Praktik terbaik untuk menggunakan Azure Key Vault
Azure Key Vault melindungi kunci enkripsi dan rahasia seperti sertifikat, string koneksi, dan kata sandi. Artikel ini membantu Anda mengoptimalkan penggunaan brankas kunci.
Menggunakan brankas kunci terpisah
Rekomendasi kami adalah menggunakan vault per aplikasi per lingkungan (pengembangan, pra-produksi, dan produksi), per wilayah. Isolasi granular membantu Anda tidak berbagi rahasia di seluruh aplikasi, lingkungan, dan wilayah, dan juga mengurangi ancaman jika ada pelanggaran.
Mengapa kami merekomendasikan brankas kunci terpisah
Brankas kunci menentukan batas keamanan untuk rahasia yang disimpan. Mengelompokkan rahasia ke dalam brankas yang sama meningkatkan radius ledakan dari peristiwa keamanan karena serangan mungkin dapat mengakses rahasia di seluruh kekhawatiran. Untuk mengurangi akses di seluruh masalah, pertimbangkan rahasia apa yang harus diakses oleh aplikasi tertentu, lalu pisahkan brankas kunci Anda berdasarkan penggambaran ini. Memisahkan brankas kunci berdasarkan aplikasi adalah batasan yang paling umum. Batasan keamanan, bagaimanapun, dapat lebih terperinci untuk aplikasi besar, misalnya, per grup layanan terkait.
Akses kontrol ke vault Anda
Kunci enkripsi dan rahasia seperti sertifikat, string koneksi, dan kata sandi bersifat sensitif dan penting bagi bisnis. Anda perlu mengamankan akses ke brankas kunci dengan hanya mengizinkan aplikasi dan pengguna yang sah. Fitur keamanan Azure Key Vault memberikan ringkasan tentang model akses Key Vault. Ringkasan menjelaskan autentikasi dan otorisasi. Ringkasan juga menjelaskan cara mengamankan akses ke brankas kunci Anda.
Rekomendasi untuk mengontrol akses ke vault Anda adalah sebagai berikut:
- Kunci akses ke langganan, grup sumber daya, dan brankas kunci Anda menggunakan kontrol akses berbasis peran (RBAC).
- Tetapkan peran RBAC pada cakupan Key Vault untuk aplikasi, layanan, dan beban kerja yang memerlukan akses persisten ke Key Vault
- Menetapkan peran RBAC just-in-time yang memenuhi syarat untuk operator, administrator, dan akun pengguna lain yang memerlukan akses istimewa ke Key Vault menggunakan Privileged Identity Management (PIM)
- Memerlukan setidaknya satu pemberi izin
- Menerapkan autentikasi multifaktor
- Membatasi akses jaringan dengan Private Link, firewall, dan jaringan virtual
Mengaktifkan perlindungan data untuk vault Anda
Aktifkan perlindungan penghapusan menyeluruh untuk menjaga dari penghapusan rahasia dan brankas kunci yang berbahaya atau tidak disengaja bahkan setelah penghapusan lunak diaktifkan.
Untuk informasi selengkapnya, lihat Gambaran umum penghapusan sementara Azure Key Vault
Aktifkan pembuatan log
Aktifkan pengelogan untuk vault Anda. Selain itu, siapkan peringatan.
Cadangan
Perlindungan penghapusan menyeluruh mencegah penghapusan objek vault yang berbahaya dan tidak disengaja hingga 90 hari. Dalam skenario, ketika perlindungan penghapusan menyeluruh bukan opsi yang mungkin, kami merekomendasikan objek brankas cadangan, yang tidak dapat dibuat ulang dari sumber lain seperti kunci enkripsi yang dihasilkan dalam brankas.
Untuk informasi selengkapnya tentang pencadangan, lihat Pencadangan dan pemulihan Azure Key Vault
Solusi dan Key Vault multi-penyewa
Solusi multi-penyewa dibangun di atas arsitektur tempat komponen digunakan untuk melayani beberapa pelanggan atau penyewa. Solusi multi-penyewa sering digunakan untuk mendukung solusi software as a service (SaaS). Jika Anda membangun solusi multi-penyewa yang menyertakan Key Vault, tinjau Multi-penyewaan dan Azure Key Vault.
Pertanyaan Umum:
Dapatkah saya menggunakan penetapan cakupan objek model izin kontrol akses berbasis peran (RBAC) Key Vault untuk menyediakan isolasi bagi tim aplikasi dalam Key Vault?
Nomor. Model izin RBAC memungkinkan untuk menetapkan akses ke objek individual dalam Key Vault ke pengguna atau aplikasi, tetapi hanya untuk dibaca. Setiap operasi administratif seperti kontrol akses jaringan, pemantauan, dan manajemen objek memerlukan izin tingkat brankas. Memiliki satu Key Vault per aplikasi menyediakan isolasi yang aman untuk operator di seluruh tim aplikasi.
Langkah berikutnya
Pelajari selengkapnya tentang praktik terbaik manajemen kunci: