Ensure the key vault is recoverable

Pourquoi c'est important

Azure Key Vault stocke les clés de chiffrement, les secrets et les certificats essentiels à votre infrastructure et à vos applications. Si un coffre de clés est supprimé accidentellement ou de manière malveillante, tous les services dépendants tels que les comptes de stockage, les bases de données SQL et les mécanismes d'authentification peuvent devenir inaccessibles, entraînant une perte de données immédiate et une interruption des opérations. L'activation de la suppression réversible et de la protection contre la purge garantit que même si un coffre est supprimé, celui-ci et ses objets restent récupérables pendant 90 jours et ne peuvent pas être définitivement purgés.

Ce que Aether365 vérifie

Aether365 vérifie que enableSoftDelete et enablePurgeProtection sont définis sur true pour vos Azure Key Vaults. Cette vérification s'affiche dans le tableau de bord Aether365 sous les vérifications azure-azure-keyvault et est alignée sur la recommandation 3.3.5 du benchmark CIS Microsoft Azure Foundations.

Comment corriger

1. Connectez-vous au portail Azure et accédez à votre ressource de coffre de clés.
2. Actuellement, le portail Azure ne prend pas en charge la mise à jour directe de ces propriétés. Utilisez plutôt la commande Azure CLI suivante.
3. Ouvrez Azure Cloud Shell ou votre CLI locale et exécutez la commande ci-dessous en remplaçant <resourceGroupName> et <keyVaultName> par vos valeurs :

   az resource update --id /subscriptions/xxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/resourceGroups/<resourceGroupName>/providers/Microsoft.KeyVault/vaults/<keyVaultName> --set properties.enablePurgeProtection=true properties.enableSoftDelete=true

4. Confirmez la mise à jour en exécutant az keyvault show --name <keyVaultName> --resource-group <resourceGroupName> et en vérifiant que les deux propriétés sont définies sur true.
5. Notez qu'une fois activés, ces paramètres ne peuvent pas être annulés et que toutes les attributions de rôles perdues lors de la suppression du coffre doivent être recréées après la récupération.

Conformité

• CIS Microsoft Azure Foundations 3.0.0 3.3.5 (Niveau 1)
• Microsoft cloud security benchmark (anciennement Azure Security Benchmark)
• NIST SP 800-53 (lié à la récupération et à la protection des données)

Ressources associées

• Vue d'ensemble de la suppression réversible d'Azure Key Vault
• Protection contre la purge d'Azure Key Vault

Microsoft references

• Key vault ovw soft delete