Service-eindpunten voor virtuele netwerken voor Azure Key Vault
Met de service-eindpunten van het virtuele netwerk voor Azure Key Vault kunt u de toegang tot een opgegeven virtueel netwerk beperken. Met de eindpunten kunt u ook de toegang tot een lijst met IPv4-adresbereiken (internetprotocol versie 4) beperken. Elke gebruiker die verbinding maakt met uw sleutelkluis van buiten deze bronnen, heeft geen toegang.
Er is één belangrijke uitzondering op deze beperking. Als een gebruiker zich heeft aangemeld om vertrouwde Microsoft-services toe te staan, worden verbindingen van deze services via de firewall toegestaan. Deze services omvatten bijvoorbeeld Office 365 Exchange Online, Office 365 SharePoint Online, Azure Compute, Azure Resource Manager en Azure Backup. Dergelijke gebruikers moeten nog steeds een geldig Microsoft Entra-token presenteren en moeten machtigingen hebben (geconfigureerd als toegangsbeleid) om de aangevraagde bewerking uit te voeren. Zie Service-eindpunten voor virtuele netwerken voor meer informatie.
Gebruiksscenario's
U kunt Key Vault-firewalls en virtuele netwerken configureren om de toegang tot verkeer van alle netwerken (inclusief internetverkeer) standaard te weigeren. U kunt toegang verlenen tot verkeer van specifieke virtuele Azure-netwerken en openbare IP-adresbereiken voor internet, zodat u een veilige netwerkgrens voor uw toepassingen kunt bouwen.
Notitie
Key Vault-firewalls en regels voor virtuele netwerken zijn alleen van toepassing op het gegevensvlak van Key Vault. Key Vault-besturingsvlakbewerkingen (zoals bewerkingen voor maken, verwijderen en wijzigen, toegangsbeleid instellen, firewalls instellen en regels voor virtuele netwerken en implementatie van geheimen of sleutels via ARM-sjablonen) worden niet beïnvloed door firewalls en regels voor virtuele netwerken.
Hier volgen enkele voorbeelden van hoe u service-eindpunten kunt gebruiken:
- U gebruikt Key Vault om versleutelingssleutels, toepassingsgeheimen en certificaten op te slaan en u wilt de toegang tot uw sleutelkluis blokkeren via het openbare internet.
- U wilt de toegang tot uw sleutelkluis vergrendelen, zodat alleen uw toepassing, of een korte lijst met aangewezen hosts, verbinding kan maken met uw sleutelkluis.
- U hebt een toepassing die wordt uitgevoerd in uw virtuele Azure-netwerk en dit virtuele netwerk is vergrendeld voor al het inkomende en uitgaande verkeer. Uw toepassing moet nog steeds verbinding maken met Key Vault om geheimen of certificaten op te halen of cryptografische sleutels te gebruiken.
Toegang verlenen tot vertrouwde Azure-services
U kunt toegang verlenen tot vertrouwde Azure-services aan de sleutelkluis, terwijl u netwerkregels voor andere apps onderhoudt. Deze vertrouwde services gebruiken vervolgens sterke verificatie om veilig verbinding te maken met uw sleutelkluis.
U kunt toegang verlenen tot vertrouwde Azure-services door netwerkinstellingen te configureren. Zie de netwerkconfiguratieopties van dit artikel voor stapsgewijze instructies .
Wanneer u toegang verleent tot vertrouwde Azure-services, verleent u de volgende typen toegang:
- Vertrouwde toegang voor geselecteerde bewerkingen voor resources die zijn geregistreerd in uw abonnement.
- Vertrouwde toegang tot resources op basis van een beheerde identiteit.
- Vertrouwde toegang tussen tenants met behulp van een federatieve identiteitsreferentie
Vertrouwde services
Hier volgt een lijst met vertrouwde services die toegang hebben tot een sleutelkluis als de optie Vertrouwde services toestaan is ingeschakeld.
Notitie
U moet de relevante Key Vault RBAC-roltoewijzingen of toegangsbeleidsregels (verouderd) instellen om de bijbehorende services toegang te geven tot Key Vault.
Volgende stappen
- Zie Azure Key Vault-firewalls en virtuele netwerken configureren voor stapsgewijze instructies
- zie het beveiligingsoverzicht van Azure Key Vault