Gerenciamento de recuperação do Azure Key Vault com proteção de exclusão e limpeza suave
Artigo
Este artigo aborda dois recursos de recuperação do Cofre de Chaves do Azure, exclusão suave e proteção contra limpeza. Este documento fornece uma visão geral desses recursos e mostra como gerenciá-los por meio do portal do Azure, da CLI do Azure e do Azure PowerShell.
Importante
Se um cofre de chaves não tiver a proteção de exclusão suave habilitada, excluir uma chave a excluirá permanentemente. Os clientes são fortemente incentivados a ativar a imposição de exclusão suave para seus cofres por meio da Política do Azure.
Para obter mais informações sobre o Cofre da Chave, consulte
A proteção contra exclusão suave e limpeza são dois recursos diferentes de recuperação do cofre de chaves.
A exclusão suave foi projetada para evitar a exclusão acidental do cofre de chaves e chaves, segredos e certificados armazenados dentro do cofre de chaves. Pense em soft-delete como uma lixeira. Quando você exclui um cofre de chaves ou um objeto de cofre de chaves, ele permanece recuperável por um período de retenção configurável pelo usuário ou um padrão de 90 dias. Os cofres de chaves no estado de exclusão suave também podem ser limpos (excluídos permanentemente), permitindo que você recrie cofres de chaves e objetos de cofre de chaves com o mesmo nome. Tanto a recuperação quanto a exclusão de cofres de chaves e objetos exigem permissões de política de acesso elevadas. Uma vez que a exclusão suave tenha sido ativada, ela não poderá ser desativada.
É importante notar que os nomes dos cofres de chaves são globalmente exclusivos, portanto, você não pode criar um cofre de chaves com o mesmo nome de um cofre de chaves no estado de exclusão suave. Da mesma forma, os nomes de chaves, segredos e certificados são exclusivos dentro de um cofre de chaves. Não é possível criar um segredo, chave ou certificado com o mesmo nome de outro no estado de exclusão suave.
A proteção contra limpeza foi projetada para impedir a exclusão do cofre de chaves, chaves, segredos e certificados por um insider mal-intencionado. Pense nisso como uma lixeira com um bloqueio baseado no tempo. Você pode recuperar itens a qualquer momento durante o período de retenção configurável. Você não poderá excluir ou limpar permanentemente um cofre de chaves até que o período de retenção termine. Uma vez decorrido o período de retenção, o objeto do cofre da chave ou do cofre da chave é limpo automaticamente.
Nota
A Proteção contra Limpeza foi projetada para que nenhuma função ou permissão de administrador possa substituir, desabilitar ou contornar a proteção contra limpeza. Quando a proteção contra limpeza está ativada, não pode ser desativada ou substituída por ninguém, incluindo a Microsoft. Isto significa que tem de recuperar um cofre de chaves eliminado ou aguardar que o período de retenção termine antes de reutilizar o nome do cofre de chaves.
Verifique se a exclusão suave está habilitada em um cofre de chaves e habilite a exclusão suave
Inicie sessão no portal do Azure.
Selecione o cofre das chaves.
Selecione a folha "Propriedades".
Verifique se o botão de opção ao lado de soft-delete está definido como "Enable Recovery".
Se a exclusão suave não estiver habilitada no cofre de chaves, selecione o botão de opção para ativar a exclusão suave e selecione "Salvar".
Conceder acesso a uma entidade de serviço para limpar e recuperar segredos excluídos
Inicie sessão no portal do Azure.
Selecione o cofre das chaves.
Selecione a folha "Política de acesso".
Na tabela, localize a linha da entidade de segurança à qual você deseja conceder acesso (ou adicione uma nova entidade de segurança).
Selecione a lista suspensa para chaves, certificados e segredos.
Role até a parte inferior da lista suspensa e selecione "Recuperar" e "Limpar"
As entidades de segurança também precisam das funcionalidades "get" e "list" para executar a maioria das operações.
Listar, recuperar ou limpar um cofre de chaves excluído por software
Inicie sessão no portal do Azure.
Selecione a barra de pesquisa na parte superior da página.
Procure o serviço "Cofre de Chaves". Não selecione um cofre de chaves individual.
Na parte superior do ecrã, selecione a opção "Gerir cofres eliminados"
Um painel de contexto é aberto no lado direito da tela.
Selecione a sua subscrição.
Se o cofre de chaves tiver sido excluído suavemente, ele aparecerá no painel de contexto à direita.
Se houver muitos cofres, você pode selecionar "Carregar mais" na parte inferior do painel de contexto ou usar a CLI ou o PowerShell para obter os resultados.
Depois de encontrar o cofre que deseja recuperar ou limpar, marque a caixa de seleção ao lado dele.
Selecione a opção Recuperar na parte inferior do painel de contexto se pretender recuperar o cofre de chaves.
Selecione a opção de limpeza se quiser excluir permanentemente o cofre de chaves.
Listar, recuperar ou limpar segredos, chaves e certificados excluídos por software
Inicie sessão no portal do Azure.
Selecione o cofre das chaves.
Selecione a folha correspondente ao tipo de segredo que você deseja gerenciar (chaves, segredos ou certificados).
Na parte superior da tela, selecione "Gerenciar excluídos (chaves, segredos ou certificados)
Um painel de contexto aparece no lado direito da tela.
Se o seu segredo, chave ou certificado não aparecer na lista, ele não está no estado de exclusão suave.
Selecione o segredo, a chave ou o certificado que deseja gerenciar.
Selecione a opção para recuperar ou limpar na parte inferior do painel de contexto.
Cofre da Chave (CLI)
Verificar se um cofre de chaves tem a exclusão suave habilitada
az keyvault show --subscription {SUBSCRIPTION ID} -g {RESOURCE GROUP} -n {VAULT NAME}
Ativar soft-delete no cofre de chaves
Todos os novos cofres de chaves têm exclusão suave habilitada por padrão. Se você tiver atualmente um cofre de chaves que não tenha a exclusão suave habilitada, use o seguinte comando para habilitar a exclusão suave.
