Gerenciamento de recuperação do Azure Key Vault com proteção de exclusão e limpeza suave

Este artigo cobre duas funcionalidades de recuperação do Azure Key Vault, exclusão temporária e proteção contra eliminação permanente. Este documento fornece uma visão geral desses recursos e mostra como gerenciá-los por meio do portal do Azure, da CLI do Azure e do Azure PowerShell.

Importante

Se um cofre de chaves não tiver a proteção de exclusão suave habilitada, excluir uma chave resultará na sua exclusão permanente. Os clientes são fortemente incentivados a ativar a aplicação de exclusão suave para suas caixas-fortes por meio da Política do Azure.

Visão geral das opções de recuperação

O Azure Key Vault fornece várias opções para garantir a disponibilidade e a capacidade de recuperação dos dados do seu cofre:

• Redundância e failover automáticos: o Azure Key Vault replica dados automaticamente entre regiões e gere o failover durante falhas - consulte Disponibilidade e redundância do Azure Key Vault
• Eliminação suave e proteção contra eliminação permanente (abordada neste artigo): impede a exclusão acidental ou maliciosa do cofre ou dos seus objetos no cofre
• Backup e restauração manual: para segredos individuais, chaves e certificados - consulte Backup do Cofre de Chaves do Azure

Este artigo se concentra em recursos de proteção de exclusão suave e limpeza que ajudam a proteger contra exclusão acidental ou maliciosa.

Pré-requisitos

• Uma subscrição do Azure - crie uma gratuitamente

• Azure PowerShell.

• Azure CLI

• Um Cofre de Chaves - você pode criar um usando o portal do Azure, o Azure CLI ou o Azure PowerShell

• O usuário precisa das seguintes permissões (no nível de assinatura) para executar operações em cofres excluídos por software:

  Permissão	Descrição
  Microsoft.KeyVault/locations/deletedVaults/read	Exibir as propriedades de um cofre de chaves eliminado temporariamente
  Microsoft.KeyVault/locations/deletedVaults/purge/action	Purgar um cofre de chaves eliminado em modo suave
  Microsoft.KeyVault/locations/operationResults/read	Para verificar o estado de purga do cofre
  Contribuidor do Key Vault	Para recuperar cofre excluído por software

O que são "soft-delete" e "purge protection"

A proteção contra exclusão suave e limpeza são dois recursos diferentes de recuperação do cofre de chaves.

Exclusão suave foi concebida para impedir a eliminação acidental do seu cofre de chaves e das chaves, segredos e certificados armazenados dentro do cofre de chaves. Pense em soft-delete como uma lixeira. Quando elimina um cofre de chaves ou um objeto de cofre de chaves, este permanece recuperável por um período de retenção configurável pelo utilizador ou pelo padrão de 90 dias. Os cofres de chaves no estado de exclusão suave também podem ser limpos (excluídos permanentemente), permitindo que você recrie cofres de chaves e objetos de cofre de chaves com o mesmo nome. Tanto a recuperação quanto a exclusão de cofres de chaves e objetos exigem permissões de política de acesso elevadas. Uma vez que a exclusão suave tenha sido ativada, ela não poderá ser desativada.

É importante notar que os nomes dos cofres de chaves são globalmente exclusivos, portanto, você não pode criar um cofre de chaves com o mesmo nome de um cofre de chaves no estado de exclusão suave. Da mesma forma, os nomes de chaves, segredos e certificados são exclusivos dentro de um cofre de chaves. Não é possível criar um segredo, chave ou certificado com o mesmo nome de outro no estado de exclusão suave.

A proteção contra limpeza foi projetada para impedir a exclusão do cofre de chaves, chaves, segredos e certificados por um insider mal-intencionado. Pense nisso como uma lixeira com um bloqueio baseado no tempo. Você pode recuperar itens a qualquer momento durante o período de retenção configurável. Você não poderá excluir ou limpar permanentemente um cofre de chaves até que o período de retenção termine. Uma vez decorrido o período de retenção, o objeto do cofre da chave ou do cofre da chave é limpo automaticamente.

Nota

A Proteção contra Limpeza foi projetada para que nenhuma função ou permissão de administrador possa substituir, desativar ou contornar a Proteção contra Limpeza. Quando a proteção contra limpeza está ativada, não pode ser desativada ou substituída por ninguém, incluindo a Microsoft. Isto significa que tem de recuperar um cofre de chaves eliminado ou aguardar que o período de retenção termine antes de reutilizar o nome do cofre de chaves.

Esses recursos são altamente recomendados para ambientes de produção.

Para obter mais informações sobre a exclusão suave, consulte Visão geral da exclusão suave do Azure Key Vault

Portal do Azure

Verifique se a exclusão suave está habilitada em um cofre de chaves e habilite a exclusão suave

1. Inicie sessão no portal do Azure.
2. Selecione o cofre das chaves.
3. Selecione o painel "Propriedades".
4. Verifique se o botão de opção ao lado de soft-delete está definido como "Enable Recovery".
5. Se a exclusão suave não estiver habilitada no cofre de chaves, selecione o botão de opção para ativar a exclusão suave e selecione "Salvar".

Em Propriedades, Soft-delete está destacado, assim como o valor para o ativar.

Conceder acesso a uma entidade de serviço para apagar e recuperar segredos eliminados.

1. Inicie sessão no portal do Azure.
2. Selecione o cofre das chaves.
3. Selecione a folha "Política de acesso".
4. Na tabela, localize a linha da entidade de segurança à qual você deseja conceder acesso (ou adicione uma nova entidade de segurança).
5. Selecione a lista suspensa para chaves, certificados e segredos.
6. Role até ao fundo do menu suspenso e selecione "Recuperar" e "Limpar"
7. As entidades de segurança também precisam das funcionalidades "get" e "list" para executar a maioria das operações.

No painel de navegação esquerdo, as políticas do Access são realçadas. Nas políticas do Access, a lista suspensa Posições secretas é mostrada e quatro itens são selecionados: Obter, Listar, Recuperar e Limpar.

Listar, recuperar ou limpar um cofre de chaves excluído por software

1. Inicie sessão no portal do Azure.
2. Selecione a barra de pesquisa na parte superior da página.
3. Procure o serviço "Key Vault". Não selecione um cofre individual de chaves.
4. Na parte superior do ecrã, selecione a opção "Gerir cofres eliminados"
5. Um painel de contexto é aberto no lado direito da tela.
6. Selecione a sua subscrição.
7. Se o cofre de chaves tiver sido excluído suavemente, ele aparecerá no painel de contexto à direita.
8. Se houver muitos cofres, poderá selecionar "Carregar mais" na parte inferior do painel de contexto ou utilizar a interface de linha de comandos ou o PowerShell para obter os resultados.
9. Depois de encontrar o cofre que deseja recuperar ou limpar, marque a caixa de seleção ao lado dele.
10. Selecione a opção Recuperar na parte inferior do painel de contexto se pretender recuperar o cofre de chaves.
11. Selecione a opção de limpeza se quiser excluir permanentemente o cofre de chaves.

Nos cofres de chaves, a opção Gerir cofres eliminados é realçada.

Em Gerenciar cofres de chaves excluídos, o único cofre de chaves listado é realçado e selecionado, e o botão Recuperar é realçado.

Listar, recuperar ou apagar segredos, chaves e certificados eliminados temporariamente

1. Inicie sessão no portal do Azure.
2. Selecione o cofre das chaves.
3. Selecione o painel correspondente ao tipo de segredo que deseja gerir (chaves, segredos ou certificados).
4. Na parte superior da tela, selecione "Gerenciar excluídos (chaves, segredos ou certificados)
5. Um painel de contexto aparece no lado direito da tela.
6. Se o seu segredo, chave ou certificado não aparecer na lista, ele não está no estado de exclusão suave.
7. Selecione o segredo, a chave ou o certificado que deseja gerenciar.
8. Selecione a opção para recuperar ou limpar na parte inferior do painel de contexto.

Em Chaves, a opção Gerir chaves eliminadas é destacada.

Cofre da Chave (CLI)

• Verificar se um cofre de chaves tem a exclusão reversível ativada

  az keyvault show --subscription {SUBSCRIPTION ID} -g {RESOURCE GROUP} -n {VAULT NAME}
  

• Ativar soft-delete no cofre de chaves

  Todos os novos cofres de chaves têm a funcionalidade de exclusão temporária ativada por padrão. Se você tiver atualmente um cofre de chaves que não tenha a exclusão suave habilitada, use o seguinte comando para habilitar a exclusão suave.

  az keyvault update --subscription {SUBSCRIPTION ID} -g {RESOURCE GROUP} -n {VAULT NAME} --enable-soft-delete true
  

• Excluir cofre de chaves (recuperável se a exclusão suave estiver ativada)

  az keyvault delete --subscription {SUBSCRIPTION ID} -g {RESOURCE GROUP} -n {VAULT NAME}
  

• Listar todos os cofres de chaves excluídos por software

  az keyvault list-deleted --subscription {SUBSCRIPTION ID} --resource-type vault
  

• Recupere o cofre de chaves apagado por software

  az keyvault recover --subscription {SUBSCRIPTION ID} -n {VAULT NAME}
  

• Purgar o cofre de chaves suavemente eliminado (AVISO! ESTA OPERAÇÃO ELIMINARÁ PERMANENTEMENTE O COFRE DE CHAVES)

  az keyvault purge --subscription {SUBSCRIPTION ID} -n {VAULT NAME}
  

• Ativar a proteção contra limpeza no cofre de chaves

  az keyvault update --subscription {SUBSCRIPTION ID} -g {RESOURCE GROUP} -n {VAULT NAME} --enable-purge-protection true
  

Certificados (CLI)

• Conceder acesso para limpar e recuperar certificados

  az keyvault set-policy --upn user@contoso.com --subscription {SUBSCRIPTION ID} -g {RESOURCE GROUP} -n {VAULT NAME}  --certificate-permissions recover purge
  

• Excluir certificado

  az keyvault certificate delete --subscription {SUBSCRIPTION ID} --vault-name {VAULT NAME} --name {CERTIFICATE NAME}
  

• Listar certificados excluídos

  az keyvault certificate list-deleted --subscription {SUBSCRIPTION ID} --vault-name {VAULT NAME}
  

• Recuperar certificado excluído

  az keyvault certificate recover --subscription {SUBSCRIPTION ID} --vault-name {VAULT NAME} --name {CERTIFICATE NAME}
  

• Limpar certificado apagado temporariamente (AVISO! ESTA OPERAÇÃO ELIMINARÁ PERMANENTEMENTE O SEU CERTIFICADO)

  az keyvault certificate purge --subscription {SUBSCRIPTION ID} --vault-name {VAULT NAME} --name {CERTIFICATE NAME}
  

Teclas (CLI)

• Conceder acesso para limpar e recuperar chaves

  az keyvault set-policy --upn user@contoso.com --subscription {SUBSCRIPTION ID} -g {RESOURCE GROUP} -n {VAULT NAME}  --key-permissions recover purge
  

• Tecla Eliminar

  az keyvault key delete --subscription {SUBSCRIPTION ID} --vault-name {VAULT NAME} --name {KEY NAME}
  

• Listar chaves excluídas

  az keyvault key list-deleted --subscription {SUBSCRIPTION ID} --vault-name {VAULT NAME}
  

• Recuperar chave excluída

  az keyvault key recover --subscription {SUBSCRIPTION ID} --vault-name {VAULT NAME} --name {KEY NAME}
  

• Purge soft-deleted chave (AVISO! ESTA OPERAÇÃO ELIMINARÁ PERMANENTEMENTE A SUA CHAVE)

  az keyvault key purge --subscription {SUBSCRIPTION ID} --vault-name {VAULT NAME} --name {KEY NAME}
  

Segredos (CLI)

• Conceder acesso para limpar e recuperar segredos

  az keyvault set-policy --upn user@contoso.com --subscription {SUBSCRIPTION ID} -g {RESOURCE GROUP} -n {VAULT NAME}  --secret-permissions recover purge
  

• Excluir segredo

  az keyvault secret delete --subscription {SUBSCRIPTION ID} --vault-name {VAULT NAME} --name {SECRET NAME}
  

• Listar segredos excluídos

  az keyvault secret list-deleted --subscription {SUBSCRIPTION ID} --vault-name {VAULT NAME}
  

• Recuperar segredo apagado

  az keyvault secret recover --subscription {SUBSCRIPTION ID} --vault-name {VAULT NAME} --name {SECRET NAME}
  

• Purgar segredo eliminado temporariamente (AVISO! ESTA OPERAÇÃO ELIMINARÁ PERMANENTEMENTE O SEU SEGREDO)

  az keyvault secret purge --subscription {SUBSCRIPTION ID} --vault-name {VAULT NAME} --name {SECRET NAME}
  

Azure PowerShell

Cofre da Chave (PowerShell)

• Verificar se um cofre de chaves tem a exclusão reversível ativada

  Get-AzKeyVault -VaultName "ContosoVault"
  

• Eliminar cofre de chaves

  Remove-AzKeyVault -VaultName 'ContosoVault'
  

• Listar todos os cofres de chaves excluídos por software

  Get-AzKeyVault -InRemovedState
  

• Recupere o cofre de chaves apagado por software

  Undo-AzKeyVaultRemoval -VaultName ContosoVault -ResourceGroupName ContosoRG -Location westus
  

• Purgar o cofre de chaves excluído temporariamente (AVISO! ESTA OPERAÇÃO ELIMINARÁ PERMANENTEMENTE O COFRE DE CHAVES)

  Remove-AzKeyVault -VaultName ContosoVault -InRemovedState -Location westus
  

• Ativar a proteção contra limpeza no cofre de chaves

  Update-AzKeyVault -VaultName ContosoVault -ResourceGroupName ContosoRG -EnablePurgeProtection
  

Certificados (PowerShell)

• Conceder permissões para recuperar e limpar certificados

  Set-AzKeyVaultAccessPolicy -VaultName ContosoVault -UserPrincipalName user@contoso.com -PermissionsToCertificates recover,purge
  

• Eliminar um Certificado

  Remove-AzKeyVaultCertificate -VaultName ContosoVault -Name 'MyCert'
  

• Listar todos os certificados excluídos em um cofre de chaves

  Get-AzKeyVaultCertificate -VaultName ContosoVault -InRemovedState
  

• Recuperar um certificado no estado excluído

  Undo-AzKeyVaultCertificateRemoval -VaultName ContosoVault -Name 'MyCert'
  

• Purgar um certificado excluído de forma temporária (AVISO! ESTA OPERAÇÃO ELIMINARÁ PERMANENTEMENTE O SEU CERTIFICADO)

  Remove-AzKeyVaultcertificate -VaultName ContosoVault -Name 'MyCert' -InRemovedState
  

Chaves (PowerShell)

• Conceder permissões para recuperar e limpar chaves

  Set-AzKeyVaultAccessPolicy -VaultName ContosoVault -UserPrincipalName user@contoso.com -PermissionsToKeys recover,purge
  

• Eliminar uma chave

  Remove-AzKeyVaultKey -VaultName ContosoVault -Name 'MyKey'
  

• Listar todas as chaves excluídas em um cofre de chaves

  Get-AzKeyVaultKey -VaultName ContosoVault -InRemovedState
  

• Para recuperar uma chave eliminada temporariamente

  Undo-AzKeyVaultKeyRemoval -VaultName ContosoVault -Name ContosoFirstKey
  

• Limpe uma chave apagada suavemente (AVISO! ESTA OPERAÇÃO ELIMINARÁ PERMANENTEMENTE A SUA CHAVE)

  Remove-AzKeyVaultKey -VaultName ContosoVault -Name ContosoFirstKey -InRemovedState
  

Segredos (PowerShell)

• Conceder permissões para recuperar e limpar segredos

  Set-AzKeyVaultAccessPolicy -VaultName ContosoVault -UserPrincipalName user@contoso.com -PermissionsToSecrets recover,purge
  

• Excluir um segredo chamado SQLPassword

  Remove-AzKeyVaultSecret -VaultName ContosoVault -Name SQLPassword
  

• Listar todos os segredos excluídos em um cofre de chaves

  Get-AzKeyVaultSecret -VaultName ContosoVault -InRemovedState
  

• Recuperar um segredo no estado apagado

  Undo-AzKeyVaultSecretRemoval -VaultName ContosoVault -Name SQLPassword
  

• Limpar um segredo em estado eliminado (AVISO! ESTA OPERAÇÃO ELIMINARÁ PERMANENTEMENTE A SUA CHAVE)

  Remove-AzKeyVaultSecret -VaultName ContosoVault -Name SQLPassword -InRemovedState 
  

Próximos passos

• Disponibilidade e redundância do Azure Key Vault
• Azure Key Vault backup
• Cmdlets do Azure Key Vault para PowerShell
• Comandos da Interface de Linha de Comando do Key Vault do Azure
• Como ativar o registo do Cofre da Chave
• Funcionalidades de segurança do Azure Key Vault
• Guia do desenvolvedor do Azure Key Vault