Ensure the key vault is recoverable

Warum dies wichtig ist

Azure Key Vault speichert Verschlüsselungsschlüssel, Geheimnisse und Zertifikate, die für Ihre Infrastruktur und Anwendungen kritisch sind. Wenn ein Schlüsseltresor versehentlich oder böswillig gelöscht wird, können alle abhängigen Dienste wie Speicherkonten, SQL-Datenbanken und Authentifizierungsmechanismen unzugänglich werden, was zu sofortigem Datenverlust und Betriebsstörungen führt. Durch Aktivieren des vorläufigen Löschens (Soft Delete) und des Löschschutzes (Purge Protection) wird sichergestellt, dass selbst bei Löschung eines Tresors dieser und seine Objekte 90 Tage lang wiederherstellbar bleiben und nicht dauerhaft gelöscht werden können.

Was Aether365 prüft

Aether365 überprüft, ob sowohl enableSoftDelete als auch enablePurgeProtection für Ihre Azure Key Vaults auf true gesetzt sind. Diese Prüfung wird im Aether365-Dashboard unter den Prüfungen azure-azure-keyvault angezeigt und entspricht der CIS Microsoft Azure Foundations Benchmark-Empfehlung 3.3.5.

Behebung des Problems

1. Melden Sie sich beim Azure Portal an und navigieren Sie zu Ihrer Key Vault-Ressource.
2. Derzeit unterstützt das Azure Portal keine direkte Aktualisierung dieser Eigenschaften. Verwenden Sie stattdessen den folgenden Azure CLI-Befehl.
3. Öffnen Sie die Azure Cloud Shell oder Ihre lokale CLI und führen Sie den folgenden Befehl aus. Ersetzen Sie <resourceGroupName> und <keyVaultName> durch Ihre Werte:

   az resource update --id /subscriptions/xxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/resourceGroups/<resourceGroupName>/providers/Microsoft.KeyVault/vaults/<keyVaultName> --set properties.enablePurgeProtection=true properties.enableSoftDelete=true

4. Bestätigen Sie die Aktualisierung mit az keyvault show --name <keyVaultName> --resource-group <resourceGroupName> und stellen Sie sicher, dass beide Eigenschaften auf true gesetzt sind.
5. Beachten Sie, dass diese Einstellungen nach der Aktivierung nicht rückgängig gemacht werden können und dass alle während der Tresorlöschung verlorenen Rollenzuweisungen nach der Wiederherstellung neu erstellt werden müssen.

Compliance

• CIS Microsoft Azure Foundations 3.0.0 3.3.5 (Level 1)
• Microsoft cloud security benchmark (ehemals Azure Security Benchmark)
• NIST SP 800-53 (bezogen auf Datenwiederherstellung und -schutz)

Zugehörige Ressourcen

• Übersicht über das vorläufige Löschen in Azure Key Vault
• Löschschutz in Azure Key Vault

Microsoft references

• Key vault ovw soft delete