Ensure the key vault is recoverable

Γιατί Είναι Σημαντικό

Το Azure Key Vault αποθηκεύει κλειδιά κρυπτογράφησης, μυστικά και πιστοποιητικά που είναι κρίσιμα για την υποδομή και τις εφαρμογές σας. Εάν ένα key vault διαγραφεί κατά λάθος ή κακόβουλα, όλες οι εξαρτώμενες υπηρεσίες, όπως οι λογαριασμοί αποθήκευσης, οι βάσεις δεδομένων SQL και οι μηχανισμοί ελέγχου ταυτότητας, μπορεί να καταστούν μη προσβάσιμες, οδηγώντας σε άμεση απώλεια δεδομένων και διακοπή λειτουργίας. Η ενεργοποίηση της μαλακής διαγραφής (soft delete) και της προστασίας εκκαθάρισης (purge protection) διασφαλίζει ότι, ακόμα κι αν ένα vault διαγραφεί, αυτό και τα αντικείμενά του παραμένουν ανακτήσιμα για 90 ημέρες και δεν μπορούν να εκκαθαριστούν μόνιμα.

Τι Ελέγχει το Aether365

Το Aether365 επαληθεύει ότι τόσο το enableSoftDelete όσο και το enablePurgeProtection έχουν οριστεί σε true στα Azure Key Vaults σας. Αυτός ο έλεγχος εμφανίζεται στον πίνακα ελέγχου του Aether365 κάτω από τους ελέγχους azure-azure-keyvault και είναι ευθυγραμμισμένος με τη σύσταση 3.3.5 του CIS Microsoft Azure Foundations benchmark.

Πώς να το Διορθώσετε

1. Συνδεθείτε στο Azure Portal και μεταβείτε στον πόρο του key vault σας.
2. Επί του παρόντος, το Azure Portal δεν υποστηρίζει την άμεση ενημέρωση αυτών των ιδιοτήτων. Χρησιμοποιήστε την παρακάτω εντολή Azure CLI.
3. Ανοίξτε το Azure Cloud Shell ή το τοπικό σας CLI και εκτελέστε την παρακάτω εντολή, αντικαθιστώντας τα <resourceGroupName> και <keyVaultName> με τις δικές σας τιμές:

   az resource update --id /subscriptions/xxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/resourceGroups/<resourceGroupName>/providers/Microsoft.KeyVault/vaults/<keyVaultName> --set properties.enablePurgeProtection=true properties.enableSoftDelete=true

4. Επιβεβαιώστε την ενημέρωση εκτελώντας az keyvault show --name <keyVaultName> --resource-group <resourceGroupName> και ελέγξτε ότι και οι δύο ιδιότητες έχουν οριστεί σε true.
5. Σημειώστε ότι, μόλις ενεργοποιηθούν, αυτές οι ρυθμίσεις δεν μπορούν να αναιρεθούν και τυχόν εκχωρήσεις ρόλων που χάθηκαν κατά τη διαγραφή του vault πρέπει να αναδημιουργηθούν μετά την ανάκτηση.

Συμμόρφωση

• CIS Microsoft Azure Foundations 3.0.0 3.3.5 (Επίπεδο 1)
• Microsoft cloud security benchmark (πρώην Azure Security Benchmark)
• NIST SP 800-53 (σχετικό με την ανάκτηση και προστασία δεδομένων)

Σχετικοί Πόροι

• Επισκόπηση μαλακής διαγραφής Azure Key Vault
• Προστασία εκκαθάρισης Azure Key Vault

Microsoft references

• Key vault ovw soft delete