Настройка оповещений Azure Key Vault

Статья
04/11/2024

Когда вы начнете использовать Azure Key Vault для хранения секретов рабочей среды, важно отслеживать работоспособность хранилища ключей, чтобы знать, что служба работает должным образом.

После начала масштабирования службы количество запросов, отправленных в хранилище ключей, будет возрастать. Этот рост может увеличить задержку запросов. В крайних случаях он может привести к регулированию запросов и повлиять на производительность службы. Вам также нужно будет знать, если хранилище ключей отправляет необычное количество кодов ошибок, чтобы быстро решать проблемы, связанные с настройкой политики доступа или брандмауэра.

В этой статье описано, как настроить оповещения при достижении заданных пороговых значений, чтобы команда могла получать уведомления о необходимости немедленных действий, если хранилище ключей находится в неработоспособном состоянии. Можно настроить оповещения, которые отправляют сообщение электронной почты (желательно членам команды из списка рассылки), инициируют отправку уведомлений Сетки событий Azure, звонят по номеру телефона или отправляют на него SMS-сообщение.

Вы можете выбрать один из следующих типов оповещений:

Статическое оповещение на основе фиксированного значения
Динамическое оповещение о том, что в течение заданного диапазона времени отслеживаемая метрическая метрика несколько раз превысила средний предел хранилища ключей

Внимание

Обратите внимание, что новым настроенным оповещениям может потребоваться до 10 минут, чтобы начать отправку уведомлений.

В этой статье основное внимание уделяется оповещениям для Key Vault. Подробнее об аналитических сведениях Key Vault, которые объединяют данные журналов и метрик в качестве глобального решения для мониторинга, см. в статье Мониторинг хранилища ключей с помощью аналитических сведений Key Vault.

Настройка группы действий

Группа действий — это настраиваемый список уведомлений и свойств. На первом этапе настройки оповещений создается группа действий и выбирается тип оповещения:

Войдите на портал Azure.
Выполните поиск по ключевому слову оповещения в поле поиска.
Выберите Управление действиями.
Выберите + Добавить группу действий.
Выберите значение Тип действия для группы действий. В этом примере мы создадим оповещение по электронной почте и SMS. Выберите Эл. почта, SMS, push-уведомление или звонок.
В диалоговом окне введите данные для отправки электронной почты и SMS, а затем выберите ОК.

Настройка пороговых значений для оповещений

Затем создайте правило и настройте пороговые значения, которые будут вызывать оповещение.

Выберите ресурс хранилища ключей на портале Azure и щелкните Оповещения в разделе Мониторинг.
Выберите Новое правило генерации оповещений.
Выберите область действия правила генерации оповещений. Можно выбрать одно или несколько хранилищ.

Внимание

Если в качестве области действия оповещений выбираются несколько хранилищ, все они должны находиться в одном регионе. Для хранилищ в разных регионах потребуется настроить отдельные правила генерации оповещений.
Выберите пороговые значения, которые определяют логику оповещений, и щелкните Добавить. Команда Key Vault рекомендует настроить следующие пороговые значения для большинства приложений, но их можно настроить в зависимости от потребностей приложения:
- Доступность Key Vault падает ниже 100 % (статическое пороговое значение)
Внимание

Это оповещение в настоящее время неправильно включает длительные операции и сообщает о них, как служба недоступна. Вы можете отслеживать журналы Key Vault, чтобы узнать, возникают ли сбои операций из-за недоступности службы.
- Задержка Key Vault больше 1000 мс (статическое пороговое значение)
Примечание.

Целью порогового значения 1000 мс является уведомление о том, что служба Key Vault в этом регионе имеет рабочую нагрузку выше средней. Соглашение об уровне обслуживания для операций Key Vault несколько раз выше, см . соглашение об уровне обслуживания для веб-служб для текущего соглашения об уровне обслуживания. Чтобы оповещать, когда операции Key Vault не входят в соглашение об уровне обслуживания, используйте пороговые значения из документов об уровне обслуживания.
- Общая насыщенность хранилища превышает 75 % (статическое пороговое значение)
- Общая насыщенность хранилища выше средней (динамическое пороговое значение)
- Общее количество кодов ошибок выше среднего (динамическое пороговое значение)

Пример. Настройка статического порогового значения для оповещений о задержке

Выберите Общая задержка API службы в качестве имени сигнала.
Используйте следующие параметры конфигурации:
- Порог — Статический.
- Оператор — Больше.
- Тип агрегирования — Средний.
- Пороговое значение — 1000.
- Степень детализации агрегата (период) — 5 минут.
- Периодичность вычисления — Каждую минуту.
Нажмите кнопку Готово.

Пример. Настройка динамического порогового значения для оповещения о насыщенности хранилища

При использовании динамического оповещения вы сможете просматривать исторические данные выбранного хранилища ключей. Синяя область представляет среднее использование хранилища ключей. Красная область показывает пиковые значения, которые привели к генерации оповещений, если другие условия конфигурации оповещений были соблюдены. Красные точки показывают экземпляры нарушений, для которых в агрегированном временном окне были выполнены условия оповещения.

Снимок экрана, показывающий график общей насыщенности хранилища.

Можно настроить срабатывание оповещения после определенного количества нарушений в течение заданного времени. Если вы не хотите включать исторические данные, их можно исключить в дополнительных параметрах.

Используйте следующие параметры конфигурации:
- Задайте для параметра "Имя измерения" значение "Тип транзакции" и "Значения измерения" для хранилища.
- Порог — Динамический.
- Оператор — Больше.
- Тип агрегирования — Средний.
- Порог чувствительности — Средний.
- Степень детализации агрегата (период) — 5 минут.
- Периодичность вычисления — 5 минут.
- Настройте дополнительные параметры (необязательно).
Нажмите кнопку Готово.
Щелкните Добавить, чтобы добавить настроенную группу действий.
В сведениях об оповещении включите оповещение и укажите степень его серьезности.
Создайте оповещение.

Пример оповещения по электронной почте

Если вы выполнили все предыдущие шаги, то будете получать оповещения по электронной почте, если ключ хранилища соответствует настроенным критериям оповещения. Ниже приведен пример оповещения по электронной почте.

Снимок экрана с выделенными сведениями, необходимыми для настройки оповещения по электронной почте.

Пример: оповещение запроса журнала для сертификатов с истекающим сроком действия

Вы можете настроить оповещение, чтобы уведомить вас о сертификатах, срок действия которых истекает.

Примечание.

События почти истекшего срока действия для сертификатов регистрируются через 30 дней до истечения срока действия.

Перейдите в журналы и вставьте приведенный ниже запрос в окне запроса

AzureDiagnostics
| where OperationName =~ 'CertificateNearExpiryEventGridNotification'
| extend CertExpire = unixtime_seconds_todatetime(eventGridEventProperties_data_EXP_d)
| extend DaysTillExpire = datetime_diff("Day", CertExpire, now())
| project ResourceId, CertName = eventGridEventProperties_subject_s, DaysTillExpire, CertExpire

Выберите Новое правило генерации оповещений
На вкладке "Условие" используется следующая конфигурация:
- В наборе измерений степень детализации агрегирования до 1 дня
- В разделе "Разделение по измерениям " задайте для столбцаидентификатора ресурса значение ResourceId.
- Задайте CertName и DayTillExpire в качестве измерений.
- В логике генерации оповещений задано пороговое значение0 и частота оценки до 1 дня.
На вкладке "Действия" настройка оповещения для отправки сообщения электронной почты
1. Выберите команду "Создать группу действий"
2. Настройка группы действий Create
3. Настройка уведомлений для отправки сообщения электронной почты
4. Настройка сведений для активации предупреждения
5. Нажмите Проверить и создать.