Azure Key Vault manajemen pemulihan dengan penghapusan sementara dan perlindungan penghapusan menyeluruh

Artikel ini membahas dua fitur pemulihan Azure Key Vault, penghapusan sementara, dan perlindungan penghapusan menyeluruh. Dokumen ini memberikan gambaran umum tentang fitur-fitur ini, dan menunjukkan kepada Anda cara mengelolanya melalui portal Azure, Azure CLI, dan Azure PowerShell.

Penting

Jika brankas kunci tidak mengaktifkan perlindungan penghapusan sementara, menghapus kunci akan menghapusnya secara permanen. Pelanggan sangat dianjurkan untuk mengaktifkan fitur penghapusan sementara pada vault mereka melalui Azure Policy.

Gambaran umum opsi pemulihan

Azure Key Vault menyediakan beberapa opsi untuk memastikan ketersediaan dan pemulihan data vault Anda:

• Redundansi dan failover atomatik: Key Vault secara otomatis mereplikasi data di seluruh wilayah dan menangani failover selama pemadaman - lihat ketersediaan dan redundansi Azure Key Vault
• Penghapusan sementara dan perlindungan penghapusan menyeluruh (tercakup dalam artikel ini): Mencegah penghapusan objek brankas atau vault yang tidak disengaja atau berbahaya
• Cadangan dan pemulihan : Untuk rahasia, kunci, dan sertifikat individual - lihat pencadangan Azure Key Vault

Artikel ini berfokus pada fitur penghapusan sementara dan perlindungan penghapusan menyeluruh yang membantu melindungi dari penghapusan yang tidak disengaja atau berbahaya.

Prasyarat

• Langganan Azure - buat langganan secara gratis

• Azure PowerShell.

• Azure CLI

• Key Vault - Anda dapat membuatnya menggunakan portal AzureAzure CLI, atau Azure PowerShell

• Pengguna memerlukan izin berikut (pada tingkat langganan) untuk melakukan operasi pada vault yang dihapus sementara:

  Izin	Deskripsi
  Microsoft.KeyVault/locations/deletedVaults/read	Lihat properti brankas kunci yang dihapus sementara
  Microsoft. KeyVault/locations/deletedVaults/purge/action	Pulihkan sepenuhnya brankas kunci yang terhapus sementara
  Microsoft.KeyVault/locations/operationResults/read	Untuk memeriksa status pembersihan vault
  Key Vault Kontributor	Untuk memulihkan vault yang dihapus sementara

Apa itu perlindungan penghapusan sementara dan menyeluruh

perlindungan Penghapusan lembut dan perlindungan pemurnian adalah dua fitur pemulihan brankas kunci yang berbeda.

Penghapusan sementara dirancang untuk mencegah penghapusan yang tidak disengaja dari brankas serta kunci, rahasia, dan sertifikat yang disimpan di dalam brankas kunci. Bayangkan penghapusan lunak seperti tempat sampah. Saat Anda menghapus brankas kunci atau objek dalam brankas kunci, brankas kunci tersebut akan tetap dapat dipulihkan selama periode retensi yang dapat dikonfigurasi oleh pengguna atau selama 90 hari default. Brankas kunci dalam status dihapus sementara juga dapat dihapus menyeluruh (dihapus secara permanen), memungkinkan Anda membuat ulang brankas kunci dan objek brankas kunci dengan nama yang sama. Memulihkan dan menghapus brankas kunci dan objek memerlukan izin kebijakan akses tingkat tinggi. Setelah penghapusan sementara diaktifkan, penghapusan tidak dapat dinonaktifkan.

Penting untuk dicatat bahwa nama brankas kunci unik secara global, sehingga Anda tidak dapat membuat brankas kunci dengan nama yang sama dengan brankas kunci dalam status dihapus sementara. Demikian pula, nama kunci, rahasia, dan sertifikat unik dalam brankas kunci. Anda tidak dapat membuat rahasia, kunci, atau sertifikat dengan nama yang sama dengan yang lain dalam status dihapus sementara.

Perlindungan penghapusan menyeluruh dirancang untuk mencegah penghapusan brankas kunci, kunci, rahasia, dan sertifikat Anda oleh orang dalam yang berbahaya. Anggap saja sebagai keranjang sampah dengan kunci berbasis waktu. Anda dapat memulihkan item kapan saja selama periode retensi yang dapat dikonfigurasi. Anda tidak akan dapat menghapus atau mengosongkan brankas kunci secara permanen hingga periode retensi berlalu. Setelah periode retensi berlalu, brankas kunci atau objek brankas kunci akan otomatis dihapus sepenuhnya.

Catatan

Perlindungan penghapusan menyeluruh dirancang agar tidak ada peran atau izin administrator yang dapat mengambil alih, menonaktifkan, atau menghindari perlindungan penghapusan menyeluruh. Saat perlindungan penghapusan diaktifkan, perlindungan tersebut tidak dapat dinonaktifkan atau diabaikan oleh siapa pun termasuk Microsoft. Ini berarti Anda harus memulihkan brankas kunci yang dihapus atau menunggu hingga periode retensi selesai sebelum menggunakan kembali nama brankas kunci.

Fitur-fitur ini sangat direkomendasikan untuk lingkungan produksi.

Untuk informasi selengkapnya tentang penghapusan sementara, lihat gambaran umum penghapusan sementara Azure Key Vault

Portal Azure

Verifikasi apakah penghapusan sementara diaktifkan pada key vault dan aktifkan penghapusan sementara

1. Masuk ke portal Azure.
2. Pilih brankas kunci Anda.
3. Pilih bilah "Properti".
4. Verifikasi apakah tombol radio di samping penghapusan lunak diatur ke "Aktifkan Pemulihan".
5. Jika penghapusan sementara tidak diaktifkan pada brankas kunci, pilih tombol radio untuk mengaktifkan penghapusan sementara dan pilih "Simpan".

Di Properti, Penghapusan sementara disorot, sebagaimana nilai untuk mengaktifkannya.

Memberikan akses ke perwakilan layanan untuk menghapus menyeluruh dan memulihkan rahasia yang dihapus

1. Masuk ke portal Azure.
2. Pilih brankas kunci Anda.
3. Pilih bilah "Kebijakan Akses".
4. Dalam tabel, temukan baris dari prinsipal keamanan yang ingin Anda beri akses (atau tambahkan prinsipal keamanan baru).
5. Pilih menu drop-down untuk kunci, sertifikat, dan rahasia.
6. Gulir ke bagian bawah drop-down dan pilih "Pulihkan" dan "Hapus"
7. Prinsip keamanan juga memerlukan fungsionalitas "get" dan "list" untuk melakukan sebagian besar operasi.

Di panel navigasi kiri, Kebijakan Akses disorot. Pada Kebijakan Akses, daftar drop-down Rahasia ditampilkan, dan empat item dipilih: Ambil, Daftar, Pulihkan, dan Bersihkan.

Daftar, pulihkan, atau hapus secara permanen gudang kunci yang terhapus sementara

1. Masuk ke portal Azure.
2. Pilih bilah pencarian di bagian atas halaman.
3. Cari layanan "Key Vault". Jangan pilih brankas kunci individual.
4. Di bagian atas layar, pilih opsi untuk "Kelola vault yang dihapus"
5. Panel konteks terbuka di sisi kanan layar Anda.
6. Pilih langganan Anda.
7. Jika brankas kunci Anda telah dihapus sementara, brankas tersebut akan muncul di panel konteks di sebelah kanan.
8. Jika terlalu banyak vault, Anda dapat memilih "Muat Lainnya" di bagian bawah panel konteks atau menggunakan CLI atau PowerShell untuk mendapatkan hasilnya.
9. Setelah Anda menemukan brankas yang ingin dipulihkan atau dihapus, pilih kotak centang di sebelahnya.
10. Pilih opsi pulihkan di bagian bawah panel konteks jika Anda ingin memulihkan brankas kunci.
11. Pilih opsi hapus menyeluruh jika Anda ingin menghapus brankas kunci secara permanen.

Pada Brankas Kunci, opsi Kelola brankas yang telah dihapus disorot.

Pada halaman Kelola brankas kunci yang dihapus, satu-satunya brankas kunci yang tercantum disorot dan dipilih, serta tombol Pulihkan pun disorot.

Catat, pulihkan, atau hapus secara permanen rahasia, kunci, dan sertifikat yang dihapus sementara

1. Masuk ke portal Azure.
2. Pilih brankas kunci Anda.
3. Pilih blade yang sesuai dengan jenis rahasia yang ingin Anda kelola (kunci, rahasia, atau sertifikat).
4. Di bagian atas layar, pilih "Kelola yang dihapus (kunci, rahasia, atau sertifikat)
5. Panel konteks muncul di sisi kanan layar Anda.
6. Jika rahasia, kunci, atau sertifikat Anda tidak muncul dalam daftar, mereka tidak dalam status dihapus sementara.
7. Pilih rahasia, kunci, atau sertifikat yang ingin Anda kelola.
8. Pilih opsi untuk memulihkan atau menghapus menyeluruh di bagian bawah panel konteks.

Pada bagian Kunci, opsi Kelola kunci yang dihapus disorot.

Azure CLI

Key Vault (CLI)

• Verifikasi apakah penyimpanan kunci memiliki fitur penghapusan sementara yang diaktifkan.

  az keyvault show --subscription <subscription-id> -g <resource-group> -n <vault-name>
  

• Aktifkan penghapusan sementara untuk key vault

  Semua brankas kunci baru memiliki penghapusan sementara yang aktif secara default. Jika saat ini Anda memiliki brankas kunci yang tidak mengaktifkan penghapusan sementara, gunakan perintah berikut untuk mengaktifkan penghapusan sementara.

  az keyvault update --subscription <subscription-id> -g <resource-group> -n <vault-name> --enable-soft-delete true
  

• Hapus brankas kunci (dapat dipulihkan jika fitur soft delete diaktifkan)

  az keyvault delete --subscription <subscription-id> -g <resource-group> -n <vault-name>
  

• Daftar semua brankas kunci yang dihapus secara sementara

  az keyvault list-deleted --subscription <subscription-id> --resource-type vault
  

• Pulihkan Key Vault yang Dihapus Sementara

  az keyvault recover --subscription <subscription-id> -n <vault-name>
  

• Purga brankas kunci yang dihapus sementara (PERINGATAN! OPERASI INI AKAN MENGHAPUS BRANKAS KUNCI ANDA SECARA PERMANEN)

  az keyvault purge --subscription <subscription-id> -n <vault-name>
  

• Aktifkan perlindungan penghapusan menyeluruh pada brankas-kunci

  az keyvault update --subscription <subscription-id> -g <resource-group> -n <vault-name> --enable-purge-protection true
  

Sertifikat (CLI)

• Memberikan akses untuk membersihkan dan memulihkan sertifikat

  az role assignment create --role "Key Vault Certificates Officer" --assignee <user-principal-name> --scope /subscriptions/<subscription-id>/resourceGroups/<resource-group>/providers/Microsoft.KeyVault/vaults/<vault-name>
  

• Hapus sertifikat (pindah ke status dihapus sementara)

  Catatan

  Perintah az keyvault certificate delete tidak digunakan lagi. Ketika penghapusan sementara diaktifkan pada brankas kunci Anda (yang sekarang menjadi default), perintah ini memindahkan sertifikat ke status dihapus sementara daripada menghapusnya secara permanen. Anda kemudian dapat menggunakan az keyvault certificate recover untuk memulihkannya, atau az keyvault certificate purge untuk menghapusnya secara permanen. Untuk informasi selengkapnya, lihat gambaran umum penghapusan sementara Azure Key Vault.

  az keyvault certificate delete --subscription <subscription-id> --vault-name <vault-name> --name <certificate-name>
  

• Mendaftarkan sertifikat yang dihapus

  az keyvault certificate list-deleted --subscription <subscription-id> --vault-name <vault-name>
  

• Memulihkan sertifikat yang dihapus

  az keyvault certificate recover --subscription <subscription-id> --vault-name <vault-name> --name <certificate-name>
  

• Hapus permanen sertifikat yang dihapus sementara (PERINGATAN! OPERASI INI AKAN MENGHAPUS SERTIFIKAT ANDA SECARA PERMANEN)

  az keyvault certificate purge --subscription <subscription-id> --vault-name <vault-name> --name <certificate-name>
  

Kunci (CLI)

• Memberikan akses untuk menghapus dan memulihkan kunci

  az role assignment create --role "Key Vault Crypto Officer" --assignee <user-principal-name> --scope /subscriptions/<subscription-id>/resourceGroups/<resource-group>/providers/Microsoft.KeyVault/vaults/<vault-name>
  

• Hapus kunci

  az keyvault key delete --subscription <subscription-id> --vault-name <vault-name> --name <key-name>
  

• Mendaftarkan kunci yang dihapus

  az keyvault key list-deleted --subscription <subscription-id> --vault-name <vault-name>
  

• Memulihkan kunci yang dihapus

  az keyvault key recover --subscription <subscription-id> --vault-name <vault-name> --name <key-name>
  

• Hapus menyeluruh kunci yang dihapus sementara (PERINGATAN! OPERASI INI AKAN MENGHAPUS KUNCI ANDA SECARA PERMANEN)

  az keyvault key purge --subscription <subscription-id> --vault-name <vault-name> --name <key-name>
  

Rahasia (CLI)

• Memberikan akses untuk menghapus dan memulihkan rahasia

  az role assignment create --role "Key Vault Secrets Officer" --assignee <user-principal-name> --scope /subscriptions/<subscription-id>/resourceGroups/<resource-group>/providers/Microsoft.KeyVault/vaults/<vault-name>
  

• Hapus rahasia (pindah ke status dihapus sementara)

  Catatan

  Perintah az keyvault secret delete tidak digunakan lagi. Saat penghapusan sementara diaktifkan pada brankas kunci Anda (yang sekarang menjadi default), perintah ini memindahkan rahasia ke status dihapus sementara daripada menghapusnya secara permanen. Anda kemudian dapat menggunakan az keyvault secret recover untuk memulihkannya, atau az keyvault secret purge untuk menghapusnya secara permanen. Untuk informasi selengkapnya, lihat gambaran umum penghapusan sementara Azure Key Vault.

  az keyvault secret delete --subscription <subscription-id> --vault-name <vault-name> --name <secret-name>
  

• Mendaftarkan rahasia yang dihapus

  az keyvault secret list-deleted --subscription <subscription-id> --vault-name <vault-name>
  

• Memulihkan rahasia yang dihapus

  az keyvault secret recover --subscription <subscription-id> --vault-name <vault-name> --name <secret-name>
  

• Hapus menyeluruh rahasia yang dihapus sementara (PERINGATAN! OPERASI INI AKAN MENGHAPUS RAHASIA ANDA SECARA PERMANEN)

  az keyvault secret purge --subscription <subscription-id> --vault-name <vault-name> --name <secret-name>
  

Azure PowerShell

Key Vault (PowerShell)

• Verifikasi apakah penyimpanan kunci memiliki fitur penghapusan sementara yang diaktifkan.

  Get-AzKeyVault -VaultName "<vault-name>"
  

• Hapus brankas kunci

  Remove-AzKeyVault -VaultName "<vault-name>"
  

• Daftar semua brankas kunci yang dihapus secara sementara

  Get-AzKeyVault -InRemovedState
  

• Pulihkan Key Vault yang Dihapus Sementara

  Undo-AzKeyVaultRemoval -VaultName "<vault-name>" -ResourceGroupName "<resource-group>" -Location "<location>"
  

• Hapus permanen brankas kunci yang dihapus sementara (PERINGATAN! OPERASI INI AKAN MENGHAPUS BRANKAS KUNCI ANDA SECARA PERMANEN)

  Remove-AzKeyVault -VaultName "<vault-name>" -InRemovedState -Location "<location>"
  

• Aktifkan perlindungan penghapusan menyeluruh pada brankas-kunci

  Update-AzKeyVault -VaultName "<vault-name>" -ResourceGroupName "<resource-group>" -EnablePurgeProtection
  

Sertifikat (PowerShell)

• Memberikan izin untuk memulihkan dan menghapus sertifikat secara permanen

  New-AzRoleAssignment -SignInName <user-principal-name> -RoleDefinitionName "Key Vault Certificates Officer" -Scope "/subscriptions/<subscription-id>/resourceGroups/<resource-group>/providers/Microsoft.KeyVault/vaults/<vault-name>"
  

• Menghapus sertifikat

  Remove-AzKeyVaultCertificate -VaultName "<vault-name>" -Name "<certificate-name>"
  

• Mendaftarkan semua sertifikat yang dihapus dalam brankas kunci

  Get-AzKeyVaultCertificate -VaultName "<vault-name>" -InRemovedState
  

• Memulihkan sertifikat dalam status dihapus

  Undo-AzKeyVaultCertificateRemoval -VaultName "<vault-name>" -Name "<certificate-name>"
  

• Hapus total sertifikat yang dihapus sementara (PERINGATAN! OPERASI INI AKAN MENGHAPUS SERTIFIKAT ANDA SECARA PERMANEN)

  Remove-AzKeyVaultcertificate -VaultName "<vault-name>" -Name "<certificate-name>" -InRemovedState
  

Kunci (PowerShell)

• Memberikan izin untuk memulihkan dan menghapus kunci

  New-AzRoleAssignment -SignInName <user-principal-name> -RoleDefinitionName "Key Vault Crypto Officer" -Scope "/subscriptions/<subscription-id>/resourceGroups/<resource-group>/providers/Microsoft.KeyVault/vaults/<vault-name>"
  

• Menghapus kunci

  Remove-AzKeyVaultKey -VaultName "<vault-name>" -Name "<key-name>"
  

• Mendaftarkan semua kunci yang dihapus di brankas kunci

  Get-AzKeyVaultKey -VaultName "<vault-name>" -InRemovedState
  

• Untuk memulihkan kunci yang dihapus secara lunak

  Undo-AzKeyVaultKeyRemoval -VaultName "<vault-name>" -Name "<key-name>"
  

• Hapus kunci yang dihapus sementara dan akan dihapus permanen (PERINGATAN! OPERASI INI AKAN MENGHAPUS KUNCI ANDA SECARA PERMANEN)

  Remove-AzKeyVaultKey -VaultName "<vault-name>" -Name "<key-name>" -InRemovedState
  

Rahasia (PowerShell)

• Memberikan izin untuk memulihkan dan membersihkan rahasia

  New-AzRoleAssignment -SignInName <user-principal-name> -RoleDefinitionName "Key Vault Secrets Officer" -Scope "/subscriptions/<subscription-id>/resourceGroups/<resource-group>/providers/Microsoft.KeyVault/vaults/<vault-name>"
  

• Menghapus rahasia bernama SQLPassword

  Remove-AzKeyVaultSecret -VaultName "<vault-name>" -Name "<secret-name>"
  

• Mendaftarkan semua rahasia yang dihapus dalam brankas kunci

  Get-AzKeyVaultSecret -VaultName "<vault-name>" -InRemovedState
  

• Memulihkan rahasia dalam status dihapus

  Undo-AzKeyVaultSecretRemoval -VaultName "<vault-name>" -Name "<secret-name>"
  

• Bersihkan rahasia dalam keadaan dihapus (PERINGATAN! OPERASI INI AKAN MENGHAPUS KUNCI ANDA SECARA PERMANEN)

  Remove-AzKeyVaultSecret -VaultName "<vault-name>" -Name "<secret-name>" -InRemovedState 
  

Langkah berikutnya

• Azure Key Vault ketersediaan dan redundansi
• Pencadangan Key Vault Azure
• cmdlet PowerShell Azure Key Vault
• perintah Key Vault Azure CLI
• Cara mengaktifkan pengelogan Key Vault
• fitur keamanan Azure Key Vault
• Azure Key Vault panduan pengembang