Azure Key Vault: a helyreállítható törlés áttekintése

Fontos

Ha egy kulcstartó nem rendelkezik engedélyezve a helyreállítható törlési védelemmel, a kulcs törlése véglegesen törli azt. Az ügyfeleket határozottan javasoljuk, hogy az Azure Policy használatával kapcsolják be a tárolóik helyreállítható törlési kényszerítéseit.

Fontos

A Key Vault helyreállítható törlésekor a Key Vaulttal integrált szolgáltatások törlődnek. Például: Azure RBAC-szerepkör-hozzárendelések és Event Grid-előfizetések. A helyreállíthatóan törölt Key Vault helyreállítása nem állítja vissza ezeket a szolgáltatásokat. Ezeket újra létre kell hozni.

A Key Vault helyreállítható törlési funkciója lehetővé teszi a törölt tárolók és a törölt kulcstartóobjektumok (például kulcsok, titkos kódok, tanúsítványok) helyreállítását, más néven a helyreállítható törlést. Konkrétan a következő forgatókönyvekkel foglalkozunk: Ez a védelmi megoldás a következő védelmet nyújtja:

• A titkos kulcs, a kulcs, a tanúsítvány vagy a kulcstartó törlése után 7–90 naptári napig helyreállítható marad. Ha nincs megadva konfiguráció, az alapértelmezett helyreállítási időszak 90 napra van beállítva, hogy elegendő időt biztosítson a felhasználóknak a titkos kódok véletlen törlésének és megválaszolásának észlelésére.
• A titkos kód végleges törléséhez két műveletet kell végrehajtani. Először a felhasználónak törölnie kell az objektumot, helyreállítható módon törölt állapotba helyezve azt. Másodszor a felhasználónak véglegesen törölnie kell a helyreállítható módon törölt állapotú objektumot. Ezek a védelem csökkenti annak kockázatát, hogy egy felhasználó véletlenül vagy rosszindulatúan töröl egy titkos kulcsot vagy egy kulcstartót.
• A titkos kulcsok, kulcsok és tanúsítványok helyreállíthatóan törölt állapotban való törléséhez egy biztonsági tagnak "törlési" műveleti engedélyt kell adni (például a Key Vault beépített szerepkörével"Key Vault purge operator").

Támogató felületek

A helyreállítható törlési funkció a REST API, az Azure CLI, az Azure PowerShell és a .NET/C# felületeken, valamint ARM-sablonokon keresztül érhető el.

Forgatókönyvek

Az Azure Key Vaultok az Azure Resource Manager által felügyelt, nyomon követett erőforrások. Az Azure Resource Manager egy jól definiált törlési viselkedést is meghatároz, amely megköveteli, hogy egy sikeres TÖRLÉSi művelet azt eredményezi, hogy az erőforrás többé nem lesz elérhető. A helyreállítható törlés funkció a törölt objektum helyreállítását kezeli, függetlenül attól, hogy a törlés véletlen vagy szándékos volt-e.

1. A tipikus forgatókönyvben a felhasználó véletlenül töröl egy kulcstartót vagy egy kulcstartó-objektumot; ha ez a kulcstartó vagy kulcstartó objektum egy előre meghatározott ideig helyreállítható volt, a felhasználó visszavonhatja a törlést, és helyreállíthatja az adataikat.

2. Egy másik forgatókönyvben a gazemberek megpróbálhatnak törölni egy kulcstartót vagy egy kulcstartó objektumot, például egy tárolón belüli kulcsot, ami üzleti fennakadást okoz. A kulcstartó vagy kulcstartó objektum törlésének a mögöttes adatok tényleges törlésétől való elkülönítése biztonsági intézkedésként használható például úgy, hogy az adatok törlésére vonatkozó engedélyeket egy másik, megbízható szerepkörre korlátozza. Ez a megközelítés gyakorlatilag kvórumot igényel egy olyan művelethez, amely egyébként azonnali adatvesztést eredményezhet.

Helyreállítható törlés működése

Ha engedélyezve van a helyreállítható törlés, a törölt erőforrásként megjelölt erőforrásokat a rendszer egy megadott ideig (alapértelmezés szerint 90 napig) őrzi meg. A szolgáltatás továbbá egy mechanizmust biztosít a törölt objektum helyreállítására, lényegében a törlés visszavonására.

Új kulcstartó létrehozásakor a helyreállítható törlés alapértelmezés szerint be van kapcsolva. Ha a helyreállítható törlés engedélyezve van egy kulcstartón, az nem tiltható le.

A megőrzési szabályzat időköze csak a kulcstartó létrehozásakor konfigurálható, és később nem módosítható. 7 és 90 nap között bárhol beállíthatja, és ez az alapértelmezett 90 nap. Ugyanez az időköz vonatkozik a helyreállítható törlésre és a törlési védelmi megőrzési szabályzatra is.

A helyreállíthatóan törölt kulcstartó nevét nem használhatja újra, amíg a megőrzési időszak el nem jár.

Törlés elleni védelem

A törlés elleni védelem nem kötelező Key Vault-viselkedés, és alapértelmezés szerint nincs engedélyezve. A törlés elleni védelem csak akkor engedélyezhető, ha engedélyezve van a helyreállítható törlés. A törlés elleni védelem akkor ajánlott, ha kulcsokat használ titkosításhoz az adatvesztés megakadályozása érdekében. Az Azure Key Vaulttal integrálható legtöbb Azure-szolgáltatás, például a Storage törlési védelmet igényel az adatvesztés megelőzése érdekében.

Ha a törlés elleni védelem be van kapcsolva, egy tároló vagy egy törölt állapotú objektum nem törölhető, amíg a megőrzési időszak el nem telik. A helyreállíthatóan törölt tárolók és objektumok továbbra is helyreállíthatók, biztosítva a megőrzési szabályzat betartását.

Az alapértelmezett megőrzési időszak 90 nap, de az Azure Portalon 7 és 90 nap közötti értékre is beállíthatja a megőrzési szabályzat időközét. Miután beállította és mentette a megőrzési szabályzat időközét, az nem módosítható a tárolóhoz.

A Purge Protection parancssori felületen, PowerShellen vagy Portálon keresztül kapcsolható be.

Engedélyezett kiürítés

A kulcstartó végleges törlése, törlése a proxyerőforrás POST műveletével lehetséges, és speciális jogosultságokat igényel. Általában csak az előfizetés tulajdonosa vagy a "Key Vault Purge Operator" RBAC szerepkörrel rendelkező felhasználó üríthet ki egy kulcstartót. A POST művelet aktiválja a tároló azonnali és helyreállíthatatlan törlését.

Kivételek a következők:

• Ha az Azure-előfizetés kézbesíthetetlenként van megjelölve. Ebben az esetben csak a szolgáltatás végezheti el a tényleges törlést, és ütemezett folyamatként hajthatja végre.
• Ha az --enable-purge-protection argumentum engedélyezve van a tárolón. Ebben az esetben a Key Vault 7–90 napot vár az eredeti titkos objektum törlésre való megjelölésétől az objektum végleges törléséig.

A lépésekért tekintse meg a Key Vault helyreállítható törlésének használatát a parancssori felülettel: Kulcstartó kiürítése vagy a Key Vault helyreállítható törlésének használata a PowerShell-lel: Kulcstartó törlése.

Kulcstartó helyreállítása

A kulcstartó törlésekor a szolgáltatás létrehoz egy proxyerőforrást az előfizetés alatt, és elegendő metaadatot ad hozzá a helyreállításhoz. A proxyerőforrás egy tárolt objektum, amely a törölt kulcstartóval azonos helyen érhető el.

Key Vault objektum helyreállítása

Egy kulcstartó objektum( például kulcs) törlésekor a szolgáltatás törölt állapotba helyezi az objektumot, így az nem érhető el a lekérési műveletekhez. Ebben az állapotban a kulcstartó objektum csak listázható, helyreállítható vagy véglegesen törölhető. Az objektumok megtekintéséhez használja az Azure CLI-parancsot az keyvault key list-deleted (a Key Vault helyreállítható törlés használata a CLI-vel) vagy az Azure PowerShell-parancsot Get-AzKeyVault -InRemovedState (a Key Vault helyreállítható törlésének használata a PowerShell-lel) című cikkben leírtak szerint.

Ugyanakkor a Key Vault előre meghatározott megőrzési időköz után ütemezi a törölt kulcstartónak vagy kulcstartó-objektumnak megfelelő mögöttes adatok törlését végrehajtásra. A tárolónak megfelelő DNS-rekord is megmarad a megőrzési idő alatt.

Helyreállítható törlési megőrzési időszak

A helyreállíthatóan törölt erőforrások meghatározott ideig, 90 napig maradnak meg. A helyreállítható törlés megőrzési időköze alatt a következők érvényesek:

• Az előfizetés helyreállítható törlési állapotában lévő összes kulcstartót és kulcstartó-objektumot listázhatja, valamint hozzáférhet a törlési és helyreállítási adatokhoz.
  • Csak a speciális engedélyekkel rendelkező felhasználók listázhatják a törölt tárolókat. Javasoljuk, hogy felhasználóink hozzanak létre egy egyéni szerepkört ezekkel a speciális engedélyekkel a törölt tárolók kezeléséhez.
• Az azonos nevű kulcstartó nem hozható létre ugyanazon a helyen; Ennek megfelelően egy kulcstartó-objektum nem hozható létre egy adott tárolóban, ha a kulcstartó egy azonos nevű és törölt állapotú objektumot tartalmaz.
• Csak egy kifejezetten kiemelt felhasználó állíthat vissza egy kulcstartót vagy kulcstartó-objektumot a megfelelő proxyerőforrás helyreállítási parancsának kiadásával.
  • Az egyéni szerepkör tagja, aki jogosult kulcstartót létrehozni az erőforráscsoport alatt, visszaállíthatja a tárolót.
• Csak egy kifejezetten kiemelt felhasználó törölhet kényszerítetten egy kulcstartót vagy key vault objektumot a megfelelő proxyerőforrás törlési parancsának kiadásával.

Hacsak nem áll helyre egy kulcstartó vagy kulcstartó objektum, a megőrzési időköz végén a szolgáltatás törli a helyreállíthatóan törölt kulcstartót vagy kulcstartó-objektumot és annak tartalmát. Az erőforrás-törlés nem ütemezhető újra.

A számlázás következményei

Általában, ha egy objektum (kulcstartó, kulcs vagy titkos kulcs) törölt állapotban van, csak két művelet lehetséges: a "törlés" és a "helyreállítás". Az összes többi művelet sikertelen lesz. Ezért annak ellenére, hogy az objektum létezik, nem lehet műveleteket végrehajtani, ezért nem történik használat, így nincs számla. A következő kivételek azonban vannak:

• A "kiürítés" és a "helyreállítás" műveletek a normál key vault-műveletekhez fognak számítani, és a számlázásukra kerül sor.
• Ha az objektum HSM-kulcs, a kulcsverziónkénti "HSM védett kulcs" havi díja akkor lesz érvényes, ha az elmúlt 30 napban kulcsverziót használtak. Ezt követően, mivel az objektum törölt állapotban van, nem lehet műveleteket végrehajtani rajta, ezért a rendszer nem számít fel díjat.

Következő lépések

Az alábbi három útmutató az elsődleges használati forgatókönyveket kínálja a helyreállítható törlés használatához.

• A Key Vault helyreállítható törlése a Portallal
• A Key Vault helyreállítható törlés funkciójának használata PowerShell-lel
• A Key Vault helyreállítható törlés funkciójának használata parancssori felülettel