Güvenlik duvarı arkasındaki Azure Key Vault erişimi

Güvenlik duvarının arkasından bir anahtar kasasına erişmek için istemci uygulamanızın aşağıdaki işlevler için birden çok uç noktaya erişebilmesi gerekir:

  • Authentication: Güvenlik sorumlusunun kimliğini doğrulamak için Microsoft Entra uç noktaları. Daha fazla bilgi için bkz: Azure Key Vault'ta Kimlik Doğrulama.
  • Yönetim (kontrol düzlemi): Anahtar kasalarını oluşturmak, okumak, güncellemek, silmek ve yapılandırmak için Azure Resource Manager uç noktaları.
  • Veri düzlemi erişimi: Anahtarlara, gizli dizilere ve sertifikalara erişmek ve bunları yönetmek için Key Vault özgü uç noktalar (örneğin, https://yourvaultname.vault.azure.net).

Yapılandırmanıza ve ortamınıza bağlı olarak, bazı çeşitlemeler vardır.

Uyarı

Güvenlik duvarı yapılandırma seçeneklerinin çoğu ile en az kısıtlayıcı arasında yer aldığı kapsamlı ağ güvenlik yönergeleri için bkz. Azure Key Vault güvenliğinizi güvenceye alma: Ağ güvenliği ve Azure Key Vault için ağ güvenliğini yapılandırma.

Limanlar

Üç işlevin de (kimlik doğrulama, yönetim ve veri düzlemi erişimi) anahtar kasasına giden tüm trafik HTTPS üzerinden gider: port 443. Ancak, sertifika iptal listesi (CRL) denetimleri için bazen HTTP (bağlantı noktası 80) trafiği vardır. Çevrimiçi Sertifika Durum Protokolü(OCSP) destekleyen istemcilerin CRL'ye ulaşmaması gerekir, ancak bazen Azure CA ayrıntıları'da listelenen CRL uç noktalarına ulaşabilir.

Kimlik doğrulama uç noktaları

Anahtar kasası istemci uygulamalarının kimlik doğrulaması için Microsoft Entra uç noktalarına erişmesi gerekir. Kullanılan uç nokta, Microsoft Entra kiracı yapılandırmasına, sorumlu türüne (kullanıcı sorumlusu veya hizmet sorumlusu) ve hesap türüne (örneğin, bir Microsoft hesabı veya iş veya okul hesabı) bağlıdır. Kimlik doğrulaması hakkında daha fazla bilgi için bkz. Authentication in Azure Key Vault.

Asıl tür Son nokta: bağlantı noktası
Microsoft hesabı kullanan kullanıcı
(örneğin, user@hotmail.com)		 login.live.com:443

Genel:
login.microsoftonline.com:443

21Vianet tarafından işletilen Microsoft Azure:
login.chinacloudapi.cn:443

Azure ABD Kamu:
login.microsoftonline.us:443
Microsoft Entra ID olan bir iş veya okul hesabı kullanan kullanıcı veya hizmet sorumlusu (örneğin, user@contoso.com) Genel:
login.microsoftonline.com:443

21Vianet tarafından işletilen Microsoft Azure:
login.chinacloudapi.cn:443

Azure ABD Kamu:
login.microsoftonline.us:443
İş veya okul hesabı kullanan kullanıcı veya hizmet sorumlusu ile Active Directory Federasyon Hizmetleri (AD FS) (AD FS) veya başka bir federasyon uç noktası (örneğin, user@contoso.com) İş veya okul hesabı için tüm uç noktaların yanı sıra AD FS veya diğer federasyon uç noktaları

Kimlik doğrulama senaryoları ve akışları hakkında daha fazla bilgi için bkz. Microsoft Entra kimlik doğrulama akışı, Microsoft Entra ID ve Active Directory Kimlik Doğrulama Protokolleri ile Uygulamaları Yeniden Dağıtma.

Denetim düzlemi uç noktaları

Key Vault yönetim işlemleri (CRUD ve erişim ilkesini ayarlama) için key vault istemci uygulamasının Azure Resource Manager uç noktalara erişmesi gerekir. Daha fazla bilgi edinmek için denetim düzlemi ve veri düzlemi erişim modeline ilişkin Azure rol tabanlı erişim denetimiyle Key Vault anahtarlarına, sertifikalarına ve gizli bilgilerle erişim sağlama konusuna bakınız.

İşlem türü Son nokta: bağlantı noktası
Key Vault kontrol düzlemi işlemleri
Azure Resource Manager aracılığıyla		 Genel:
management.azure.com:443

21Vianet tarafından işletilen Microsoft Azure:
management.chinacloudapi.cn:443

Azure ABD Kamu:
management.usgovcloudapi.net:443
Microsoft Graph API'si Genel:
graph.microsoft.com:443

21Vianet tarafından işletilen Microsoft Azure:
graph.chinacloudapi.cn:443

Azure ABD Kamu:
graph.microsoft.com:443

Veri düzlemi uç noktaları

Tüm anahtar kasası nesnesi (anahtarlar, gizli diziler ve sertifikalar) yönetimi ve şifreleme işlemleri için anahtar kasası istemcisinin anahtar kasası uç noktasına erişmesi gerekir. Anahtar kasanızın bulunduğu konuma bağlı olarak uç nokta DNS soneki değişir. Anahtar kasası uç noktası, aşağıdaki tabloda açıklandığı gibi kasa-adı.bölgeye-özel-dns-eki biçimindedir.

İşlem türü Son nokta: bağlantı noktası
Anahtarlardaki şifreleme işlemleri de dahil olmak üzere işlemler; anahtarları ve gizli dizileri oluşturma, okuma, güncelleştirme ve silme; anahtar kasası nesnelerinde (anahtarlar veya gizli diziler) etiketleri ve diğer öznitelikleri ayarlama veya alma Genel:
<vault-name.vault.azure.net:443>

21Vianet tarafından işletilen Microsoft Azure:
<vault-name.vault.azure.cn:443>

Azure ABD Kamu:
<vault-name.vault.usgovcloudapi.net:443>

IP adresi aralıkları

Key Vault hizmeti PaaS altyapısı gibi diğer Azure kaynaklarını kullandığından, Key Vault hizmet uç noktalarının belirli bir zamanda sahip olduğu belirli bir IP adresi aralığı sağlamak mümkün değildir. Güvenlik duvarınız yalnızca IP adresi aralıklarını destekliyorsa Microsoft Azure Datacenter IP Aralıkları belgelerine bakın:

Kimlik Doğrulaması ve Kimlik (Microsoft Entra ID) genel bir hizmettir ve bildirimde bulunmadan diğer bölgelere yükü devredebilir veya trafiği başka bölgelere yönlendirebilir. Bu senaryoda, Kimlik Doğrulaması ve Kimlik IP Adresleri'nde listelenen tüm IP aralıklarını güvenlik duvarına ekleyin.

Sonraki Adımlar

  • Son güncelleştirme: