-purge-protection argumentum engedélyezve van magában a tárolóban. Ebben az esetben Key Vault az eredeti titkos objektum törlésre való megjelölésétől számított 90 napot vár az objektum végleges törléséhez.

A lépésekért lásd: Key Vault helyreállítható törlés használata a parancssori felülettel: Kulcstartó kiürítése vagy Key Vault helyreállítható törlés használata a PowerShell-lel: Kulcstartó kiürítése.

Key Vault-helyreállítás

Kulcstartó törlésekor a szolgáltatás létrehoz egy proxyerőforrást az előfizetés alatt, és elegendő metaadatot ad hozzá a helyreállításhoz. A proxyerőforrás egy tárolt objektum, amely a törölt kulcstartóval megegyező helyen érhető el.

Key Vault-objektum helyreállítása

Egy kulcstartó-objektum, például egy kulcs törlésekor a szolgáltatás törölt állapotba helyezi az objektumot, így az elérhetetlenné válik minden lekérési művelethez. Ebben az állapotban a Key Vault-objektum csak listázott, helyreállítható vagy kényszerített/véglegesen törölhető. Az objektumok megtekintéséhez használja az Azure CLI-parancsot az keyvault key list-deleted (a Key Vault helyreállítható törlés használata parancssori felülettel) vagy a Azure PowerShell Get-AzKeyVault -InRemovedState parancsot (a Key Vault helyreállítható törlés használata a PowerShell-lel című cikkben leírtak szerint).

Ugyanakkor Key Vault ütemezni fogja a törölt kulcstartónak vagy key vault-objektumnak megfelelő mögöttes adatok törlését végrehajtásra egy előre meghatározott megőrzési időtartam után. A tárolónak megfelelő DNS-rekordot is megőrzi a rendszer a megőrzési időtartam időtartamára.

Helyreállítható törlés megőrzési időtartama

A helyreállíthatóan törölt erőforrásokat a rendszer egy megadott ideig, 90 napig őrzi meg. A helyreállítható törlés megőrzési időtartama alatt a következők érvényesek:

• Az előfizetés helyreállítható törlési állapotban lévő összes kulcstartóját és kulcstartó-objektumát listázhatja, valamint hozzáférés-törlési és helyreállítási információkat is megadhat róluk.
  • Csak a speciális engedélyekkel rendelkező felhasználók listázhatják a törölt tárolókat. Javasoljuk, hogy a felhasználók hozzanak létre egy egyéni szerepkört ezekkel a speciális engedélyekkel a törölt tárolók kezeléséhez.
• Azonos nevű kulcstartó nem hozható létre ugyanazon a helyen; Ennek megfelelően nem hozható létre kulcstartó-objektum egy adott tárolóban, ha a kulcstartó azonos nevű és törölt állapotú objektumot tartalmaz.
• Csak egy kifejezetten kiemelt jogosultsággal rendelkező felhasználó állíthat vissza kulcstartót vagy kulcstartó-objektumot egy helyreállítási parancs kiadásával a megfelelő proxyerőforráson.
  • Az egyéni szerepkör tagja, aki jogosult kulcstartót létrehozni az erőforráscsoportban, visszaállíthatja a tárolót.
• Csak egy kifejezetten kiemelt jogosultsággal rendelkező felhasználó törölhet kényszerítetten egy kulcstartót vagy kulcstartó-objektumot úgy, hogy kiad egy törlési parancsot a megfelelő proxyerőforráson.

Hacsak nem állít helyre egy kulcstartót vagy kulcstartó-objektumot, a megőrzési időtartam végén a szolgáltatás törli a helyreállíthatóan törölt kulcstartót vagy kulcstartó-objektumot és annak tartalmát. Előfordulhat, hogy az erőforrás törlése nem lesz újraütemezve.

A számlázás következményei

Általában, ha egy objektum (kulcstartó, kulcs vagy titkos kulcs) törölt állapotban van, csak két művelet lehetséges: a "végleges törlés" és a "helyreállítás". Az összes többi művelet sikertelen lesz. Ezért annak ellenére, hogy az objektum létezik, nem hajtható végre művelet, így nem történik használat, így nincs számla. Vannak azonban a következő kivételek:

• A "végleges törlés" és a "helyreállítás" művelet beleszámít a normál Key Vault-műveletekbe, és a számlázásukra kerül sor.
• Ha az objektum HSM-kulcs, a HSM által védett kulcs kulcsverziónkénti havi díja akkor lesz érvényes, ha az elmúlt 30 napban kulcsverziót használtak. Ezt követően, mivel az objektum törölt állapotban van, nem lehet műveleteket végrehajtani rajta, ezért nem számítunk fel díjat.

Következő lépések

Az alábbi három útmutató az elsődleges használati forgatókönyveket ismerteti a helyreállítható törlés használatához.

• Key Vault helyreállítható törlés használata a Portallal
• A Key Vault helyreállítható törlés funkciójának használata PowerShell-lel
• A Key Vault helyreállítható törlés funkciójának használata parancssori felülettel