Herstelbeheer van Azure Key Vault met voorlopig verwijderen en beveiliging tegen opschonen
Artikel
In dit artikel worden twee herstelfuncties van Azure Key Vault behandeld: voorlopig verwijderen en beveiliging tegen opschonen. Dit document bevat een overzicht van deze functies en laat zien hoe u deze kunt beheren via de Azure Portal, Azure CLI en Azure PowerShell.
Wat zijn beveiliging tegen voorlopig verwijderen en opschonen?
Voorlopig verwijderen en beveiliging tegen opschonen zijn twee verschillende functies voor herstel van de sleutelkluis.
Voorlopig verwijderen is ontworpen om onbedoelde verwijdering van uw sleutelkluis en sleutels, geheimen en certificaten die zijn opgeslagen in de sleutelkluis te voorkomen. U kunt voorlopig verwijderen beschouwen als een prullenbak. Wanneer u een sleutelkluis of een sleutelkluisobject verwijdert, blijft het herstelbaar voor een door de gebruiker configureerbare bewaarperiode of een standaardperiode van 90 dagen. Sleutelkluizen met de status Voorlopig verwijderd kunnen ook worden opgeschoond , wat betekent dat ze permanent worden verwijderd. Hiermee kunt u sleutelkluizen en sleutelkluisobjecten met dezelfde naam opnieuw maken. Voor zowel het herstellen als verwijderen van sleutelkluizen en -objecten zijn verhoogde toegangsbeleidsmachtigingen vereist. Zodra voorlopig verwijderen is ingeschakeld, kan dit niet meer worden uitgeschakeld.
Belangrijk
U moet voorlopig verwijderen van uw sleutelkluizen onmiddellijk inschakelen. De mogelijkheid om u af te melden voor voorlopig verwijderen is afgeschaft en wordt in februari 2025 verwijderd. Bekijk hier de volledige details
Het is belangrijk om te weten dat namen van sleutelkluisen wereldwijd uniek zijn, zodat u geen sleutelkluis met dezelfde naam kunt maken als een sleutelkluis met de status Voorlopig verwijderd. Op dezelfde manier zijn de namen van sleutels, geheimen en certificaten uniek binnen een sleutelkluis. U kunt geen geheim, sleutel of certificaat maken met dezelfde naam als een ander geheim, sleutel of certificaat met de status Voorlopig verwijderd.
Beveiliging tegen opschonen is ontworpen om te voorkomen dat uw sleutelkluis, sleutels, geheimen en certificaten door een kwaadwillende insider worden verwijderd. U kunt dit zien als een prullenbak met een vergrendeling op basis van tijd. U kunt items op elk gewenst moment tijdens de configureerbare bewaarperiode herstellen. U kunt een sleutelkluis pas definitief verwijderen of opschonen als de bewaarperiode is verstreken. Zodra de bewaarperiode is verstreken, wordt het sleutelkluis- of sleutelkluisobject automatisch opgeschoond.
Notitie
Beveiliging tegen opschonen is zo ontworpen dat geen beheerdersrol of -machtiging de beveiliging tegen opschonen kan overschrijven, uitschakelen of omzeilen. Zodra opschoningsbescherming is ingeschakeld, kan deze door niemand worden uitgeschakeld of overschreven, ook niet door Microsoft. Dit betekent dat u een verwijderde sleutelkluis moet herstellen of moet wachten tot de bewaarperiode is verstreken voordat u de naam van de sleutelkluis opnieuw gaat gebruiken.
Controleer of voorlopig verwijderen is ingeschakeld voor een sleutelkluis en schakel voorlopig verwijderen in
Meld u aan bij Azure Portal.
Selecteer uw sleutelkluis.
Klik op de blade Eigenschappen.
Controleer of het keuzerondje naast voorlopig verwijderen is ingesteld op 'Herstel inschakelen'.
Als voorlopig verwijderen niet is ingeschakeld voor de sleutelkluis, klikt u op het keuzerondje om voorlopig verwijderen in te schakelen en klikt u op Opslaan.
Toegang verlenen aan een service-principal voor het opschonen en herstellen van verwijderde geheimen
Meld u aan bij Azure Portal.
Selecteer uw sleutelkluis.
Klik op de blade Toegangsbeleid.
Zoek in de tabel de rij van de beveiligingsprincipal waaraan u toegang wilt verlenen (of voeg een nieuwe beveiligingsprincipal toe).
Klik op de vervolgkeuzelijst voor sleutels, certificaten en geheimen.
Schuif naar de onderkant van de vervolgkeuzelijst en klik op Herstellen en Opschonen
Beveiligingsprincipals hebben ook get- en list-functionaliteit nodig om de meeste bewerkingen uit te voeren.
Een voorlopig verwijderde sleutelkluis weergeven, herstellen of opschonen
Meld u aan bij Azure Portal.
Klik op de zoekbalk boven aan de pagina.
Zoek naar de service 'Key Vault'. Klik niet op een afzonderlijke sleutelkluis.
Klik bovenaan het scherm op de optie 'Verwijderde kluizen beheren'
Er wordt een contextvenster geopend aan de rechterkant van het scherm.
Selecteer uw abonnement.
Als uw sleutelkluis voorlopig is verwijderd, wordt deze weergegeven in het contextvenster aan de rechterkant.
Als er te veel kluizen zijn, kunt u klikken op 'Meer laden' onderaan het contextvenster of CLI of PowerShell gebruiken om de resultaten op te halen.
Zodra u de kluis hebt gevonden die u wilt herstellen of opschonen, schakelt u het selectievakje ernaast in.
Selecteer de hersteloptie onderaan het contextvenster als u de sleutelkluis wilt herstellen.
Selecteer de optie opschonen als u de sleutelkluis definitief wilt verwijderen.
Voorlopig verwijderde geheimen, sleutels en certificaten weergeven, herstellen of opschonen
Meld u aan bij Azure Portal.
Selecteer uw sleutelkluis.
Selecteer de blade die overeenkomt met het type geheim dat u wilt beheren (sleutels, geheimen of certificaten).
Klik boven aan het scherm op 'Verwijderen beheren (sleutels, geheimen of certificaten)
Aan de rechterkant van het scherm wordt een contextvenster weergegeven.
Als uw geheim, sleutel of certificaat niet in de lijst wordt weergegeven, heeft het niet de status Voorlopig verwijderd.
Selecteer het geheim, de sleutel of het certificaat dat u wilt beheren.
Selecteer de optie voor herstellen of opschonen onderaan het contextvenster.
Key Vault (CLI)
Controleren of voorlopig verwijderen is ingeschakeld voor een sleutelkluis
az keyvault show --subscription {SUBSCRIPTION ID} -g {RESOURCE GROUP} -n {VAULT NAME}
Voorlopig verwijderen inschakelen voor sleutelkluis
Voor alle nieuwe sleutelkluizen is voorlopig verwijderen standaard ingeschakeld. Als u momenteel een sleutelkluis hebt waarvoor voorlopig verwijderen niet is ingeschakeld, gebruikt u de volgende opdracht om voorlopig verwijderen in te schakelen.
