Ensure the key vault is recoverable
Чому це важливо
Azure Key Vault зберігає ключі шифрування, секрети та сертифікати, які є критично важливими для вашої інфраструктури та додатків. Якщо сховище ключів буде випадково або зловмисно видалено, всі залежні служби, такі як облікові записи зберігання, бази даних SQL та механізми автентифікації, можуть стати недоступними, що призведе до миттєвої втрати даних і порушення роботи. Увімкнення зворотного видалення (soft delete) та захисту від остаточного видалення (purge protection) гарантує, що навіть якщо сховище буде видалено, воно та його об'єкти залишаться доступними для відновлення протягом 90 днів і не можуть бути остаточно знищені.
Що перевіряє Aether365
Aether365 перевіряє, чи обидва параметри enableSoftDelete та enablePurgeProtection мають значення true у ваших сховищах Azure Key Vault. Ця перевірка відображається на панелі керування Aether365 у розділі перевірок azure-azure-keyvault і узгоджена з рекомендацією 3.3.5 еталонного тесту CIS Microsoft Azure Foundations.
Як виправити
- Увійдіть до Azure portal та перейдіть до ресурсу вашого сховища ключів.
- Наразі Azure portal не підтримує безпосереднє оновлення цих властивостей. Замість цього скористайтеся наведеною нижче командою Azure CLI.
- Відкрийте Azure Cloud Shell або ваш локальний CLI та виконайте команду нижче, замінивши
<resourceGroupName>та<keyVaultName>на ваші значення:bashaz resource update --id /subscriptions/xxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/resourceGroups/<resourceGroupName>/providers/Microsoft.KeyVault/vaults/<keyVaultName> --set properties.enablePurgeProtection=true properties.enableSoftDelete=true - Підтвердьте оновлення, виконавши
az keyvault show --name <keyVaultName> --resource-group <resourceGroupName>, і перевірте, що обидві властивості мають значенняtrue. - Зверніть увагу: після увімкнення ці налаштування не можна скасувати, а будь-які призначення ролей, втрачені під час видалення сховища, потрібно буде відтворити після відновлення.
Відповідність стандартам
- CIS Microsoft Azure Foundations 3.0.0 3.3.5 (Рівень 1)
- Microsoft cloud security benchmark (раніше Azure Security Benchmark)
- NIST SP 800-53 (стосується відновлення та захисту даних)