Herstelbeheer van Azure Key Vault met voorlopig verwijderen en opschonen
Artikel
Dit artikel bevat twee herstelfuncties van Azure Key Vault, voorlopig verwijderen en opschonen. Dit document bevat een overzicht van deze functies en laat zien hoe u deze kunt beheren via Azure Portal, Azure CLI en Azure PowerShell.
Belangrijk
Als voor een sleutelkluis geen beveiliging voor voorlopig verwijderen is ingeschakeld, verwijdert u deze definitief door een sleutel te verwijderen. Klanten worden sterk aangeraden om afdwinging van voorlopig verwijderen in te schakelen voor hun kluizen via Azure Policy.
Wat zijn beveiliging tegen voorlopig verwijderen en opschonen
Voorlopig verwijderen en opschonen zijn twee verschillende functies voor sleutelkluisherstel.
Voorlopig verwijderen is ontworpen om onbedoeld verwijderen van uw sleutelkluis en sleutels, geheimen en certificaten die zijn opgeslagen in de sleutelkluis te voorkomen. U kunt voorlopig verwijderen beschouwen als een prullenbak. Wanneer u een sleutelkluis of een sleutelkluisobject verwijdert, blijft het herstelbaar voor een door de gebruiker configureerbare bewaarperiode of een standaardperiode van 90 dagen. Sleutelkluizen met de status Voorlopig verwijderd kunnen ook worden verwijderd (permanent verwijderd), zodat u sleutelkluizen en sleutelkluisobjecten met dezelfde naam opnieuw kunt maken. Voor zowel het herstellen als verwijderen van sleutelkluizen en objecten zijn verhoogde toegangsbeleidsmachtigingen vereist. Zodra voorlopig verwijderen is ingeschakeld, kan deze niet worden uitgeschakeld.
Het is belangrijk te weten dat sleutelkluisnamen globaal uniek zijn, zodat u geen sleutelkluis met dezelfde naam als een sleutelkluis met de status Voorlopig verwijderd kunt maken. Op dezelfde manier zijn de namen van sleutels, geheimen en certificaten uniek binnen een sleutelkluis. U kunt geen geheim, sleutel of certificaat maken met dezelfde naam als een andere met de status Voorlopig verwijderd.
Beveiliging tegen opschonen is ontworpen om te voorkomen dat uw sleutelkluis, sleutels, geheimen en certificaten door een kwaadwillende insider worden verwijderd. U kunt het beschouwen als een prullenbak met een tijdvergrendeling. U kunt items op elk gewenst moment herstellen tijdens de configureerbare bewaarperiode. U kunt een sleutelkluis pas definitief verwijderen of leegmaken als de bewaarperiode is verstreken. Zodra de bewaarperiode is verstreken, wordt het sleutelkluis- of sleutelkluisobject automatisch verwijderd.
Notitie
Beveiliging tegen opschonen is zodanig ontworpen dat geen beheerdersrol of -machtiging de beveiliging tegen opschonen kan overschrijven, uitschakelen of omzeilen. Wanneer beveiliging tegen opschonen is ingeschakeld, kan deze niet worden uitgeschakeld of overschreven door iedereen, waaronder Microsoft. Dit betekent dat u een verwijderde sleutelkluis moet herstellen of moet wachten tot de retentieperiode is verstreken voordat u de naam van de sleutelkluis opnieuw gebruikt.
Zie het overzicht van voorlopig verwijderen in Azure Key Vault voor meer informatie over voorlopig verwijderen
Controleren of voorlopig verwijderen is ingeschakeld in een sleutelkluis en voorlopig verwijderen inschakelen
Meld u aan bij het Azure-portaal.
Selecteer uw sleutelkluis.
Selecteer de blade Eigenschappen.
Controleer of het keuzerondje naast voorlopig verwijderen is ingesteld op Herstel inschakelen.
Als voorlopig verwijderen niet is ingeschakeld in de sleutelkluis, selecteert u het keuzerondje om voorlopig verwijderen in te schakelen en selecteert u Opslaan.
Toegang verlenen tot een service-principal voor het opschonen en herstellen van verwijderde geheimen
Meld u aan bij het Azure-portaal.
Selecteer uw sleutelkluis.
Selecteer de blade Toegangsbeleid.
Zoek in de tabel de rij van de beveiligingsprincipaal waaraan u toegang wilt verlenen (of voeg een nieuwe beveiligingsprincipaal toe).
Selecteer de vervolgkeuzelijst voor sleutels, certificaten en geheimen.
Schuif naar de onderkant van de vervolgkeuzelijst en selecteer 'Herstellen' en 'Leegmaken'
Beveiligingsprinciplen hebben ook de functionaliteit 'get' en 'list' nodig om de meeste bewerkingen uit te voeren.
Een voorlopig verwijderde sleutelkluis weergeven, herstellen of opschonen
Meld u aan bij het Azure-portaal.
Selecteer de zoekbalk boven aan de pagina.
Zoek naar de service 'Key Vault'. Selecteer geen individuele sleutelkluis.
Selecteer bovenaan het scherm de optie Verwijderde kluizen beheren
Aan de rechterkant van het scherm wordt een contextvenster geopend.
Selecteer uw abonnement.
Als uw sleutelkluis voorlopig is verwijderd, wordt deze weergegeven in het contextvenster aan de rechterkant.
Als er te veel kluizen zijn, kunt u onderaan het contextvenster 'Meer laden' selecteren of CLI of PowerShell gebruiken om de resultaten op te halen.
Zodra u de kluis hebt gevonden die u wilt herstellen of opschonen, schakelt u het selectievakje ernaast in.
Selecteer de optie herstellen onder aan het contextvenster als u de sleutelkluis wilt herstellen.
Selecteer de optie voor opschonen als u de sleutelkluis definitief wilt verwijderen.
Voorlopig verwijderde geheimen, sleutels en certificaten weergeven, herstellen of opschonen
Meld u aan bij het Azure-portaal.
Selecteer uw sleutelkluis.
Selecteer de blade die overeenkomt met het geheime type dat u wilt beheren (sleutels, geheimen of certificaten).
Selecteer bovenaan het scherm 'Verwijderde beheren (sleutels, geheimen of certificaten)
Aan de rechterkant van het scherm wordt een contextvenster weergegeven.
Als uw geheim, sleutel of certificaat niet wordt weergegeven in de lijst, heeft het niet de status Voorlopig verwijderd.
Selecteer het geheim, de sleutel of het certificaat dat u wilt beheren.
Selecteer de optie om onder aan het contextvenster te herstellen of leeg te maken.
Key Vault (CLI)
Controleren of voorlopig verwijderen is ingeschakeld voor een sleutelkluis
az keyvault show --subscription {SUBSCRIPTION ID} -g {RESOURCE GROUP} -n {VAULT NAME}
Voorlopig verwijderen inschakelen voor key-vault
Voor alle nieuwe sleutelkluizen is voorlopig verwijderen standaard ingeschakeld. Als u momenteel een sleutelkluis hebt waarvoor voorlopig verwijderen niet is ingeschakeld, gebruikt u de volgende opdracht om voorlopig verwijderen in te schakelen.
