Megosztás a következőn keresztül:

Azure Key Vault: helyreállítható törlés áttekintése

Fontos

Ha egy kulcstartó nem rendelkezik engedélyezve a helyreállítható törlési védelemmel, a kulcs törlése véglegesen törli azt. Az ügyfeleket erőteljesen ösztönözzük, hogy az Azure Policy használatával állítsák be a tárolóik számára a lágy törlés érvényesítését.

Fontos

A Key Vault puha törlésekor a Key Vaulttal integrált szolgáltatások törlődnek. Például: Azure RBAC-szerepkör-hozzárendelések és Event Grid-előfizetések. Egy lágyan törölt Key Vault helyreállítása nem állítja vissza ezeket a szolgáltatásokat. Ezeket újra létre kell hozni.

A Key Vault helyreállítható törlési funkciója lehetővé teszi a törölt tárolók és a törölt kulcstartóobjektumok (például kulcsok, titkos kódok, tanúsítványok) helyreállítását, más néven a helyreállítható törlést. Konkrétan a következő forgatókönyvekkel foglalkozunk: Ez a védelmi megoldás a következő védelmet nyújtja:

  • A titkos kulcs, a kulcs, a tanúsítvány vagy a kulcstartó törlése után 7–90 naptári napig helyreállítható marad. Ha nincs megadva konfiguráció, az alapértelmezett helyreállítási időszak 90 napra van beállítva, hogy elegendő időt biztosítson a felhasználóknak a titkos kódok véletlen törlésének és megválaszolásának észlelésére.
  • A titkos kód végleges törléséhez két műveletet kell végrehajtani. Először a felhasználónak törölnie kell az objektumot, helyreállítható módon törölt állapotba helyezve azt. Másodszor a felhasználónak véglegesen törölnie kell a helyreállítható módon törölt állapotú objektumot. Ezek a védelmek csökkentik annak kockázatát, hogy egy felhasználó véletlenül vagy rosszindulatúan töröl egy titkos adatot vagy egy kulcstárat.
  • Titkos kulcsok, kulcsok és tanúsítványok helyreállíthatóan törölt állapotban való végleges törléséhez egy biztonsági tagnak „végleges törlés” műveleti engedélyt kell adni (például a Key Vault beépített szerepkörével „Key Vault Végleges Törlő Operátor”).

Támogató felületek

A helyreállítható törlési funkció a REST API-n, az Azure CLI-n, az Azure PowerShellen, a .NET/C# -felületeken és az ARM-sablonokon keresztül érhető el.

Forgatókönyvek

Az Azure Key Vaultok az Azure Resource Manager által felügyelt, nyomon követett erőforrások. Az Azure Resource Manager egy jól definiált törlési viselkedést is meghatároz, amely megköveteli, hogy egy sikeres TÖRLÉSi művelet azt eredményezi, hogy az erőforrás többé nem lesz elérhető. A helyreállítható törlés funkció a törölt objektum helyreállítását kezeli, függetlenül attól, hogy a törlés véletlen vagy szándékos volt-e.

  1. A tipikus forgatókönyvben a felhasználó véletlenül töröl egy kulcstartót vagy egy kulcstartó-objektumot; ha ez a kulcstartó vagy kulcstartó objektum egy előre meghatározott ideig helyreállítható volt, a felhasználó visszavonhatja a törlést, és helyreállíthatja az adataikat.

  2. Egy másik forgatókönyvben egy rosszindulatú felhasználó megkísérelheti törölni a kulcstárat vagy egy kulcstár objektumot, például egy tárolóban lévő kulcsot, ami üzleti fennakadást okozhat. A kulcstartó tárhely vagy kulcstartó tárhely objektum törlésének a mögöttes adatok tényleges törlésétől való elkülönítése biztonsági intézkedésként szolgálhat, például úgy, hogy az adatok törlésére vonatkozó engedélyeket egy másik, megbízható szerepkörre korlátozzák. Ez a megközelítés gyakorlatilag kvórumot igényel egy olyan művelethez, amely egyébként azonnali adatvesztést eredményezhet.

Helyreállítható törlés viselkedése

Ha engedélyezve van a helyreállítható törlés, a törölt erőforrásként megjelölt erőforrásokat a rendszer egy megadott ideig (alapértelmezés szerint 90 napig) őrzi meg. A szolgáltatás továbbá egy mechanizmust biztosít a törölt objektum helyreállítására, lényegében a törlés visszavonására.

Új kulcstartó létrehozásakor a soft-delete funkció alapértelmezés szerint aktiválva van. Ha a helyreállítható törlés engedélyezve van egy kulcstárban, azt nem lehet letiltani.

A megőrzési szabályzat időköze csak a kulcstartó létrehozásakor konfigurálható, és később nem módosítható. 7 és 90 nap között bárhol beállíthatja, és ez az alapértelmezett 90 nap. Ugyanez az időköz vonatkozik a helyreállítható törlésre és a törlési védelmi megőrzési szabályzatra is.

A helyreállíthatóan törölt kulcstár nevét nem használhatja újra, amíg a megőrzési időszak le nem jár.

Törlés elleni védelem

A törlés elleni védelem az Key Vault egy opcionális viselkedése, alapértelmezés szerint nincs engedélyezve. A törlés elleni védelem csak akkor engedélyezhető, ha engedélyezve van a helyreállítható törlés. A törlés elleni védelem akkor ajánlott, ha kulcsokat használ titkosításhoz az adatvesztés megakadályozása érdekében. Az Azure Key Vaulttal integrálható legtöbb Azure-szolgáltatás, például a Storage törlési védelmet igényel az adatvesztés megelőzése érdekében.

Ha a törlés elleni védelem be van kapcsolva, egy tároló vagy egy törölt állapotú objektum nem törölhető, amíg a megőrzési időszak el nem telik. A helyreállíthatóan törölt tárolók és objektumok továbbra is helyreállíthatók, biztosítva a megőrzési szabályzat betartását.

Az alapértelmezett megőrzési időszak 90 nap, de az Azure Portalon 7 és 90 nap közötti értékre is beállíthatja a megőrzési szabályzat időközét. Miután beállította és mentette a megőrzési szabályzat időközét, az nem változtatható meg abban a tárolóban.

Purge Protection a CLI-n, PowerShell-en vagy a Portálon keresztül kapcsolható be.

Engedélyezett kiürítés

A kulcstár végleges törlése és eltávolítása a proxyerőforráson keresztül egy POST művelettel történik, amelyhez speciális jogosultságok szükségesek. Általában csak az előfizetés tulajdonosa vagy a "Key Vault Purge Operator" RBAC szerepkörrel rendelkező felhasználó törölhet egy kulcstárat. A POST művelet elindítja a tároló azonnali és helyreállíthatatlan törlését.

Kivételek a következők:

  • Ha az Azure-előfizetés nem törölhetőként van megjelölve. Ebben az esetben csak a szolgáltatás végezheti el a tényleges törlést, és ütemezett folyamatként hajthatja végre.
  • Ha a tárolón magán az --enable-purge-protection argumentum engedélyezve van. Ebben az esetben a Key Vault 7–90 napot vár az eredeti titkos objektum törlésre való megjelölésétől az objektum végleges törléséig.

A lépésekért tekintse meg hogyan használható a Key Vault puha törlése a parancssori felülettel: Egy kulcstár ürítése vagy hogyan használható a Key Vault puha törlése a PowerShell-lel: Egy kulcstár ürítése.

Kulcstartó helyreállítása

A kulcstartó törlésekor a szolgáltatás létrehoz egy proxyerőforrást az előfizetés alatt, és elegendő metaadatot ad hozzá a helyreállításhoz. A proxyerőforrás egy tárolt objektum, amely a törölt kulcstartóval azonos helyen érhető el.

Key Vault objektum helyreállítása

Egy kulcstartó objektum( például kulcs) törlésekor a szolgáltatás törölt állapotba helyezi az objektumot, így az nem érhető el a lekérési műveletekhez. Ebben az állapotban a kulcstár objektum csak listázható, helyreállítható vagy véglegesen törölhető. Az objektumok megtekintéséhez használja az Azure CLI az keyvault key list-deleted parancsát (ahogyan a Key Vault soft-delete használata CLI-vel című dokumentációban szerepel), vagy az Azure PowerShell Get-AzKeyVault -InRemovedState parancsát (a Key Vault soft-delete használata PowerShell-lel című leírás szerint).

Ugyanakkor a Key Vault előre meghatározott megőrzési időköz után ütemezi a törölt kulcstartónak vagy kulcstartó-objektumnak megfelelő mögöttes adatok törlését végrehajtásra. A DNS-rekord, amely a tárolónak megfelelő, szintén megmarad a megőrzési idő alatt.

Helyreállítható törlési megőrzési időszak

A feltételesen törölt erőforrások 90 napig megmaradnak. A puha törlés megőrzési időszakában a következők érvényesek:

  • Az előfizetéshez tartozó összes kulcstárolót és kulcstároló-objektumot, amelyek lágy törlés állapotában vannak, listázhatja, valamint hozzáférhet az ezekhez tartozó törlési és helyreállítási adatokhoz.
    • Csak a speciális engedélyekkel rendelkező felhasználók listázhatják a törölt tárolókat. Javasoljuk, hogy felhasználóink a törölt tárolók kezeléséhez hozzanak létre egy egyéni szerepkört ezekkel a speciális engedélyekkel.
  • Az azonos nevű kulcstartó nem hozható létre ugyanazon a helyen; Ennek megfelelően egy kulcstartó-objektum nem hozható létre egy adott tárolóban, ha a kulcstartó egy azonos nevű és törölt állapotú objektumot tartalmaz.
  • Csak egy kifejezetten kiemelt felhasználó állíthat vissza egy kulcstartót vagy kulcstartó-objektumot a megfelelő proxyerőforrás helyreállítási parancsának kiadásával.
    • Az egyéni szerepkör tagja, aki jogosult kulcstartót létrehozni az erőforráscsoport alatt, visszaállíthatja a tárolót.
  • Csak egy specifikusan kiemelt felhasználó képes kényszerítetten törölni egy kulcstartót vagy kulcstartó objektumot, ha kiad egy törlési parancsot a megfelelő proxy erőforrásra.

Hacsak nem áll helyre egy kulcstár vagy kulcstár objektum, a megőrzési időtartam végén a szolgáltatás törli a visszaállíthatóan törölt kulcstárat vagy kulcstár-objektumot és annak tartalmát. Az erőforrás-törlés nem ütemezhető újra.

A számlázás következményei

Általában, ha egy objektum (kulcstartó, kulcs vagy titkos kulcs) törölt állapotban van, csak két művelet lehetséges: a "törlés" és a "helyreállítás". Az összes többi művelet sikertelen. Ezért annak ellenére, hogy az objektum létezik, nem lehet műveleteket végrehajtani, ezért nem történik használat, így nincs számla. A következő kivételek azonban vannak:

  • A "kiürítés" és a "helyreállítás" műveletek a normál key vault-műveletekhez fognak számítani, és a számlázásukra kerül sor.
  • Ha az objektum HSM-kulcs, a kulcsverziónkénti havi "HSM védett kulcs" díj akkor lesz érvényes, ha egy kulcsverziót használtak az elmúlt 30 napban. Ezt követően, mivel az objektum törölt állapotban van, nem lehet műveleteket végrehajtani rajta, ezért a rendszer nem számít fel díjat.

Következő lépések

Az alábbi három útmutató az elsődleges használati forgatókönyveket kínálja a helyreállítható törlés használatához.