Tjänstslutpunkter för virtuellt nätverk för Azure Key Vault
Med tjänstslutpunkterna för virtuella nätverk för Azure Key Vault kan du begränsa åtkomsten till ett angivet virtuellt nätverk. Med slutpunkterna kan du också begränsa åtkomsten till en lista över adressintervall för IPv4 (Internet Protocol version 4). Alla användare som ansluter till ditt nyckelvalv utanför dessa källor nekas åtkomst.
Det finns ett viktigt undantag till den här begränsningen. Om en användare har valt att tillåta betrodda Microsoft-tjänster släpps anslutningar från dessa tjänster igenom brandväggen. Dessa tjänster omfattar till exempel Office 365 Exchange Online, Office 365 SharePoint Online, Azure Compute, Azure Resource Manager och Azure Backup. Sådana användare måste fortfarande presentera en giltig Microsoft Entra-token och måste ha behörigheter (konfigurerade som åtkomstprinciper) för att utföra den begärda åtgärden. Mer information finns i Tjänstslutpunkter för virtuellt nätverk.
Användningsscenarier
Du kan konfigurera Key Vault-brandväggar och virtuella nätverk för att neka åtkomst till trafik från alla nätverk (inklusive Internettrafik) som standard. Du kan ge åtkomst till trafik från specifika virtuella Azure-nätverk och offentliga IP-adressintervall för Internet, så att du kan skapa en säker nätverksgräns för dina program.
Kommentar
Key Vault-brandväggar och regler för virtuella nätverk gäller endast för dataplanet i Key Vault. Key Vault-kontrollplansåtgärder (som att skapa, ta bort och ändra åtgärder, ange åtkomstprinciper, ange brandväggar och regler för virtuella nätverk och distribuera hemligheter eller nycklar via ARM-mallar) påverkas inte av brandväggar och regler för virtuella nätverk.
Här följer några exempel på hur du kan använda tjänstslutpunkter:
- Du använder Key Vault för att lagra krypteringsnycklar, programhemligheter och certifikat, och du vill blockera åtkomsten till ditt nyckelvalv från det offentliga Internet.
- Du vill låsa åtkomsten till ditt nyckelvalv så att endast ditt program, eller en kort lista över avsedda värdar, kan ansluta till ditt nyckelvalv.
- Du har ett program som körs i ditt virtuella Azure-nätverk och det här virtuella nätverket är låst för all inkommande och utgående trafik. Programmet måste fortfarande ansluta till Key Vault för att hämta hemligheter eller certifikat eller använda kryptografiska nycklar.
Bevilja åtkomst till betrodda Azure-tjänster
Du kan ge åtkomst till betrodda Azure-tjänster till nyckelvalvet, samtidigt som du behåller nätverksregler för andra appar. Dessa betrodda tjänster använder sedan stark autentisering för att på ett säkert sätt ansluta till ditt nyckelvalv.
Du kan ge åtkomst till betrodda Azure-tjänster genom att konfigurera nätverksinställningar. Stegvis vägledning finns i konfigurationsalternativen för nätverk i den här artikeln.
När du beviljar åtkomst till betrodda Azure-tjänster beviljar du följande typer av åtkomst:
- Betrodd åtkomst för utvalda åtgärder till resurser som är registrerade i din prenumeration.
- Betrodd åtkomst till resurser baserat på en hanterad identitet.
- Betrodd åtkomst mellan klienter med hjälp av federerade identitetsautentiseringsuppgifter
Betrodda tjänster
Här är en lista över betrodda tjänster som tillåts komma åt ett nyckelvalv om alternativet Tillåt betrodda tjänster är aktiverat.
Kommentar
Du måste konfigurera relevanta RBAC-rolltilldelningar för Key Vault eller åtkomstprinciper (äldre) för att ge motsvarande tjänster åtkomst till Key Vault.
Nästa steg
- Stegvisa instruktioner finns i Konfigurera Azure Key Vault-brandväggar och virtuella nätverk
- se säkerhetsöversikten för Azure Key Vault