Ensure the key vault is recoverable

Por que es importante

Azure Key Vault almacena claves de cifrado, secretos y certificados que son fundamentales para su infraestructura y aplicaciones. Si un key vault se elimina accidental o maliciosamente, todos los servicios dependientes, como cuentas de almacenamiento, bases de datos SQL y mecanismos de autenticacion, pueden volverse inaccesibles, lo que provoca una perdida inmediata de datos y una interrupcion operativa. Habilitar la eliminacion temporal (soft delete) y la proteccion contra purga garantiza que, incluso si se elimina un vault, tanto el como sus objetos sigan siendo recuperables durante 90 dias y no se puedan purgar permanentemente.

Que comprueba Aether365

Aether365 verifica que tanto enableSoftDelete como enablePurgeProtection esten establecidos en true en sus Azure Key Vaults. Esta comprobacion se muestra en el panel de Aether365 bajo las comprobaciones azure-azure-keyvault y esta alineada con la recomendacion 3.3.5 del benchmark CIS Microsoft Azure Foundations.

Como solucionarlo

1. Inicie sesion en Azure Portal y navegue hasta el recurso de su key vault.
2. Actualmente, Azure Portal no permite actualizar estas propiedades directamente. Utilice el siguiente comando de Azure CLI en su lugar.
3. Abra Azure Cloud Shell o su CLI local y ejecute el comando a continuacion, reemplazando <resourceGroupName> y <keyVaultName> con sus valores:

   az resource update --id /subscriptions/xxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/resourceGroups/<resourceGroupName>/providers/Microsoft.KeyVault/vaults/<keyVaultName> --set properties.enablePurgeProtection=true properties.enableSoftDelete=true

4. Confirme la actualizacion ejecutando az keyvault show --name <keyVaultName> --resource-group <resourceGroupName> y verifique que ambas propiedades esten establecidas en true.
5. Tenga en cuenta que, una vez habilitados, estos ajustes no se pueden revertir, y cualquier asignacion de roles perdida durante la eliminacion del vault debe recrearse despues de la recuperacion.

Cumplimiento normativo

• CIS Microsoft Azure Foundations 3.0.0 3.3.5 (Nivel 1)
• Microsoft cloud security benchmark (anteriormente Azure Security Benchmark)
• NIST SP 800-53 (relacionado con la recuperacion y proteccion de datos)

Recursos relacionados

• Informacion general sobre la eliminacion temporal de Azure Key Vault
• Proteccion contra purga de Azure Key Vault

Microsoft references

• Key vault ovw soft delete