Endpoint del servizio di rete virtuale per Key Vault di Azure

Gli endpoint servizio di rete virtuale per Azure Key Vault consentono di limitare l'accesso a una rete virtuale specificata. Gli endpoint consentono anche di limitare l'accesso a un elenco di intervalli di indirizzi IPv4 (protocollo internet versione 4). L'accesso viene negato a tutti gli utenti che si connettono all'insieme di credenziali delle chiavi dall'esterno di tali origini.

Esiste un'importante eccezione a questa limitazione. Se si sceglie di consentire i servizi Microsoft attendibili, alcuni servizi Microsoft aggirano il firewall e possono raggiungere l'insieme di credenziali. La sezione Servizi attendibili, più avanti in questo articolo, elenca i servizi che attualmente bypassano il firewall; i servizi che non sono inclusi in quella tabella richiedono una regola IP del firewall, una regola di rete virtuale o un endpoint privato per accedere all'insieme di credenziali. I servizi che ignorano il firewall devono comunque presentare un token di Microsoft Entra valido e devono disporre delle autorizzazioni (configurate Azure come assegnazioni di ruolo o criteri di accesso RBAC) per eseguire l'operazione richiesta. Per altre informazioni, vedere Endpoint servizio di rete virtuale.

Scenari di utilizzo

È possibile configurare Key Vault firewall e reti virtuali per negare l'accesso al traffico da tutte le reti (incluso il traffico Internet) per impostazione predefinita. È possibile concedere l'accesso al traffico da specifiche reti virtuali Azure e intervalli di indirizzi IP Internet pubblici, consentendo di creare un limite di rete sicuro per le applicazioni.

Note

Key Vault firewall e regole di rete virtuale si applicano solo al piano data di Key Vault. Key Vault operazioni del piano di controllo ad esempio creazione, eliminazione e modifica delle operazioni, l'impostazione di criteri di accesso, l'impostazione di firewall e regole di rete virtuale e la distribuzione di segreti o chiavi tramite modelli di Gestione risorse, non sono influenzate da firewall e regole di rete virtuale.

Di seguito sono riportati alcuni esempi di uso degli endpoint del servizio:

  • Si usa Key Vault per archiviare chiavi di crittografia, segreti dell'applicazione e certificati e bloccare l'accesso al key vault dalla rete Internet pubblica.
  • Si vuole bloccare l'accesso all'insieme di credenziali delle chiavi in modo che solo l'applicazione o un breve elenco di host designati possano connettesi all'insieme di credenziali delle chiavi.
  • Si dispone di un'applicazione in esecuzione nella rete virtuale Azure e questa rete virtuale è bloccata per tutto il traffico in ingresso e in uscita. L'applicazione deve comunque connettersi a Key Vault per recuperare segreti o certificati o usare chiavi crittografiche.

Concedere l'accesso ai servizi di Azure attendibili

È possibile concedere l'accesso ai servizi di Azure considerati attendibili al Key Vault, mantenendo le regole di rete per altre applicazioni. Questi servizi attendibili useranno quindi l'autenticazione avanzata per connettersi in modo sicuro all'insieme di credenziali delle chiavi.

È possibile concedere l'accesso ai servizi di Azure attendibili configurando le impostazioni di rete. Per indicazioni dettagliate, vedere Configurare la sicurezza di rete per Azure Key Vault.

Quando si concede l'accesso ai servizi di Azure attendibili, si concedono i tipi di accesso seguenti:

  • Accesso attendibile alle risorse registrate nella sottoscrizione per operazioni specifiche.
  • Accesso attendibile alle risorse in base a un'identità gestita.
  • Accesso attendibile tra i tenant usando una credenziale di identità federata

Quando l'opzione Consenti ai servizi Microsoft attendibili di ignorare il firewall è abilitata, i servizi elencati nella tabella Servizi attendibili possono accedere all'insieme di credenziali. Il bypass continua a essere applicato quando l'accesso pubblico è disabilitato, quindi i servizi elencati non richiedono che un endpoint privato si connetta. Se l'accesso alla rete pubblica è impostato su Secure by perimeter (tramite associazione a un perimetro di sicurezza di rete), il bypass viene sottoposto a override e anche i servizi attendibili vengono bloccati a meno che non venga ammessa una regola esplicita di accesso perimetrale.

Servizi attendibili

Nella tabella seguente sono elencati i servizi Microsoft noti per ignorare il firewall Key Vault quando è abilitata l'opzione Consenti servizi attendibili. Questa tabella riflette i servizi noti al momento della pubblicazione; I servizi di cui è stato appena eseguito l'onboarding potrebbero non essere ancora visualizzati qui.

Servizio attendibile Scenari di utilizzo supportati
Ricerca di intelligenza artificiale di Azure Configurare le chiavi gestite dal cliente per Azure AI Search dati crittografati
Gestione API di Azure Distribuire certificati per Dominio Personalizzato da Key Vault utilizzando MSI
Servizio app di Azure Il servizio app è attendibile solo per la Distribuzione del certificato dell'app Web di Azure tramite Key Vault, per l'app stessa, gli indirizzi IP in uscita possono essere aggiunti nelle regole basate sugli IP di Key Vault.
gateway applicazione di Azure Usare i certificati di Key Vault per listener abilitati per HTTPS
Backup di Azure Consentire il backup e il ripristino di chiavi e segreti pertinenti durante il backup di Macchine virtuali di Azure, usando Backup di Azure.
Azure Batch Configurare le chiavi gestite dal cliente per gli account Batch e Key Vault per gli account Batch della sottoscrizione utente
Azure servizio Bot La crittografia per i dati inattivi di Servizio di Azure AI Bot
Rete CDN di Azure Configurare HTTPS in un dominio personalizzato della rete CDN di Azure: concedere l'accesso alla rete CDN di Azure all'insieme di credenziali delle chiavi
Registro Azure Container Crittografia del registro con chiavi gestite dal cliente
Azure Data Factory Recupera le credenziali dell'archivio di dati in Key Vault da Data Factory
Azure Data Lake Store Crittografia dei dati in Azure Data Lake Store con una chiave gestita dal cliente.
Gestore Dati Azure per l'Agricoltura Archiviare e usare le proprie chiavi di licenza
Azure Database per MySQL Server singolo Crittografia dei dati per server singolo di Database di Azure per MySQL
Server flessibile di Database di Azure per MySQL Crittografia dei dati per server flessibile di Database di Azure per MySQL
Database di Azure per PostgreSQL server singolo Crittografia dei dati per server singolo di Database di Azure per PostgreSQL
Server flessibile di Database di Azure per PostgreSQL Crittografia dei dati per server flessibile di Database di Azure per PostgreSQL
Azure Databricks Servizio di analisi veloce, facile e collaborativo basato su Apache Spark
Crittografia dischi di Azure servizio di crittografia del volume Consentire l'accesso alla chiave BitLocker (Windows VM) o alla passphrase DM (VM Linux) e alla chiave di crittografia della chiave durante la distribuzione della macchina virtuale. In questo modo Crittografia dischi di Azure.
archiviazione su disco di Azure Se configurato con un set di crittografia dischi (DES). Per altre informazioni, vedere Crittografazione lato server di archiviazione su disco di Azure tramite chiavi gestite dal cliente.
Hub eventi di Azure Consentire l'accesso a un insieme di credenziali delle chiavi per uno scenario di chiavi gestite dal cliente
Azure ExpressRoute Quando usare MACsec con ExpressRoute Direct
Firewall di Azure Premium certificati Firewall di Azure Premium
Frontdoor di Azure versione classica Uso dei certificati di Key Vault per HTTPS
Frontdoor di Azure Standard/Premium Uso dei certificati di Key Vault per HTTPS
Servizio Azure di importazione/esportazione Utilizzare chiavi gestite dal cliente in Azure Key Vault per il servizio di Importazione/Esportazione
Azure Information Protection Consentire l'accesso alla chiave del tenant per Azure Information Protection.
Azure Machine Learning Proteggi Azure Machine Learning in una rete virtuale
Monitoraggio di Azure Accesso al cluster dedicato di Log Analytics a un insieme di credenziali delle chiavi per lo scenario delle chiavi gestite dal cliente
Azure NetApp Files Consenti l'accesso alle chiavi gestite dal cliente in Azure Key Vault
Analisi di Criteri di Azure Criteri del piano di controllo per segreti, chiavi archiviate nel piano dati
Azure Resource Manager servizio di distribuzione dei modelli Passare valori protetti durante la distribuzione.
bus di servizio di Azure Consentire l'accesso a un insieme di credenziali delle chiavi per uno scenario di chiavi gestite dal cliente
database SQL di Azure Transparent Data Encryption con supporto Bring Your Own Key per database SQL di Azure e Azure Synapse Analytics.
Archiviazione di Azure Crittografia del Servizio di Archiviazione utilizzando chiavi gestite dal cliente in Azure Key Vault.
Azure Synapse Analytics Crittografa dei dati usando chiavi gestite dal cliente in Azure Key Vault
servizio di distribuzione Macchine virtuali di Azure Distribuire i certificati alle macchine virtuali da Key Vault gestito dal cliente.
Exchange Online, SharePoint Online, M365DataAtRestEncryption Consentire l'accesso alle chiavi gestite dal cliente per la crittografia dei dati inattivi con chiave del cliente.
Microsoft PowerPlatform Crittografia dei dati in Power Platform tramite chiavi gestite dal cliente.
Microsoft Purview Utilizza le credenziali per l'autenticazione di origine in Microsoft Purview

Note

È necessario configurare le assegnazioni di ruolo Controllo degli accessi in base al ruolo di Azure o i criteri di accesso pertinenti per Key Vault i criteri di accesso (legacy) pertinenti per Key Vault in modo da consentire ai servizi corrispondenti di ottenere l'accesso a Key Vault.

Passaggi successivi

  • Last updated on