Kueri contoh Azure Resource Graph untuk Azure Key Vault

Halaman ini berisi kumpulan kueri sampel Azure Resource Graph untuk Azure Key Vault.

Contoh pertanyaan

Menghitung sumber daya brankas kunci

Kueri menggunakan count bukan summarize untuk menghitung jumlah data yang dihasilkan. Hanya brankas kunci yang dihitung.

Resources
| where type =~ 'microsoft.keyvault/vaults'
| count

az graph query -q "Resources | where type =~ 'microsoft.keyvault/vaults' | count"

Brankas kunci tanpa penghapusan sementara diaktifkan

Kueri ini mengidentifikasi brankas kunci yang tidak mengaktifkan penghapusan sementara, yang merupakan fitur keamanan penting yang memungkinkan pemulihan objek brankas kunci yang dihapus.

Resources
| where type =~ 'microsoft.keyvault/vaults'
| where properties.enableSoftDelete == false or isnull(properties.enableSoftDelete)
| project name, resourceGroup, subscriptionId, location, properties.enableSoftDelete

az graph query -q "Resources | where type =~ 'microsoft.keyvault/vaults' | where properties.enableSoftDelete == false or isnull(properties.enableSoftDelete) | project name, resourceGroup, subscriptionId, location, properties.enableSoftDelete"

Brankas kunci tanpa perlindungan penghapusan menyeluruh diaktifkan

Kueri ini menemukan brankas kunci yang tidak mengaktifkan perlindungan penghapusan permanen. Perlindungan pencabutan direkomendasikan untuk lingkungan produksi untuk mencegah penghapusan permanen objek brankas kunci selama masa penyimpanan.

Resources
| where type =~ 'microsoft.keyvault/vaults'
| where properties.enablePurgeProtection != true
| project name, resourceGroup, subscriptionId, location, softDeleteEnabled = properties.enableSoftDelete, purgeProtectionEnabled = properties.enablePurgeProtection

az graph query -q "Resources | where type =~ 'microsoft.keyvault/vaults' | where properties.enablePurgeProtection != true | project name, resourceGroup, subscriptionId, location, softDeleteEnabled = properties.enableSoftDelete, purgeProtectionEnabled = properties.enablePurgeProtection"

Peti Aman Kunci menggunakan otorisasi RBAC

Kueri ini mencantumkan Key Vault yang menggunakan Azure RBAC untuk otorisasi daripada kebijakan akses. Otorisasi RBAC adalah pendekatan yang direkomendasikan untuk mengelola akses ke bidang data brankas kunci.

Resources
| where type =~ 'microsoft.keyvault/vaults'
| extend rbacEnabled = properties.enableRbacAuthorization
| project name, resourceGroup, subscriptionId, location, rbacEnabled
| where rbacEnabled == true

az graph query -q "Resources | where type =~ 'microsoft.keyvault/vaults' | extend rbacEnabled = properties.enableRbacAuthorization | project name, resourceGroup, subscriptionId, location, rbacEnabled | where rbacEnabled == true"

Penyimpanan kunci dengan akses jaringan publik diaktifkan

Kueri ini mengidentifikasi brankas kunci yang memungkinkan akses jaringan publik. Untuk keamanan yang ditingkatkan, pertimbangkan untuk membatasi akses ke jaringan tertentu atau menggunakan titik akhir privat.

Resources
| where type =~ 'microsoft.keyvault/vaults'
| extend networkDefaultAction = tostring(properties.networkAcls.defaultAction)
| where networkDefaultAction =~ 'Allow' or isnull(networkDefaultAction)
| project name, resourceGroup, subscriptionId, location, networkDefaultAction

az graph query -q "Resources | where type =~ 'microsoft.keyvault/vaults' | extend networkDefaultAction = tostring(properties.networkAcls.defaultAction) | where networkDefaultAction =~ 'Allow' or isnull(networkDefaultAction) | project name, resourceGroup, subscriptionId, location, networkDefaultAction"

Ringkasan konfigurasi keamanan penyimpanan kunci

Kueri ini menyediakan ringkasan status keamanan yang komprehensif untuk semua brankas kunci, termasuk status penghapusan sementara, perlindungan pembersihan, otorisasi RBAC, dan pengaturan jaringan.

Resources
| where type =~ 'microsoft.keyvault/vaults'
| extend 
    softDeleteEnabled = tobool(properties.enableSoftDelete),
    purgeProtectionEnabled = tobool(properties.enablePurgeProtection),
    rbacEnabled = tobool(properties.enableRbacAuthorization),
    networkDefaultAction = tostring(properties.networkAcls.defaultAction),
    sku = tostring(properties.sku.name)
| project name, resourceGroup, subscriptionId, location, sku, softDeleteEnabled, purgeProtectionEnabled, rbacEnabled, networkDefaultAction
| order by name asc

az graph query -q "Resources | where type =~ 'microsoft.keyvault/vaults' | extend softDeleteEnabled = tobool(properties.enableSoftDelete), purgeProtectionEnabled = tobool(properties.enablePurgeProtection), rbacEnabled = tobool(properties.enableRbacAuthorization), networkDefaultAction = tostring(properties.networkAcls.defaultAction), sku = tostring(properties.sku.name) | project name, resourceGroup, subscriptionId, location, sku, softDeleteEnabled, purgeProtectionEnabled, rbacEnabled, networkDefaultAction | order by name asc"

Brankas kunci menurut lokasi

Kueri ini menghitung brankas kunci yang dikelompokkan menurut wilayah Azure, yang berguna untuk memahami distribusi geografis sumber daya manajemen kunci Anda.

Resources
| where type =~ 'microsoft.keyvault/vaults'
| summarize count() by location
| order by count_ desc

az graph query -q "Resources | where type =~ 'microsoft.keyvault/vaults' | summarize count() by location | order by count_ desc"

Brankas kunci menurut jenis SKU

Kueri ini mengelompokkan brankas kunci berdasarkan tingkat SKU mereka (standar atau premium). SKU premium diperlukan untuk kunci yang dilindungi HSM.

Resources
| where type =~ 'microsoft.keyvault/vaults'
| extend skuName = tostring(properties.sku.name)
| summarize count() by skuName

az graph query -q "Resources | where type =~ 'microsoft.keyvault/vaults' | extend skuName = tostring(properties.sku.name) | summarize count() by skuName"

Ruang Penyimpanan Kunci dengan Nama Langganan

Kueri berikut menunjukkan penggunaan kompleks join dengan jenis sebagai left outer. Kueri membatasi tabel gabungan untuk sumber daya langganan dan dengan project hanya menyertakan bidang asli subscriptionId dan bidang nama yang diganti namanya menjadi SubName. Penggantian nama bidang menghindari join menambahkannya sebagai nama1 karena bidang sudah ada di sumber daya. Tabel asli difilter dengan where dan project berikut menyertakan kolom dari kedua tabel. Hasil kueri menunjukkan semua brankas kunci, menampilkan jenis, nama brankas kunci, dan nama langganan tempat brankas tersebut berada.

Resources
| join kind=leftouter (ResourceContainers | where type=='microsoft.resources/subscriptions' | project SubName=name, subscriptionId) on subscriptionId
| where type == 'microsoft.keyvault/vaults'
| project type, name, SubName

az graph query -q "Resources | join kind=leftouter (ResourceContainers | where type=='microsoft.resources/subscriptions' | project SubName=name, subscriptionId) on subscriptionId | where type == 'microsoft.keyvault/vaults' | project type, name, SubName"

Langkah selanjutnya

  • Terakhir diperbarui pada