A exclusão reversível será habilitada em todos os cofres de chaves
Aviso
Alteração interruptiva: você precisa habilitar a exclusão reversível em seus cofres de chaves imediatamente. Veja abaixo para obter mais detalhes.
Se um segredo for excluído e o cofre de chaves não tiver proteção de exclusão reversível, ele será excluído permanentemente. Embora atualmente os usuários possam recusar a exclusão temporária durante a criação do cofre de chaves, essa capacidade foi preterida. Em fevereiro de 2025, a Microsoft habilitará a proteção de exclusão reversível em todos os cofres de chaves, e os usuários não poderão mais recusar nem desativar a exclusão reversível. Isso protegerá os segredos de exclusão acidental ou mal-intencionada por usuários.
Para obter detalhes completos sobre a funcionalidade de exclusão reversível, confira Visão geral da exclusão reversível do Azure Key Vault.
Meu aplicativo poderá funcionar com a exclusão reversível habilitada?
Os nomes do cofre de chaves são globalmente exclusivos. Os nomes de segredos armazenados em um cofre de chaves também são exclusivos. Você não poderá reutilizar o nome de um cofre de chaves ou um objeto do cofre de chaves que exista no estado de exclusão reversível.
Por exemplo, se o seu aplicativo criar programaticamente um cofre de chaves chamado "Cofre A" e, posteriormente, excluir o "Cofre A", o cofre de chaves será movido para o estado excluído reversivelmente. O aplicativo não poderá recriar outro cofre de chaves chamado "Cofre A" até que o cofre de chaves seja limpo do estado de exclusão reversível.
Além disso, se o aplicativo criar uma chave chamada test key no "Cofre A" e posteriormente excluir essa chave, ele não poderá criar uma nova chave chamada test key no "Cofre A" até que o objeto test key seja limpo do estado excluído reversivelmente.
Tentativas de excluir um objeto do cofre de chaves e recriá-lo com o mesmo nome sem limpá-lo primeiro do estado de exclusão reversível poderão resultar em erros de conflito. Esses erros podem fazer com que os seus aplicativos ou automação falhem. Consulte sua equipe de desenvolvimento antes de fazer as alterações administrativas e de aplicativo necessárias a seguir.
Mudanças do aplicativo
Se o seu aplicativo pressupor que a exclusão reversível não está habilitada e espera que os nomes do segredo ou do cofre de chaves excluídos estejam disponíveis para reutilização imediata, você precisará fazer as alterações a seguir na lógica do aplicativo.
- Exclua o cofre de chaves ou o segredo original.
- Limpe o cofre de chaves ou o segredo no estado de exclusão reversível.
- Aguarde a conclusão da limpeza. A recriação imediata pode resultar em um conflito.
- Crie novamente o cofre de chaves com o mesmo nome.
- Se a operação de criação ainda resultar em um erro de conflito de nome, tente recriar o cofre de chaves novamente. Os registros de DNS do Azure podem levar até dez minutos para serem atualizados no pior cenário.
Mudanças na administração
As entidades de segurança que precisam de acesso para excluir permanentemente os segredos precisam receber permissões de política de acesso adicionais para limpar esses segredos e o cofre de chaves.
Desative a atribuição do Azure Policy nos cofres de chaves que ordenem a desativação da exclusão reversível. Talvez seja necessário escalonar esse problema para um administrador que controla as atribuições do Azure Policy aplicadas ao seu ambiente. Se essa atribuição de política não for desabilitada, você poderá perder a capacidade de criar cofres de chaves no escopo da atribuição de política aplicada.
Se a sua organização estiver sujeita a requisitos de conformidade legal e não puder permitir que os cofres de chaves e os segredos excluídos permaneçam em um estado recuperável por um longo período, você precisará ajustar o período de retenção da exclusão reversível para atender aos padrões da sua organização. Você pode configurar o período de retenção para durar de 7 a 90 dias.
Procedimentos
Auditar os seus cofres de chaves para verificar se a exclusão reversível está habilitada
- Entre no portal do Azure.
- Pesquise por Azure Policy.
- Selecione Definições.
- Em Categoria, selecione Key Vault no filtro.
- Selecione a política O cofre de chaves deve estar com a exclusão reversível habilitada.
- Selecione Atribuir.
- Defina o escopo da sua assinatura.
- Defina o efeito da política como Auditoria.
- Selecione Examinar + criar. Pode levar até 24 horas para que uma verificação completa do seu ambiente seja concluída.
- No painel Azure Policy, clique em Conformidade.
- Selecione a política que você aplicou.
Agora, você conseguirá filtrar e ver quais cofres de chaves têm a exclusão reversível habilitada (recursos em conformidade) e quais deles não têm a exclusão reversível habilitada (recursos sem conformidade).
Ativar a exclusão reversível para um cofre de chaves existente
- Entre no portal do Azure.
- Pesquise o seu cofre de chaves.
- Selecione Propriedades em Configurações.
- Em Exclusão Reversível, selecione a opção Habilitar a recuperação deste cofre e dos respectivos objetos.
- Defina o período de retenção para a exclusão reversível.
- Clique em Salvar.
Conceder permissões de política de acesso de limpeza a uma entidade de segurança
- Entre no portal do Azure.
- Pesquise o seu cofre de chaves.
- Selecione Políticas de Acesso em Configurações.
- Selecione a entidade de serviço à qual você deseja permitir acesso.
- Percorra cada menu suspenso em Chave, Segredo e Permissões de certificado até ver Operações Privilegiadas. Selecione a permissão Limpar.
Perguntas frequentes
Esta alteração me afeta?
Se você já tiver a exclusão reversível ativada ou se você não excluir e recriar os objetos do cofre de chaves com o mesmo nome, provavelmente não observará nenhuma alteração no comportamento do cofre de chaves.
Se você tiver um aplicativo que exclui e recria com frequência objetos do cofre de chaves com as mesmas convenções de nomenclatura, precisará fazer alterações na lógica do aplicativo para manter o comportamento esperado. Consulte a seção Alterações no aplicativo neste artigo.
Como fazer para me beneficiar desta mudança?
A proteção de exclusão reversível oferece à sua organização uma camada adicional de proteção contra exclusão acidental ou mal-intencionada. Como administrador do cofre de chaves, você pode restringir o acesso às permissões de recuperação e de limpeza.
Se um usuário excluir acidentalmente um cofre de chaves ou um segredo, você poderá conceder a eles permissões de acesso para recuperar o segredo em si sem criar o risco de excluir permanentemente o segredo ou o cofre de chaves. Esse processo de autoatendimento minimizará o tempo de inatividade no seu ambiente e garantirá a disponibilidade dos seus segredos.
Como fazer para descobrir se preciso executar ações?
Siga as etapas na seção Auditar seus cofres de chaves para verificar se a exclusão reversível está habilitada neste artigo. Qualquer cofre de chaves que não tenha a exclusão reversível ativada será afetado por essa alteração.
Quais ações preciso realizar?
Depois de confirmar que você não precisa fazer alterações na lógica do aplicativo, ative a exclusão reversível em todos os cofres de chaves.
Quando preciso executar ações?
Para garantir que os seus aplicativos não sejam afetados, ative a exclusão reversível nos seus cofres de chaves assim que possível.
Próximas etapas
- Entre em contato conosco com perguntas sobre essa alteração em akvsoftdelete@microsoft.com.
- Leia a Visão geral da exclusão reversível.