Ensure the key vault is recoverable
Защо Това Е Важно
Azure Key Vault съхранява криптографски ключове, тайни и сертификати, които са критични за вашата инфраструктура и приложения. Ако даден key vault бъде случайно или злонамерено изтрит, всички зависими услуги като storage accounts, SQL databases и механизми за удостоверяване могат да станат недостъпни, което води до непосредствена загуба на данни и оперативен срив. Включването на soft delete и purge protection гарантира, че дори ако vault бъде изтрит, той и обектите му остават възстановими за 90 дни и не могат да бъдат окончателно изчистени.
Какво Проверява Aether365
Aether365 проверява дали enableSoftDelete и enablePurgeProtection са зададени на true във вашите Azure Key Vaults. Тази проверка се показва в таблото Aether365 под проверките azure-azure-keyvault и е съобразена с препоръка 3.3.5 на CIS Microsoft Azure Foundations benchmark.
Как Да Отстраните Проблема
- Влезте в Azure Portal и отидете до ресурса на вашия key vault.
- В момента Azure Portal не поддържа директно актуализиране на тези свойства. Използвайте следната Azure CLI команда вместо това.
- Отворете Azure Cloud Shell или вашия локален CLI и изпълнете командата по-долу, като замените
<resourceGroupName>и<keyVaultName>с вашите стойности:bashaz resource update --id /subscriptions/xxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/resourceGroups/<resourceGroupName>/providers/Microsoft.KeyVault/vaults/<keyVaultName> --set properties.enablePurgeProtection=true properties.enableSoftDelete=true - Потвърдете актуализацията, като изпълните
az keyvault show --name <keyVaultName> --resource-group <resourceGroupName>и проверите, че и двете свойства са зададени наtrue. - Имайте предвид, че след като бъдат включени, тези настройки не могат да бъдат отменени, а всички загубени ролеви назначения по време на изтриване на vault трябва да бъдат създадени наново след възстановяване.
Съответствие
- CIS Microsoft Azure Foundations 3.0.0 3.3.5 (Ниво 1)
- Microsoft Cloud Security Benchmark (предишен Azure Security Benchmark)
- NIST SP 800-53 (свързан с възстановяване на данни и защита)