Visão geral das chaves, dos segredos e dos certificados do Azure Key Vault

Artigo
01/30/2024

O Azure Key Vault permite que aplicativos e usuários do Microsoft Azure armazenem e usem vários tipos de dados de chave/segredo: chaves, segredos e certificados. Chaves, segredos e certificados são chamados coletivamente de “objetos”.

Identificadores de objeto

Os objetos são identificados exclusivamente no Key Vault usando um identificador que não diferencia maiúsculas de minúsculas chamado identificador de objeto. Não há dois objetos no sistema com o mesmo identificador, independentemente da localização geográfica. O identificador consiste em um prefixo que identifica o cofre de chaves, o tipo de objeto, o nome do objeto fornecido pelo usuário e uma versão do objeto. Os identificadores que não incluem a versão do objeto são chamados de “identificadores de base”. Identificadores de objeto do Key Vault também são URLs válidas, mas sempre devem ser comparados como cadeias de caracteres que não diferenciam maiúsculas de minúsculas.

Para mais informações, consulte Autenticação, solicitações e respostas

Um identificador de objeto tem o seguinte formato geral (dependendo do tipo de contêiner):

Para Cofres: https://{vault-name}.vault.azure.net/{object-type}/{object-name}/{object-version}
Para pools do HSM Gerenciado: https://{hsm-name}.managedhsm.azure.net/{object-type}/{object-name}/{object-version}

Observação

Confira Suporte de tipo de objeto para tipos de objetos com suporte em cada tipo de contêiner.

Em que:

Elemento	Descrição
`vault-name` ou `hsm-name`	O nome de um cofre de chaves em um pool do HSM gerenciado no serviço do Microsoft Azure Key Vault. Os nomes do cofre e do pool do HSM Gerenciado são selecionados pelo usuário e são globalmente exclusivos. O nome do cofre e o nome do pool de HSM gerenciado devem ser uma cadeia de caracteres de três a 24 caracteres, contendo apenas 0-9, a-z, A-Z e - não consecutivos.
`object-type`	O tipo do objeto, “chaves”, “segredos” ou “certificados”.
`object-name`	Um `object-name` é um nome fornecido pelo usuário e deve ser exclusivo em um cofre de chaves. O nome deve ser uma sequência de 1 a 127 caracteres, que começam com uma letra e contêm somente 0 – 9, a – z, A – Z e -.
`object-version`	Um `object-version` é um identificador de cadeia de caracteres de 32 caracteres gerado pelo sistema, que é opcionalmente usado para direcionar uma versão exclusiva de um objeto.

Sufixos DNS para identificadores de objeto

O provedor de recursos do Azure Key Vault dá suporte a dois tipos de recursos: cofres e HSMs gerenciados. Essa tabela mostra o sufixo DNS usado pelo ponto de extremidade do plano de dados para cofres e pools do HSM gerenciado em vários ambientes de nuvem.

Ambiente de nuvem	Sufixo DNS para cofres	Sufixo DNS para HSMs gerenciados
Nuvem do Azure	.vault.azure.net	.managedhsm.azure.net
Microsoft Azure operado pela 21Vianet Cloud	.vault.azure.cn	Sem suporte
Azure US Government	.vault.usgovcloudapi.net	Sem suporte
Nuvem Alemã do Azure	.vault.microsoftazure.de	Sem suporte

Tipos de objeto

Essa tabela mostra os tipos de objeto e os sufixos no identificador de objeto.

Tipo de objeto	Sufixo do Identificador	Cofres	Pools HSM gerenciados

Chaves protegidas por HSM	/keys	Com suporte	Com suporte
Chaves protegidas por software	/keys	Com suporte	Sem suporte

Segredos	/secrets	Com suporte	Sem suporte
Certificados	/certificates	Com suporte	Sem suporte
Chaves de conta de armazenamento	/storage	Com suporte	Sem suporte

Chaves de criptografia: Dá suporte a vários tipos de chave e algoritmos e habilita o uso de chaves protegidas por HSM e por software. Para obter mais informações, confira Sobre chaves.
Segredos: Fornece armazenamento seguro de segredos, como senhas e cadeias de conexão de banco de dados. Para obter mais informações, confira Sobre segredos.
Certificados: Oferece suporte a certificados, que são criados sobre chaves e segredos e adicionam um recurso de renovação automática. Lembre-se que quando um certificado é criado, uma chave endereçável e o segredo também são criados com o mesmo nome. Para obter mais informações, confira Sobre certificados.
Chaves de conta de Armazenamento do Azure: Pode gerenciar chaves de uma conta de Armazenamento do Microsoft Azure para você. Internamente, o Key Vault pode listar (sincronizar) chaves com uma conta de Armazenamento do Azure e gerar novamente (gira) as chaves periodicamente. Para obter mais informações, confira Gerenciar chaves de acesso da conta de armazenamento com o Key Vault.

Para obter mais informações gerais sobre o Key Vault, confira Sobre o Azure Key Vault. Para obter mais informações sobre os pools do HSM Gerenciado, confira O que é o HSM Gerenciado do Azure Key Vault?

Tipos de dados

Consulte as especificações JOSE para tipos de dados relevantes para as chaves, criptografia e assinatura.

algoritmo - um algoritmo com suporte para uma operação de chave, por exemplo, RSA1_5
valor de texto cifrado - octetos de texto cifrado, codificado usando Base64URL
valor de Digest - a saída de um algoritmo de hash, codificado usando Base64URL
tipo de chave - um dos tipos de chave com suporte, por exemplo, RSA (Rivest-Shamir-Adleman).
valor de texto sem formatação - octetos de texto sem formatação, codificado usando Base64URL
valor de assinatura - a saída de um algoritmo de assinatura, codificado usando Base64URL
base64URL - um Base64URL [RFC4648] codificado valor binário
boolean - seja true ou false
Identity – uma identidade do Microsoft Entra ID.
IntDate - um valor decimal de JSON que representa o número de segundos desde 1970-01-01T0:0:0Z UTC até a data/hora de UTC especificada. Consulte RFC3339 para obter detalhes sobre data/hora em geral e o UTC em particular.

Objetos, identificadores e controle de versão

Objetos armazenados no Key Vault são submetidos ao controle de versão sempre que uma nova instância de um objeto é criada. Cada versão recebe um identificador de objeto exclusivo. Quando um objeto é criado pela primeira vez, ele recebe um identificador de versão exclusivo e é marcado como a versão atual do objeto. A criação de uma nova instância com o mesmo nome de objeto fornece ao novo objeto um identificador de versão exclusivo, fazendo com que ele se torne a versão atual.

Os objetos no Key Vault podem ser recuperados especificando ou omitindo uma versão para obter a versão mais recente do objeto. Executar operações em objetos exige fornecer versão para usar uma versão específica do objeto.