Ensure the key vault is recoverable
Kodėl tai svarbu
„Azure Key Vault“ saugo šifravimo raktus, paslaptis ir sertifikatus, kurie yra kritiškai svarbūs jūsų infrastruktūrai ir programoms. Jei rakto saugykla yra atsitiktinai ar piktybiškai ištrinta, visos nuo jos priklausomos paslaugos, pvz., saugyklos paskyros, SQL duomenų bazės ir autentifikavimo mechanizmai, gali tapti nepasiekiamos, sukeldamos tiesioginį duomenų praradimą ir veiklos sutrikimus. Įjungus švelnų ištrynimą ir apsaugą nuo visiško ištrynimo užtikrinama, kad net ir ištrynus saugyklą, ji ir jos objektai išliktų atkuriami 90 dienų ir negali būti visam laikui ištrinti.
Ką tikrina „Aether365“
„Aether365“ patikrina, ar jūsų „Azure Key Vault“ saugyklose tiek enableSoftDelete, tiek enablePurgeProtection yra nustatyti į true. Šis patikrinimas rodomas „Aether365“ informacijos suvestinėje po azure-azure-keyvault patikrinimais ir atitinka „CIS Microsoft Azure Foundations“ etaloninę rekomendaciją 3.3.5.
Kaip ištaisyti
- Prisijunkite prie „Azure“ portalo ir eikite į savo rakto saugyklos išteklių.
- Šiuo metu „Azure“ portalas nepalaiko tiesioginio šių savybių atnaujinimo. Vietoj to naudokite šią „Azure CLI“ komandą.
- Atidarykite „Azure Cloud Shell“ arba vietinę CLI ir paleiskite žemiau pateiktą komandą, pakeisdami
<resourceGroupName>ir<keyVaultName>savo reikšmėmis:bashaz resource update --id /subscriptions/xxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/resourceGroups/<resourceGroupName>/providers/Microsoft.KeyVault/vaults/<keyVaultName> --set properties.enablePurgeProtection=true properties.enableSoftDelete=true - Patvirtinkite atnaujinimą paleisdami
az keyvault show --name <keyVaultName> --resource-group <resourceGroupName>ir patikrinkite, ar abi savybės nustatytos įtrue. - Atkreipkite dėmesį, kad įjungus šiuos nustatymus jų pakeisti negalima, o prarastus vaidmenų priskyrimus po saugyklos ištrynimo atkūrus reikės sukurti iš naujo.
Atitiktis
- CIS Microsoft Azure Foundations 3.0.0 3.3.5 (1 lygis)
- „Microsoft“ debesies saugos etalonas (anksčiau „Azure Security Benchmark“)
- NIST SP 800-53 (susijęs su duomenų atkūrimu ir apsauga)