Ensure the key vault is recoverable

Perché è Importante

Azure Key Vault archivia chiavi di crittografia, segreti e certificati essenziali per la propria infrastruttura e applicazioni. Se un insieme di chiavi viene eliminato accidentalmente o intenzionalmente, tutti i servizi dipendenti come account di archiviazione, database SQL e meccanismi di autenticazione possono diventare inaccessibili, causando perdita immediata di dati e interruzione operativa. Abilitare l'eliminazione temporanea e la protezione dalla rimozione definitiva garantisce che, anche se un vault viene eliminato, esso e i suoi oggetti rimangano recuperabili per 90 giorni e non possano essere rimossi definitivamente.

Cosa Controlla Aether365

Aether365 verifica che sia enableSoftDelete che enablePurgeProtection siano impostati su true negli Azure Key Vault. Questo controllo viene visualizzato nel dashboard di Aether365 sotto i controlli azure-azure-keyvault ed è allineato con la raccomandazione 3.3.5 del benchmark CIS Microsoft Azure Foundations.

Come Risolvere

1. Accedere al portale di Azure e accedere alla risorsa dell'insieme di chiavi.
2. Attualmente, il portale di Azure non supporta l'aggiornamento diretto di queste proprietà. Utilizzare invece il comando seguente dell'interfaccia della riga di comando di Azure.
3. Aprire Azure Cloud Shell o la propria interfaccia locale ed eseguire il comando sottostante, sostituendo <resourceGroupName> e <keyVaultName> con i propri valori:

   az resource update --id /subscriptions/xxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/resourceGroups/<resourceGroupName>/providers/Microsoft.KeyVault/vaults/<keyVaultName> --set properties.enablePurgeProtection=true properties.enableSoftDelete=true

4. Confermare l'aggiornamento eseguendo az keyvault show --name <keyVaultName> --resource-group <resourceGroupName> e verificando che entrambe le proprietà siano impostate su true.
5. Notare che, una volta abilitate, queste impostazioni non possono essere annullate e tutte le assegnazioni di ruolo perse durante l'eliminazione del vault devono essere ricreate dopo il recupero.

Conformità

• CIS Microsoft Azure Foundations 3.0.0 3.3.5 (Livello 1)
• Benchmark di sicurezza cloud Microsoft (ex Azure Security Benchmark)
• NIST SP 800-53 (relativo al recupero e alla protezione dei dati)

Risorse Correlate

• Panoramica dell'eliminazione temporanea di Azure Key Vault
• Protezione dalla rimozione definitiva di Azure Key Vault

Microsoft references

• Key vault ovw soft delete