Ensure the key vault is recoverable

Dlaczego to jest ważne

Azure Key Vault przechowuje klucze szyfrowania, wpisy tajne i certyfikaty, które są krytyczne dla infrastruktury i aplikacji. Jeśli magazyn kluczy zostanie przypadkowo lub złośliwie usunięty, wszystkie zależne usługi, takie jak konta magazynu, bazy danych SQL i mechanizmy uwierzytelniania, mogą stać się niedostępne, prowadząc do natychmiastowej utraty danych i zakłóceń operacyjnych. Włączenie soft delete i purge protection zapewnia, że nawet jeśli magazyn zostanie usunięty, on i jego obiekty pozostaną możliwe do odzyskania przez 90 dni i nie będą mogły zostać trwale usunięte.

Co sprawdza Aether365

Aether365 weryfikuje, czy oba parametry enableSoftDelete i enablePurgeProtection są ustawione na true w Twoich Azure Key Vault. To sprawdzenie jest wyświetlane na pulpicie nawigacyjnym Aether365 w ramach kontroli azure-azure-keyvault i jest zgodne z zaleceniem benchmarku CIS Microsoft Azure Foundations 3.3.5.

Jak naprawić

1. Zaloguj się do Azure Portal i przejdź do zasobu magazynu kluczy.
2. Obecnie Azure Portal nie obsługuje bezpośredniej aktualizacji tych właściwości. Zamiast tego użyj poniższego polecenia Azure CLI.
3. Otwórz Azure Cloud Shell lub lokalny interfejs CLI i uruchom poniższe polecenie, zastępując <resourceGroupName> i <keyVaultName> swoimi wartościami:

   az resource update --id /subscriptions/xxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/resourceGroups/<resourceGroupName>/providers/Microsoft.KeyVault/vaults/<keyVaultName> --set properties.enablePurgeProtection=true properties.enableSoftDelete=true

4. Potwierdź aktualizację, uruchamiając az keyvault show --name <keyVaultName> --resource-group <resourceGroupName> i sprawdź, czy obie właściwości są ustawione na true.
5. Pamiętaj, że po włączeniu tych ustawień nie można ich cofnąć, a wszelkie przypisania ról utracone podczas usuwania magazynu muszą zostać odtworzone po odzyskaniu.

Zgodność

• CIS Microsoft Azure Foundations 3.0.0 3.3.5 (Poziom 1)
• Microsoft cloud security benchmark (dawniej Azure Security Benchmark)
• NIST SP 800-53 (dotyczący odzyskiwania danych i ochrony)

Powiązane zasoby

• Azure Key Vault soft-delete overview
• Azure Key Vault purge protection

Microsoft references

• Key vault ovw soft delete