Gestione del ripristino di Azure Key Vault con protezione dall'eliminazione temporanea e dalla rimozione definitiva
Questo articolo illustra due funzionalità di ripristino di Azure Key Vault, protezione dall'eliminazione temporanea e la protezione dalla rimozione definitiva. Questo documento offre una panoramica di queste funzionalità e illustra come gestirle tramite il portale di Azure, l'interfaccia della riga di comando di Azure e Azure PowerShell.
Importante
Se per un insieme di credenziali delle chiavi non è abilitata la protezione per l'eliminazione temporanea, l'eliminazione di una chiave lo elimina definitivamente. I clienti sono fortemente invitati a attivare l'applicazione dell'eliminazione temporanea per gli insiemi di credenziali tramite Criteri di Azure.
Per altre informazioni su Key Vault, vedere:
Prerequisiti
Sottoscrizione di Azure: creare un account gratuitamente
Un insieme di credenziali delle chiavi. È possibile crearne uno con il portale di Azure, l'interfaccia della riga di comando di Azure o Azure PowerShell.
L'utente deve disporre delle autorizzazioni seguenti (a livello di sottoscrizione) per eseguire operazioni sugli insiemi di credenziali eliminati temporaneamente:
Autorizzazione Descrizione Microsoft.KeyVault/locations/deletedVaults/read Visualizza le proprietà di un Key Vault eliminato temporaneamente Microsoft.KeyVault/locations/deletedVaults/purge/action Ripulisce un Key Vault eliminato temporaneamente Microsoft.KeyVault/locations/operationResults/read Per controllare lo stato di rimozione definitiva dell'insieme di credenziali Collaboratore di Key Vault Per ripristinare l'insieme di credenziali eliminato temporaneamente
Informazioni sulla protezione dall'eliminazione temporanea e dalla rimozione definitiva
La protezione dall'Eliminazione temporanea e dalla rimozione definitiva sono due funzionalità diverse del ripristino dell'insieme di credenziali delle chiavi.
L'eliminazione temporanea è progettata per impedire l'eliminazione accidentale dell'insieme di credenziali delle chiavi e delle chiavi, dei segreti e dei certificati archiviati all'interno dell'insieme di credenziali delle chiavi. Si pensi all'eliminazione temporanea come un cestino. Quando si elimina un insieme di credenziali delle chiavi o un oggetto key vault, rimane recuperabile per un periodo di conservazione configurabile dall'utente o per un valore predefinito di 90 giorni. Gli insiemi di credenziali delle chiavi nello stato di eliminazione temporanea possono anche essere eliminati definitivamente, consentendo di ricreare insiemi di credenziali delle chiavi e oggetti dell'insieme di credenziali delle chiavi con lo stesso nome. Sia il ripristino sia l'eliminazione di insiemi di credenziali delle chiavi e oggetti richiedono autorizzazioni dei criteri di accesso elevate. Dopo l'abilitazione dell'eliminazione temporanea, non sarà possibile disabilitarla.
È importante notare che i nomi dell'insieme di credenziali delle chiavi sono globalmente univoci, quindi non è possibile creare un insieme di credenziali delle chiavi con lo stesso nome di un insieme di credenziali delle chiavi nello stato eliminato temporaneamente. Analogamente, i nomi di chiavi, segreti e certificati sono univoci all'interno di un insieme di credenziali delle chiavi. Non è possibile creare un segreto, una chiave o un certificato con lo stesso nome di un altro nello stato eliminato temporaneamente.
La protezione dalla rimozione definitiva è stata progettata per impedire l'eliminazione dell'insieme di credenziali delle chiavi, di chiavi, segreti e certificati da parte di utenti malintenzionati interni. Si pensi a un cestino con un blocco basato sul tempo. È possibile ripristinare gli elementi in qualsiasi momento durante il periodo di conservazione configurabile. Non sarà possibile eliminare o rimuovere definitivamente un insieme di credenziali delle chiavi fino al termine del periodo di conservazione. Una volta trascorso il periodo di conservazione, l'insieme di credenziali delle chiavi o l'oggetto insieme di credenziali delle chiavi viene eliminato automaticamente.
Nota
La protezione dalla rimozione definitiva è stata progettata in modo che nessun ruolo amministratore o autorizzazione possa eseguire l'override, disabilitare o aggirare la protezione dalla rimozione definitiva. Quando la protezione dall'eliminazione è abilitata, non può essere disabilitata o sottoposta a override da altri utenti, incluso Microsoft. Ciò significa che è necessario ripristinare un insieme di credenziali delle chiavi eliminato o attendere che il periodo di conservazione sia trascorso prima di riutilizzare il nome dell'insieme di credenziali delle chiavi.
Per altre informazioni sull'eliminazione temporanea, vedere Panoramica dell'eliminazione temporanea di Azure Key Vault
Verificare se l'eliminazione temporanea è abilitata in un insieme di credenziali delle chiavi e abilitare l'eliminazione temporanea
- Accedere al portale di Azure.
- Selezionare l'insieme di credenziali delle chiavi.
- Selezionare il pannello "Proprietà".
- Verificare se il pulsante di opzione accanto a Eliminazione temporanea è impostato su "Abilita ripristino".
- Se l'eliminazione temporanea non è abilitata nell'insieme di credenziali delle chiavi, selezionare il pulsante di opzione per abilitare l'eliminazione temporanea e selezionare "Salva".
Concedere l'accesso a un'entità servizio per rimuovere definitivamente e ripristinare i segreti eliminati
- Accedere al portale di Azure.
- Selezionare l'insieme di credenziali delle chiavi.
- Selezionare il pannello "Criteri di accesso".
- Nella tabella trovare la riga dell'entità di sicurezza a cui si vuole concedere l'accesso o aggiungere una nuova entità di sicurezza.
- Selezionare l'elenco a discesa per chiavi, certificati e segreti.
- Scorrere fino alla fine dell'elenco a discesa e selezionare "Ripristina" e "Ripulisci"
- Per eseguire la maggior parte delle operazioni, le entità di sicurezza richiedono anche la funzionalità "get" e "list".
Elencare, ripristinare o rimuovere definitivamente un insieme di credenziali delle chiavi eliminato temporaneamente
- Accedere al portale di Azure.
- Selezionare la barra di ricerca nella parte superiore della pagina.
- Cercare il servizio "Key Vault". Non selezionare un singolo insieme di credenziali.
- Nella parte superiore della schermata selezionare l'opzione "Gestisci insiemi di credenziali eliminati"
- Viene aperto un riquadro di contesto sul lato destro dello schermo.
- Selezionare la propria sottoscrizione.
- Se l'insieme di credenziali delle chiavi è stato eliminato temporaneamente, viene visualizzato nel riquadro di contesto a destra.
- Se sono presenti troppi insiemi di credenziali, è possibile selezionare "Carica altro" nella parte inferiore del riquadro di contesto oppure usare l'interfaccia della riga di comando o PowerShell per ottenere i risultati.
- Dopo aver trovato il Key Vault che si desidera ripristinare o eliminare, selezionare la casella di controllo accanto.
- Selezionare l'opzione di ripristino nella parte inferiore del riquadro di contesto se si vuole ripristinare il key vault.
- Selezionare l'opzione ripulitura se si vuole eliminare definitivamente il Key Vault.
Elencare, ripristinare o rimuovere definitivamente segreti, chiavi e certificati eliminati temporaneamente
- Accedere al portale di Azure.
- Selezionare l'insieme di credenziali delle chiavi.
- Selezionare il pannello corrispondente al tipo di segreto che si vuole gestire (chiavi, segreti o certificati).
- Nella parte superiore della schermata selezionare "Gestisci eliminati (chiavi, segreti o certificati)
- Sul lato destro della schermata viene visualizzato un riquadro di contesto.
- Se il segreto, la chiave o il certificato non viene visualizzato nell'elenco, non si trova nello stato di eliminazione temporanea.
- Selezionare il segreto, la chiave o il certificato da gestire.
- Selezionare l'opzione per ripristinare o ripulire nella parte inferiore del riquadro di contesto.
