Ensure the key vault is recoverable

Por Que Isso é Importante

O Azure Key Vault armazena chaves de criptografia, segredos e certificados essenciais para sua infraestrutura e aplicativos. Se um cofre de chaves for acidental ou maliciosamente excluído, todos os serviços dependentes, como contas de armazenamento, bancos de dados SQL e mecanismos de autenticação, podem ficar inacessíveis, resultando em perda imediata de dados e interrupção operacional. Habilitar a exclusão reversível e a proteção contra purga garante que, mesmo que um cofre seja excluído, ele e seus objetos permaneçam recuperáveis por 90 dias e não possam ser permanentemente removidos.

O Que o Aether365 Verifica

O Aether365 verifica se tanto enableSoftDelete quanto enablePurgeProtection estão definidos como true em seus Azure Key Vaults. Essa verificação é exibida no painel do Aether365 sob as verificações azure-azure-keyvault e está alinhada com a recomendação 3.3.5 do benchmark CIS Microsoft Azure Foundations.

Como Corrigir

1. Entre no portal do Azure e navegue até o recurso do cofre de chaves.
2. Atualmente, o portal do Azure não oferece suporte à atualização direta dessas propriedades. Use o seguinte comando da CLI do Azure como alternativa.
3. Abra o Azure Cloud Shell ou sua CLI local e execute o comando abaixo, substituindo <resourceGroupName> e <keyVaultName> pelos seus valores:

   az resource update --id /subscriptions/xxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/resourceGroups/<resourceGroupName>/providers/Microsoft.KeyVault/vaults/<keyVaultName> --set properties.enablePurgeProtection=true properties.enableSoftDelete=true

4. Confirme a atualização executando az keyvault show --name <keyVaultName> --resource-group <resourceGroupName> e verificando se ambas as propriedades estão definidas como true.
5. Observe que, uma vez habilitadas, essas configurações não podem ser revertidas, e quaisquer atribuições de função perdidas durante a exclusão do cofre precisarão ser recriadas após a recuperação.

Conformidade

• CIS Microsoft Azure Foundations 3.0.0 3.3.5 (Nível 1)
• Microsoft cloud security benchmark (anteriormente Azure Security Benchmark)
• NIST SP 800-53 (relacionado à recuperação e proteção de dados)

Recursos Relacionados

• Visão geral da exclusão reversível do Azure Key Vault
• Proteção contra purga do Azure Key Vault

Microsoft references

• Key vault ovw soft delete