gambaran umum kunci, rahasia, dan sertifikat Azure Key Vault

Azure Key Vault memungkinkan aplikasi dan pengguna Microsoft Azure untuk menyimpan dan menggunakan beberapa jenis data rahasia dan kunci: kunci, rahasia, dan sertifikat. Kunci, rahasia, dan sertifikat secara kolektif disebut sebagai "objek."

Pengidentifikasi objek

Key Vault secara unik mengidentifikasi objek dengan menggunakan pengidentifikasi yang tidak peka terhadap huruf besar/kecil yang disebut pengidentifikasi objek. Tidak ada dua objek dalam sistem yang memiliki pengidentifikasi yang sama, terlepas dari lokasi geografisnya. Pengidentifikasi terdiri dari awalan yang mengidentifikasi brankas kunci, jenis objek, nama objek yang disediakan pengguna, dan versi objek. Pengidentifikasi yang tidak menyertakan versi objek disebut sebagai "identifikator utama." Identifikator objek Key Vault juga merupakan URL yang valid, tetapi selalu bandingkan sebagai string yang tidak peka huruf besar/kecil.

Untuk informasi selengkapnya, lihat Autentikasi, permintaan, dan respons.

Pengidentifikasi objek memiliki format umum berikut (bergantung pada jenis kontainer):

  • Untuk Penyimpanan Aman: https://<vault-name>.vault.azure.net/<object-type>/<object-name>/<object-version>

  • Untuk kumpulan HSM Terkelola: https://<hsm-name>.managedhsm.azure.net/<object-type>/<object-name>/<object-version>

Catatan

Lihat Dukungan jenis objek untuk jenis objek yang didukung oleh setiap jenis kontainer.

Lokasi:

Elemen Deskripsi
vault-name atau hsm-name Nama untuk brankas kunci atau kumpulan HSM Terkelola di layanan Microsoft Azure Key Vault.

Pengguna memilih nama vault dan nama kumpulan HSM Terkelola, yang unik secara global.

Nama vault dan nama kelompok HSM Terkelola harus berupa string karakter 3-24, hanya berisi 0-9, a-z, A-Z, dan tidak menggunakan tanda - secara berturut-turut.
object-type Jenis objek, "kunci", "rahasia", atau "sertifikat".
object-name object-name adalah nama yang diberikan oleh pengguna dan harus unik dalam ruang lingkup brankas kunci. Nama harus berupa string karakter 1-127, hanya berisi 0-9, a-z, A-Z, dan -.
object-version object-version adalah pengidentifikasi string berisi 32 karakter yang dihasilkan oleh sistem dan digunakan secara opsional untuk merujuk versi unik dari suatu objek.

Akhiran DNS untuk pengidentifikasi objek

Penyedia sumber daya Azure Key Vault mendukung dua jenis sumber daya: vault dan HSM terkelola. Tabel ini memperlihatkan akhiran DNS yang digunakan oleh titik akhir bidang data untuk vault dan HSM terkelola di berbagai lingkungan cloud.

Lingkungan cloud Akhiran DNS untuk kubah Akhiran DNS untuk HSM terkelola
Azure Cloud .vault.azure.net .managedhsm.azure.net
Microsoft Azure dioperasikan oleh 21Vianet Cloud .vault.azure.cn .managedhsm.azure.cn
Azure US Government .vault.usgovcloudapi.net .managedhsm.usgovcloudapi.net

Jenis objek

Tabel ini memperlihatkan jenis objek dan akhirannya dalam pengidentifikasi objek.

Tipe objek Akhiran Pengidentifikasi Vaults Kumpulan HSM Terkelola
Kunci kriptografi
Kunci yang dilindungi HSM /kunci Didukung Didukung
Kunci yang dilindungi perangkat lunak /kunci Didukung Tidak didukung
Jenis objek lainnya
Rahasia /rahasia Didukung Tidak didukung
Sertifikat /sertifikat Didukung Tidak didukung
Kunci akun penyimpanan /penyimpanan Didukung Tidak didukung
  • Kunci kriptografis: Mendukung beberapa jenis kunci dan algoritma, dan mengaktifkan penggunaan kunci yang dilindungi perangkat lunak dan HSM. Untuk informasi lebih lanjut, lihat Tentang kunci.
  • Rahasia: Menyediakan penyimpanan rahasia dengan aman, seperti string koneksi database dan kata sandi. Untuk informasi lebih lanjut, lihat Tentang rahasia.
  • Sertifikat: Mendukung sertifikat, yang dibangun di atas kunci dan rahasia, dan menambahkan fitur pembaruan otomatis. Saat Anda membuat sertifikat, proses ini juga membuat kunci dan rahasia yang dapat diatasi dengan nama yang sama. Untuk informasi lebih lanjut, lihat Tentang sertifikat.
  • Azure Storage kunci akun (warisan, tidak digunakan lagi): Key Vault sebelumnya dapat mengelola kunci akun Azure Storage. Fitur ini tidak digunakan lagi; gunakan otorisasi Microsoft Entra ID untuk Azure Storage sebagai gantinya.

Untuk informasi umum selengkapnya tentang Key Vault, lihat Tentang Azure Key Vault. Untuk informasi selengkapnya tentang kumpulan HSM Terkelola, lihat Apa itu Azure Key Vault Managed HSM?

Jenis data

Lihat spesifikasi JOSE untuk jenis data yang relevan untuk kunci, enkripsi, dan penandatanganan.

  • algoritma - algoritma yang didukung untuk operasi kunci, seperti RSA_OAEP_256
  • ciphertext-value - oktet teks cipher, dikodekan dengan menggunakan Base64URL
  • digest-value - output algoritma hash, dikodekan menggunakan metode Base64URL
  • jenis kunci - salah satu jenis kunci yang didukung, seperti RSA (Rivest-Shamir-Adleman).
  • plaintext-value - oktet teks biasa, dikodekan dengan menggunakan Base64URL
  • signature-value - output algoritma tanda tangan, dikodekan dengan menggunakan Base64URL
  • base64URL - nilai biner yang dikodekan Base64URL [RFC4648]
  • boolean - benar atau salah
  • Identity - identitas dari Microsoft Entra ID.
  • IntDate - nilai desimal JSON yang menunjukkan jumlah detik dari UTC 1970-01-01T0:0:0Z hingga tanggal/waktu UTC yang ditentukan. Lihat RFC3339 untuk detail mengenai tanggal/waktu, secara umum dan UTC khususnya.

Objek, pengidentifikasi, dan pengelolaan versi

Key Vault membuat versi objek setiap kali Anda membuat salinan baru dari suatu objek. Setiap versi memiliki pengidentifikasi objek unik. Saat membuat objek, Anda memberinya pengidentifikasi versi unik dan menjadikannya versi objek saat ini. Saat Anda membuat instans baru dengan nama objek yang sama, Anda memberi objek baru pengidentifikasi versi unik dan menjadikannya versi saat ini.

Anda dapat mengambil objek di Key Vault dengan menentukan versi atau dengan menghilangkan versi untuk mendapatkan versi objek terbaru. Untuk melakukan operasi pada objek, Anda perlu menyediakan versi untuk menggunakan versi objek tertentu.

Catatan

Layanan ini mungkin menyalin nilai yang Anda berikan untuk sumber daya Azure atau ID objek secara global. Jangan sertakan informasi pribadi yang dapat diidentifikasi atau sensitif dalam nilai yang Anda berikan.

Langkah berikutnya

  • Terakhir diperbarui pada