你当前正在访问 Microsoft Azure Global Edition 技术文档网站。 如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站,请访问 https://docs.azure.cn

使用 Azure 密钥保管库的最佳做法

Azure 密钥保管库会保护加密密钥和机密(例如证书、连接字符串和密码)。 本文有助于优化密钥保管库的使用。

使用单独的密钥保管库

我们的建议是在每个区域中,对每个环境(开发环境、预生产环境和生产环境)的每个应用程序使用一个保管库。 这有助于防止跨环境和区域共享机密。 它还会在发生入侵时降低威胁。

为何建议使用单独的密钥保管库

密钥保管库为存储的机密定义安全边界。 将机密分组到同一保管库会增加安全事件的冲击半径,因为攻击可能能够跨关注点访问机密。 若要缓解跨关注点访问机密这一情况,请考虑特定应用程序应有权访问哪些机密,然后根据此描述分离密钥保管库。 按应用程序分离密钥保管库是最常见的边界。 但是,对于大型应用程序(例如,每组相关服务),安全边界可能更为精细。

控制对保管库的访问权限

加密密钥和机密(例如证书、连接字符串和密码)是敏感的业务关键型信息。 你需要保护对密钥保管库的访问,方式是仅允许已经授权的应用程序和用户进行访问。 Azure 密钥保管库安全功能提供密钥保管库访问模型的概述。 它介绍了身份验证和授权。 还介绍了如何保护对密钥保管库的访问。

控制对保管库的访问权限的建议如下:

  • 锁定对订阅、资源组和密钥保管库的访问权限(基于角色的访问控制 (RBAC))。
  • 为每个保管库创建访问策略。
  • 使用最低特权原则来授予访问权限。
  • 启用防火墙和虚拟网络服务终结点

为保管库启用数据保护

启用清除保护以防止恶意或意外删除机密和密钥保管库,即使启用了软删除也应启用此功能。

有关详细信息,请参阅 Azure 密钥保管库软删除概述

启用日志

为保管库启用日志记录。 此外,设置警报

备份

清除保护可防止恶意和意外删除保管库对象,最长可达 90 天。 在清除保护不可行的情况下,建议备份保管库对象,这些对象无法从保管库中生成的加密密钥等其他来源重新创建。

有关备份的详细信息,请参阅 Azure Key Vault 备份和还原

多租户解决方案和 Key Vault

多租户解决方案基于体系结构构建,其中组件可用于为多个客户或租户提供服务。 多租户解决方案通常用于支持软件即服务 (SaaS) 解决方案。 如果要构建包含 Key Vault 的多租户解决方案,请查看多租户和 Azure Key Vault

常见问题:

能否使用 Key Vault 基于角色的访问控制 (RBAC) 权限模型对象范围分配来为 Key Vault 中的应用程序团队提供隔离?

否。 RBAC 权限模型允许将 Key Vault 中单个对象的访问权限分配给用户或应用程序,但任何管理操作(如网络访问控制、监视和对象管理)都需要保险库级别权限,这将向应用程序团队的操作员公开安全信息。

了解更多