L'eliminazione temporanea verrà abilitata in tutti gli insiemi di credenziali delle chiavi

Avviso

Modifica che causa un'interruzione: è necessario abilitare immediatamente l'eliminazione temporanea sugli insiemi di credenziali delle chiavi. Per informazioni dettagliate, vedi di seguito.

Se un segreto viene eliminato e l'insieme di credenziali delle chiavi non dispone di una protezione relativa all’eliminazione temporanea, l’eliminazione è definitiva. Anche se gli utenti possono attualmente rifiutare esplicitamente l'eliminazione temporanea durante la creazione dell'insieme di credenziali delle chiavi, questa funzionalità è deprecata. Dal mese di febbraio 2025, Microsoft abiliterà la protezione dall'eliminazione temporanea in tutti gli insiemi di credenziali delle chiavi e gli utenti non avranno più la possibilità di rifiutarla esplicitamente o disabilitarla. In questo modo, i segreti vengono protetti dall'eliminazione accidentale o dannosa da parte di un utente.

Per informazioni dettagliate sulla funzionalità di eliminazione temporanea, vedere Panoramica dell'eliminazione temporanea di Azure Key Vault.

L'applicazione può funzionare con l'eliminazione temporanea abilitata?

I nomi degli insiemi di credenziali delle chiavi sono univoci a livello globale. Anche i nomi dei segreti archiviati in un insieme di credenziali delle chiavi sono univoci. Non sarà possibile riutilizzare il nome di un insieme di credenziali delle chiavi o di un oggetto al suo interno se è nello stato di eliminazione temporanea.

Se ad esempio l'applicazione crea a livello di codice un insieme di credenziali delle chiavi denominato "Insieme di credenziali delle chiavi A" e in seguito lo elimina, l'insieme di credenziali delle chiavi passa nello stato di eliminazione temporanea. L'applicazione non potrà ricreare un altro insieme di credenziali delle chiavi denominato "Insieme di credenziali delle chiavi A" finché quello eliminato temporaneamente non verrà rimosso definitivamente.

Inoltre, se l'applicazione crea una chiave denominata test key nell'"Insieme di credenziali delle chiavi A" e in seguito la elimina, non potrà creare una nuova chiave denominata test key nell'"Insieme di credenziali delle chiavi A" finché l'oggetto test key eliminato temporaneamente non verrà rimosso definitivamente.

Il tentativo di eliminare un oggetto dell'insieme di credenziali delle chiavi e di ricrearlo con lo stesso nome senza prima rimuoverlo definitivamente dallo stato di eliminazione temporanea può generare errori di conflitto. Questi errori possono creare problemi nell'applicazione o nell'automazione. Prima di apportare le seguenti modifiche necessarie nell'applicazione e nell'amministrazione, consultare il team di sviluppo.

Modifiche dell'applicazione

Se l'applicazione presuppone che l'eliminazione temporanea non sia abilitata e prevede che i nomi di segreto o di insiemi di credenziali delle chiavi eliminati siano disponibili per il riutilizzo immediato, sarà necessario apportare le modifiche seguenti alla logica dell'applicazione.

1. Eliminare l'insieme di credenziali delle chiavi o il segreto originale.
2. Rimuovere definitivamente l'insieme di credenziali delle chiavi o il segreto nello stato di eliminazione temporanea.
3. Attendere che venga completata la rimozione definitiva. La ricreazione immediata potrebbe causare un conflitto.
4. Ricreare l'insieme di credenziali delle chiavi con lo stesso nome.
5. Se l'operazione di creazione genera comunque un errore di conflitto di nomi, provare a ricreare nuovamente l'insieme di credenziali delle chiavi. L'aggiornamento dei record DNS di Azure potrebbe richiedere fino a 10 minuti nello scenario peggiore.

Modifiche dell'amministrazione

Alle entità di sicurezza che devono accedere per eliminare permanentemente i segreti è necessario concedere autorizzazioni aggiuntive dei criteri di accesso per rimuovere definitivamente questi segreti e l'insieme di credenziali delle chiavi.

Disabilitare eventuali assegnazioni di Criteri di Azure negli insiemi di credenziali delle chiavi che impongono la disattivazione dell'eliminazione temporanea. Può essere necessario inoltrare questo problema a un amministratore che controlla le assegnazioni di criteri di Azure applicate all'ambiente. Se questi criteri di assegnazione non vengono disabilitati, potrebbe non essere possibile creare nuovi insiemi di credenziali delle chiavi nell'ambito in cui sono applicati.

Se l'organizzazione è soggetta a requisiti di conformità legali e non può consentire la conservazione di insiemi di credenziali delle chiavi e segreti eliminati in uno stato recuperabile per un periodo prolungato di tempo, sarà necessario modificare il periodo di conservazione dell'eliminazione temporanea per soddisfare gli standard dell'organizzazione. È possibile configurare la durata del periodo di conservazione da 7 a 90 giorni.

Procedure

Controllare gli insiemi di credenziali delle chiavi per verificare se l'eliminazione temporanea è abilitata

1. Accedere al portale di Azure.
2. Cercare Criteri di Azure.
3. Selezionare Definizioni.
4. Nel filtro di Categoria selezionare Key Vault.
5. Selezionare il criterio Nell'insieme di credenziali delle chiavi deve essere abilitata la funzionalità di eliminazione temporanea.
6. Seleziona Assegna.
7. Impostare l'ambito della sottoscrizione.
8. Assicurarsi che l'effetto del criterio sia impostato su Controllo.
9. Selezionare Rivedi e crea. Possono essere necessarie fino a 24 ore prima che venga completata un'analisi completa dell'ambiente.
10. Nel riquadro Criteri di Azure fare clic su Conformità.
11. Selezionare il criterio applicato.

A questo punto è possibile filtrare e verificare per quali insiemi di credenziali delle chiavi è abilitata l'eliminazione temporanea (risorse conformi) e per quali non è abilitata (risorse non conformi).

Attivare l'eliminazione temporanea per un insieme di credenziali delle chiavi esistente

1. Accedere al portale di Azure.
2. Cercare l'insieme di credenziali delle chiavi.
3. Seleziona Proprietà in Impostazioni.
4. In Eliminazione temporanea selezionare l'opzione Abilita il ripristino di questo insieme di credenziali e dei rispettivi oggetti.
5. Impostare il periodo di conservazione per l'eliminazione temporanea.
6. Seleziona Salva.

Concedere le autorizzazioni di rimozione dei criteri di accesso a un'entità di sicurezza

1. Accedere al portale di Azure.
2. Cercare l'insieme di credenziali delle chiavi.
3. Selezionare Criteri di accesso in Impostazioni.
4. Selezionare l'entità servizio a cui concedere l'accesso.
5. Spostarsi tra i menu a discesa Chiave, Segreto e Autorizzazioni del certificato fino a visualizzare Operazioni con privilegi. Selezionare l'autorizzazione Rimuovi definitivamente.

Domande frequenti

Quali sono gli effetti di questa modifica?

Se l'eliminazione temporanea è già stata attivata o se non si eliminano e si ricreano oggetti dell'insieme di credenziali delle chiavi con lo stesso nome, è probabile che non si noterà alcuna modifica nel comportamento dell'insieme di credenziali delle chiavi.

Se un'applicazione elimina e ricrea spesso oggetti dell'insieme di credenziali delle chiavi con le stesse convenzioni di denominazione, sarà necessario apportare modifiche alla logica dell'applicazione per mantenere il comportamento previsto. Vedere la sezione Modifiche dell'applicazione in questo articolo.

Quali sono i vantaggi di questa modifica?

La protezione dell'eliminazione temporanea fornisce all'organizzazione un ulteriore livello di protezione da eliminazioni accidentali o dolose. L'amministratore dell'insieme di credenziali delle chiavi può limitare l'accesso alle autorizzazioni di ripristino e a quelle di rimozione definitiva.

Se un utente elimina accidentalmente un insieme di credenziali delle chiavi o un segreto, è possibile concedergli autorizzazione di accesso per ripristinarlo autonomamente senza rischiare che lo elimini definitivamente. Questo processo self-service ridurrà al minimo il tempo di inattività nell'ambiente e garantirà la disponibilità dei segreti.

Come si può sapere se è necessario intervenire?

Seguire i passaggi descritti nella sezione Controllare gli insiemi di credenziali delle chiavi per verificare se l'eliminazione temporanea è abilitata in questo articolo. Questa modifica influirà su qualsiasi insieme di credenziali delle chiavi per cui l'eliminazione temporanea non è attivata.

Quali azioni è necessario intraprendere?

Dopo aver verificato che non è necessario apportare modifiche alla logica dell'applicazione, attivare l'eliminazione temporanea in tutti gli insiemi di credenziali delle chiavi.

Quando è necessario intervenire?

Per assicurarsi che le applicazioni non siano interessate, attivare l'eliminazione temporanea negli insiemi di credenziali delle chiavi il prima possibile.

Passaggi successivi

• Per eventuali domande su questa modifica, inviare un messaggio all'indirizzo akvsoftdelete@microsoft.com.
• Leggere la panoramica dell'eliminazione temporanea.