Definir configurações de rede do Azure Key Vault

Este artigo fornecerá orientações sobre como configurar as configurações de rede do Cofre da Chave do Azure para trabalhar com outros aplicativos e serviços do Azure. Para saber mais sobre as diferentes configurações de segurança de rede em detalhes, leia aqui.

Aqui estão instruções passo a passo para configurar o firewall do Cofre da Chave e redes virtuais usando o portal do Azure, a CLI do Azure e o Azure PowerShell

Portal

1. Navegue até o cofre de chaves que deseja proteger.
2. Selecione Rede e, em seguida, selecione a guia Firewalls e redes virtuais.
3. Em Permitir acesso de, selecione Redes selecionadas.
4. Para adicionar redes virtuais existentes a firewalls e regras de rede virtual, selecione + Adicionar redes virtuais existentes.
5. Na nova folha que se abre, selecione a subscrição, as redes virtuais e as sub-redes que pretende permitir o acesso a este cofre de chaves. Se as redes virtuais e sub-redes selecionadas não tiverem pontos de extremidade de serviço habilitados, confirme se deseja habilitar pontos de extremidade de serviço e selecione Habilitar. Pode levar até 15 minutos para fazer efeito.
6. Em Redes IP, adicione intervalos de endereços IPv4 digitando intervalos de endereços IPv4 na notação CIDR (Roteamento entre domínios sem classe) ou endereços IP individuais.
7. Se quiser permitir que o Microsoft Trusted Services ignore o Firewall do Cofre da Chave, selecione 'Sim'. Para obter uma lista completa dos atuais Serviços Confiáveis do Cofre de Chaves, consulte o link a seguir. Serviços Confiáveis do Azure Key Vault
8. Selecione Guardar.

Você também pode adicionar novas redes virtuais e sub-redes e, em seguida, habilitar pontos de extremidade de serviço para as redes virtuais e sub-redes recém-criadas, selecionando + Adicionar nova rede virtual. Em seguida, siga as instruções.

CLI do Azure

Veja como configurar firewalls do Cofre da Chave e redes virtuais usando a CLI do Azure

1. Instale a CLI do Azure e entre.

2. Listar regras de rede virtual disponíveis. Se você não tiver definido nenhuma regra para esse cofre de chaves, a lista ficará vazia.

   az keyvault network-rule list --resource-group myresourcegroup --name mykeyvault
   

3. Habilite um ponto de extremidade de serviço para o Cofre da Chave em uma rede virtual e sub-rede existentes.

   az network vnet subnet update --resource-group "myresourcegroup" --vnet-name "myvnet" --name "mysubnet" --service-endpoints "Microsoft.KeyVault"
   

4. Adicione uma regra de rede para uma rede virtual e uma sub-rede.

   subnetid=$(az network vnet subnet show --resource-group "myresourcegroup" --vnet-name "myvnet" --name "mysubnet" --query id --output tsv)
   az keyvault network-rule add --resource-group "demo9311" --name "demo9311premium" --subnet $subnetid
   

5. Adicione um intervalo de endereços IP a partir do qual permitir o tráfego.

   az keyvault network-rule add --resource-group "myresourcegroup" --name "mykeyvault" --ip-address "191.10.18.0/24"
   

6. Se esse cofre de chaves deve ser acessível por quaisquer serviços confiáveis, defina bypass como AzureServices.

   az keyvault update --resource-group "myresourcegroup" --name "mykeyvault" --bypass AzureServices
   

7. Ative as regras de rede definindo a ação padrão como Deny.

   az keyvault update --resource-group "myresourcegroup" --name "mekeyvault" --default-action Deny
   

PowerShell

Nota

Recomendamos que utilize o módulo Azure Az do PowerShell para interagir com o Azure. Para começar, consulte Instalar o Azure PowerShell. Para saber como migrar para o módulo do Az PowerShell, veja Migrar o Azure PowerShell do AzureRM para o Az.

Veja como configurar firewalls e redes virtuais do Cofre da Chave usando o PowerShell:

1. Instale o Azure PowerShell mais recente e entre.

2. Listar regras de rede virtual disponíveis. Se você não tiver definido nenhuma regra para este cofre de chaves, a lista estará vazia.

   (Get-AzKeyVault -VaultName "mykeyvault").NetworkAcls
   

3. Habilite o ponto de extremidade de serviço para o Cofre da Chave em uma rede virtual e sub-rede existentes.

   Get-AzVirtualNetwork -ResourceGroupName "myresourcegroup" -Name "myvnet" | Set-AzVirtualNetworkSubnetConfig -Name "mysubnet" -AddressPrefix "10.1.1.0/24" -ServiceEndpoint "Microsoft.KeyVault" | Set-AzVirtualNetwork
   

4. Adicione uma regra de rede para uma rede virtual e uma sub-rede.

   $subnet = Get-AzVirtualNetwork -ResourceGroupName "myresourcegroup" -Name "myvnet" | Get-AzVirtualNetworkSubnetConfig -Name "mysubnet"
   Add-AzKeyVaultNetworkRule -VaultName "mykeyvault" -VirtualNetworkResourceId $subnet.Id
   

5. Adicione um intervalo de endereços IP a partir do qual permitir o tráfego.

   Add-AzKeyVaultNetworkRule -VaultName "mykeyvault" -IpAddressRange "16.17.18.0/24"
   

6. Se esse cofre de chaves deve ser acessível por quaisquer serviços confiáveis, defina bypass como AzureServices.

   Update-AzKeyVaultNetworkRuleSet -VaultName "mykeyvault" -Bypass AzureServices
   

7. Ative as regras de rede definindo a ação padrão como Deny.

   Update-AzKeyVaultNetworkRuleSet -VaultName "mykeyvault" -DefaultAction Deny
   

Referências

• Referência de modelo ARM: Referência de modelo ARM do Azure Key Vault
• Comandos da CLI do Azure: az keyvault network-rule
• Cmdlets do Azure PowerShell: Get-AzKeyVault, Add-AzKeyVaultNetworkRule, Remove-AzKeyVaultNetworkRule, Update-AzKeyVaultNetworkRuleSet

Próximos passos

• Pontos de extremidade de serviço de rede virtual para o Cofre da Chave
• Visão geral da segurança do Azure Key Vault