Azure Key Vault için Azure Kaynak Grafı örnek sorguları

Bu sayfa, Azure Key Vault için Azure Kaynak Grafiği örnek sorgularının bir koleksiyonudur.

Örnek sorgulamalar

Anahtar kasası kaynaklarını say

Bu sorgu, döndürülen kayıt sayısını saymak için count yerine summarize kullanır. Sayımda yalnızca anahtar kasaları yer alır.

Resources
| where type =~ 'microsoft.keyvault/vaults'
| count

az graph query -q "Resources | where type =~ 'microsoft.keyvault/vaults' | count"

Geçici silme etkinleştirilmemiş anahtar kasaları

Bu sorgu, geçici silme etkin olmayan anahtar kasalarını tanımlar. Bu, silinen anahtar kasası nesnelerinin kurtarılmasına olanak tanıyan kritik bir güvenlik özelliğidir.

Resources
| where type =~ 'microsoft.keyvault/vaults'
| where properties.enableSoftDelete == false or isnull(properties.enableSoftDelete)
| project name, resourceGroup, subscriptionId, location, properties.enableSoftDelete

az graph query -q "Resources | where type =~ 'microsoft.keyvault/vaults' | where properties.enableSoftDelete == false or isnull(properties.enableSoftDelete) | project name, resourceGroup, subscriptionId, location, properties.enableSoftDelete"

Temizleme koruması etkin olmayan anahtar kasaları

Bu sorgu, temizleme koruması etkin olmayan anahtar kasalarını bulur. Saklama süresi boyunca anahtar kasası nesnelerinin kalıcı olarak silinmesini önlemek için üretim ortamları için temizleme koruması önerilir.

Resources
| where type =~ 'microsoft.keyvault/vaults'
| where properties.enablePurgeProtection != true
| project name, resourceGroup, subscriptionId, location, softDeleteEnabled = properties.enableSoftDelete, purgeProtectionEnabled = properties.enablePurgeProtection

az graph query -q "Resources | where type =~ 'microsoft.keyvault/vaults' | where properties.enablePurgeProtection != true | project name, resourceGroup, subscriptionId, location, softDeleteEnabled = properties.enableSoftDelete, purgeProtectionEnabled = properties.enablePurgeProtection"

RBAC ile yetkilendirme kullanan anahtar kasaları

Bu sorgu, erişim ilkeleri yerine yetkilendirme için Azure RBAC kullanan anahtar kasalarını listeler. RBAC yetkilendirmesi, anahtar kasasının veri düzlemine erişimi yönetmek için en önerilen yaklaşımdır.

Resources
| where type =~ 'microsoft.keyvault/vaults'
| extend rbacEnabled = properties.enableRbacAuthorization
| project name, resourceGroup, subscriptionId, location, rbacEnabled
| where rbacEnabled == true

az graph query -q "Resources | where type =~ 'microsoft.keyvault/vaults' | extend rbacEnabled = properties.enableRbacAuthorization | project name, resourceGroup, subscriptionId, location, rbacEnabled | where rbacEnabled == true"

Genel ağ erişimi etkinleştirilmiş anahtar kasaları

Bu sorgu, genel ağ bağlantısına izin veren anahtar kasalarını tanımlar. Gelişmiş güvenlik için belirli ağlara erişimi kısıtlamayı veya özel uç noktaları kullanmayı göz önünde bulundurun.

Resources
| where type =~ 'microsoft.keyvault/vaults'
| extend networkDefaultAction = tostring(properties.networkAcls.defaultAction)
| where networkDefaultAction =~ 'Allow' or isnull(networkDefaultAction)
| project name, resourceGroup, subscriptionId, location, networkDefaultAction

az graph query -q "Resources | where type =~ 'microsoft.keyvault/vaults' | extend networkDefaultAction = tostring(properties.networkAcls.defaultAction) | where networkDefaultAction =~ 'Allow' or isnull(networkDefaultAction) | project name, resourceGroup, subscriptionId, location, networkDefaultAction"

Anahtar kasaları güvenlik yapılandırması özeti

Bu sorgu geçici silme durumu, temizleme koruması, RBAC yetkilendirmesi ve ağ ayarları dahil olmak üzere tüm anahtar kasaları için kapsamlı bir güvenlik duruşu özeti sağlar.

Resources
| where type =~ 'microsoft.keyvault/vaults'
| extend 
    softDeleteEnabled = tobool(properties.enableSoftDelete),
    purgeProtectionEnabled = tobool(properties.enablePurgeProtection),
    rbacEnabled = tobool(properties.enableRbacAuthorization),
    networkDefaultAction = tostring(properties.networkAcls.defaultAction),
    sku = tostring(properties.sku.name)
| project name, resourceGroup, subscriptionId, location, sku, softDeleteEnabled, purgeProtectionEnabled, rbacEnabled, networkDefaultAction
| order by name asc

az graph query -q "Resources | where type =~ 'microsoft.keyvault/vaults' | extend softDeleteEnabled = tobool(properties.enableSoftDelete), purgeProtectionEnabled = tobool(properties.enablePurgeProtection), rbacEnabled = tobool(properties.enableRbacAuthorization), networkDefaultAction = tostring(properties.networkAcls.defaultAction), sku = tostring(properties.sku.name) | project name, resourceGroup, subscriptionId, location, sku, softDeleteEnabled, purgeProtectionEnabled, rbacEnabled, networkDefaultAction | order by name asc"

Konum bazında anahtar kasaları

Bu sorgu, Azure bölgesine göre gruplandırılmış anahtar kasalarını sayar. Bu, anahtar yönetimi kaynaklarınızın coğrafi dağılımını anlamak için kullanışlıdır.

Resources
| where type =~ 'microsoft.keyvault/vaults'
| summarize count() by location
| order by count_ desc

az graph query -q "Resources | where type =~ 'microsoft.keyvault/vaults' | summarize count() by location | order by count_ desc"

SKU türüne göre anahtar kasaları

Bu sorgu, anahtar kasalarını SKU katmanlarına (standart veya premium) göre gruplandırıyor. Premium SKU'lar HSM korumalı anahtarlar için gereklidir.

Resources
| where type =~ 'microsoft.keyvault/vaults'
| extend skuName = tostring(properties.sku.name)
| summarize count() by skuName

az graph query -q "Resources | where type =~ 'microsoft.keyvault/vaults' | extend skuName = tostring(properties.sku.name) | summarize count() by skuName"

Abonelik adını taşıyan anahtar kasaları

Aşağıdaki sorgu, join karmaşık kullanımı türü leftouter şeklinde göstermektedir. Sorgu, birleştirilen tabloyu abonelik kaynaklarıyla project ve yalnızca özgün subscriptionId alanını ve SubName olarak yeniden adlandırılan ad alanını içerecek şekilde sınırlar. Alan join zaten var olduğundan, alan yeniden adlandırma ad1 olarak eklenmesini önler. Özgün tablo ile where filtrelenmiştir ve aşağıdakiler project her iki tablodaki sütunları içerir. Sorgu sonucu, türü, anahtar kasasının adı ve içinde bulunduğu aboneliğin adını gösteren tüm anahtar kasalarını içermektedir.

Resources
| join kind=leftouter (ResourceContainers | where type=='microsoft.resources/subscriptions' | project SubName=name, subscriptionId) on subscriptionId
| where type == 'microsoft.keyvault/vaults'
| project type, name, SubName

az graph query -q "Resources | join kind=leftouter (ResourceContainers | where type=='microsoft.resources/subscriptions' | project SubName=name, subscriptionId) on subscriptionId | where type == 'microsoft.keyvault/vaults' | project type, name, SubName"

Sonraki Adımlar

  • Son güncelleştirme: