Azure Key Vault geçici silmeye genel bakış

  • Makale
  • Okumak için 6 dakika

Önemli

Anahtar kasalarınızda geçici silmeyi hemen etkinleştirmeniz gerekir. Geçici silmeyi geri çevirme özelliği kullanım dışıdır ve Şubat 2025'te kaldırılacaktır. Tüm ayrıntıları burada görebilirsiniz

Önemli

Bir Key Vault geçici olarak silindiğinde, Key Vault tümleştirilen hizmetler silinir. Örneğin: Azure RBAC rol atamaları ve Event Grid abonelikleri. Geçici olarak silinen bir Key Vault kurtarılması bu hizmetleri geri yüklemez. Yeniden oluşturulması gerekecektir.

Key Vault'un geçici silme özelliği silinen kasaların ve silinen anahtar kasası nesnelerinin (örneğin anahtarlar, gizli diziler, sertifikalar) kurtarılmasına olanak tanır. Özellikle aşağıdaki senaryoları ele alıyoruz: Bu koruma aşağıdaki korumaları sunar:

  • Gizli dizi, anahtar, sertifika veya anahtar kasası silindiğinde, 7 ile 90 takvim günü arasında yapılandırılabilir bir süre boyunca kurtarılabilir durumda kalır. Yapılandırma belirtilmezse varsayılan kurtarma süresi 90 gün olarak ayarlanır. Bu süre kullanıcıların yanlışlıkla silinen gizli diziyi fark etmeleri ve tepki göstermeleri için yeterli zamanı sağlar.
  • Gizli diziyi kalıcı olarak silmek için iki işlem yapılmalıdır. İlk olarak kullanıcının nesneyi silmesi gerekir ve bu işlem nesneyi geçici silme durumuna getirir. İkinci olarak kullanıcının geçici silme durumundaki nesneyi temizlemesi gerekir. Temizleme işlemi ek erişim ilkesi izinleri gerektirir. Bu ek korumalar kullanıcının bir gizli diziyi veya anahtar kasasını yanlışlıkla veya kötü amaçla silme riskini azaltır.
  • Geçici silme durumundaki gizli diziyi temizlemek için hizmet sorumlusuna ek bir "temizleme" erişim ilkesi izni verilmelidir. Temizleme erişim ilkesi izni, anahtar kasası ve abonelik sahipleri de dahil olmak üzere hiçbir hizmet sorumlusuna varsayılan olarak verilmez ve abonelik sahiplerinin kasten ayarlanması gerekir. Geçici olarak silinmiş gizli diziyi temizlemek için yükseltilmiş erişim ilkesi izninin gerekmesi, gizli dizinin yanlışlıkla silinme olasılığını düşürür.

Destekleyici arabirimler

Geçici silme özelliği REST API, Azure CLI, Azure PowerShell ve .NET/C# arabirimlerinin yanı sıra ARM şablonları aracılığıyla da kullanılabilir.

Senaryolar

Azure Key Vault'lar, Azure Resource Manager tarafından yönetilen izlenen kaynaklardır. Azure Resource Manager ayrıca silme işlemi için iyi tanımlanmış bir davranış belirtir ve bu da başarılı bir DELETE işleminin bu kaynağın artık erişilebilir olmamasıyla sonuçlanmasını gerektirir. Geçici silme özelliği, silme işleminin yanlışlıkla mı yoksa kasıtlı mı olduğu fark etmese de silinen nesnenin kurtarılmasını giderir.

  1. Tipik senaryoda, kullanıcı yanlışlıkla bir anahtar kasasını veya bir anahtar kasası nesnesini silmiş olabilir; Anahtar kasası veya anahtar kasası nesnesi önceden belirlenmiş bir süre için kurtarılabilir durumdaysa, kullanıcı silme işlemini geri alabilir ve verilerini kurtarabilir.

  2. Farklı bir senaryoda, düzenbaz bir kullanıcı iş kesintisine neden olmak için bir anahtar kasasını veya kasa içindeki anahtar gibi bir anahtar kasası nesnesini silmeye çalışabilir. Anahtar kasasının veya anahtar kasası nesnesinin silinmesini temel alınan verilerin gerçek silinmesinden ayırmak, örneğin veri silme izinlerini farklı ve güvenilir bir rolle kısıtlayarak güvenlik önlemi olarak kullanılabilir. Bu yaklaşım, aksi takdirde anında veri kaybına neden olabilecek bir işlem için etkili bir şekilde çekirdek gerektirir.

Geçici silme davranışı

Geçici silme etkinleştirildiğinde, silinmiş kaynak olarak işaretlenmiş kaynaklar belirli bir süre boyunca korunur (varsayılan olarak 90 gün). Hizmet ayrıca silinen nesneyi kurtarmak ve temelde silme işlemini geri almak için bir mekanizma sağlar.

Yeni bir anahtar kasası oluştururken geçici silme varsayılan olarak açıktır. Anahtar kasasında geçici silme etkinleştirildikten sonra devre dışı bırakılamaz.

Varsayılan saklama süresi 90 gündür, ancak anahtar kasası oluşturma sırasında bekletme ilkesi aralığını Azure portal boyunca 7 ile 90 gün arasında bir değere ayarlamak mümkündür. Temizleme koruması bekletme ilkesi aynı aralığı kullanır. Ayarlandıktan sonra bekletme ilkesi aralığı değiştirilemez.

Saklama süresi geçene kadar geçici olarak silinmiş bir anahtar kasasının adını yeniden kullanamazsınız.

Temizleme koruması

Temizleme koruması isteğe bağlı bir Key Vault davranışıdır ve varsayılan olarak etkin değildir. Temizleme koruması yalnızca geçici silme etkinleştirildikten sonra etkinleştirilebilir. CLI veya PowerShell aracılığıyla açılabilir. Veri kaybını önlemek için şifreleme anahtarları kullanılırken temizleme koruması önerilir. Depolama gibi Azure Key Vault ile tümleşen çoğu Azure hizmeti, veri kaybını önlemek için temizleme koruması gerektirir.

Temizleme koruması açık olduğunda, saklama süresi geçene kadar silinmiş durumdaki bir kasa veya nesne temizlenemez. Geçici olarak silinen kasalar ve nesneler yine kurtarılabilir ve bekletme ilkesine uyulmasını sağlar.

Varsayılan saklama süresi 90 gündür, ancak bekletme ilkesi aralığını Azure portal kadar 7 ile 90 gün arasında bir değere ayarlamak mümkündür. Bekletme ilkesi aralığı ayarlandıktan ve kaydedildikten sonra bu kasa için değiştirilemez.

İzin verilen temizleme

Anahtar kasasını kalıcı olarak silmek, temizlemek, ara sunucu kaynağında POST işlemi aracılığıyla mümkündür ve özel ayrıcalıklar gerektirir. Genellikle yalnızca abonelik sahibi bir anahtar kasasını temizleyebilecektir. POST işlemi, bu kasanın hemen ve geri alınamaz şekilde silinmesini tetikler.

Özel durumlar şunlardır:

  • Azure aboneliği değiştirilemez olarak işaretlendiğinde. Bu durumda, yalnızca hizmet gerçek silme işlemini gerçekleştirebilir ve bunu zamanlanmış bir işlem olarak yapar.
  • --enable-purge-protection Bağımsız değişken kasanın kendisinde etkinleştirildiğinde. Bu durumda, Key Vault özgün gizli nesnenin silinmek üzere işaretlenmesinden sonra nesneyi kalıcı olarak silmek için 90 gün bekler.

Adımlar için bkz. CLI ile geçici silme Key Vault kullanma: Anahtar kasasını temizleme veya PowerShell ile geçici silme Key Vault kullanma: Anahtar kasasını temizleme.

Anahtar kasası kurtarma

Bir anahtar kasasını sildikten sonra hizmet, abonelik altında bir proxy kaynağı oluşturur ve kurtarma için yeterli meta verileri ekler. Proxy kaynağı, silinen anahtar kasasıyla aynı konumda bulunan, depolanan bir nesnedir.

Anahtar kasası nesne kurtarma

Anahtar gibi bir anahtar kasası nesnesi silindikten sonra hizmet, nesneyi silinmiş bir duruma getirerek herhangi bir alma işlemine erişilemez hale getirir. Bu durumdayken anahtar kasası nesnesi yalnızca listelenebilir, kurtarılabilir veya zorla/kalıcı olarak silinebilir. Nesneleri görüntülemek için Azure CLI az keyvault key list-deleted komutunu (CLI ile geçici silme Key Vault kullanma) veya Azure PowerShell Get-AzKeyVault -InRemovedState komutunu (PowerShell ile geçici silme Key Vault kullanma bölümünde açıklandığı gibi) kullanın.

Aynı zamanda Key Vault, önceden belirlenmiş bir saklama aralığından sonra, silinmiş anahtar kasasına veya anahtar kasası nesnesine karşılık gelen temel verilerin silinmesini zamanlar. Kasaya karşılık gelen DNS kaydı da saklama aralığı boyunca korunur.

Geçici silme saklama süresi

Geçici olarak silinen kaynaklar, 90 günlük belirli bir süre boyunca saklanır. Geçici silme saklama aralığı sırasında aşağıdakiler geçerlidir:

  • Aboneliğinizin geçici silme durumundaki tüm anahtar kasalarını ve anahtar kasası nesnelerinin yanı sıra bunlar hakkındaki erişim silme ve kurtarma bilgilerini listeleyebilirsiniz.
    • Yalnızca özel izinlere sahip kullanıcılar silinen kasaları listeleyebilir. Kullanıcılarımızın silinen kasaları işlemek için bu özel izinlere sahip özel bir rol oluşturmalarını öneririz.
  • Aynı ada sahip bir anahtar kasası aynı konumda oluşturulamaz; buna karşılık, anahtar kasası aynı ada sahip ve silinmiş durumda olan bir nesne içeriyorsa, belirli bir kasada bir anahtar kasası nesnesi oluşturulamaz.
  • Yalnızca özel olarak ayrıcalıklı bir kullanıcı, ilgili ara sunucu kaynağında bir kurtarma komutu vererek bir anahtar kasası veya anahtar kasası nesnesini geri yükleyebilir.
    • Özel rolün üyesi olan ve kaynak grubu altında anahtar kasası oluşturma ayrıcalığına sahip olan kullanıcı, kasayı geri yükleyebilir.
  • Yalnızca özel olarak ayrıcalıklı bir kullanıcı, ilgili proxy kaynağında bir silme komutu vererek bir anahtar kasasını veya anahtar kasası nesnesini zorla silebilir.

Bir anahtar kasası veya anahtar kasası nesnesi kurtarılmadığı sürece, bekletme aralığının sonunda hizmet geçici olarak silinen anahtar kasası veya anahtar kasası nesnesini ve içeriğini temizler. Kaynak silme işlemi yeniden zamanlanmayabilir.

Faturalamanın etkileri

Genel olarak, bir nesne (anahtar kasası, anahtar veya gizli dizi) silinmiş durumda olduğunda, yalnızca iki işlem yapılabilir: 'temizleme' ve 'kurtarma'. Diğer tüm işlemler başarısız olur. Bu nedenle, nesne mevcut olsa bile hiçbir işlem gerçekleştirilemez ve bu nedenle kullanım gerçekleşmez, bu nedenle fatura yoktur. Ancak aşağıdaki özel durumlar vardır:

  • 'temizleme' ve 'kurtarma' eylemleri normal anahtar kasası işlemlerine sayılır ve faturalandırılır.
  • Nesne bir HSM anahtarıysa, anahtar sürümü son 30 gün içinde kullanılmışsa aylık anahtar sürümü başına 'HSM Korumalı anahtar' ücreti uygulanır. Bundan sonra, nesne silinmiş durumda olduğundan nesne üzerinde hiçbir işlem gerçekleştirilemez, bu nedenle ücret uygulanmaz.

Sonraki adımlar

Aşağıdaki üç kılavuz geçici silmeyi kullanmaya yönelik birincil kullanım senaryolarını sunar.