Gerenciamento da recuperação do Azure Key Vault com exclusão reversível e proteção contra limpeza
Artigo
Este artigo aborda dois recursos de recuperação do Azure Key Vault, exclusão reversível e proteção contra limpeza. Este documento fornece uma visão geral desses recursos e mostra como gerenciá-los por meio do portal do Azure, CLI do Azure e Azure PowerShell.
Para obter mais informações sobre o Key Vault, cosulte
O que são a exclusão reversível e a proteção contra limpeza
A exclusão reversível e a proteção contra limpeza são dois recursos diferentes de recuperação do cofre de chaves.
A exclusão reversível foi projetada para impedir a exclusão acidental do cofre de chaves e chaves, segredos e certificados armazenados no cofre de chaves. Pense na exclusão reversível como uma lixeira. Quando é excluído um cofre de chaves ou um objeto do cofre de chaves, ele permanecerá recuperável para um período de retenção configurável pelo usuário ou um padrão de 90 dias. Os cofres de chaves no estado de exclusão reversível também podem ser limpos, o que significa que eles são excluídos permanentemente. Isso permite recriar cofres de chaves e objetos do cofre de chaves com o mesmo nome. A recuperação e a exclusão de cofres de chaves e objetos exigem permissões elevadas da política de acesso. Depois que a exclusão reversível for habilitada, ela não poderá ser desabilitada.
Importante
Você deve habilitar a exclusão reversível em seus cofres de chaves imediatamente. A capacidade de recusar a exclusão reversível foi preterida e será removida em fevereiro de 2025. Veja mais detalhes aqui
É importante observar que os nomes do cofre de chaves são globalmente exclusivos, portanto, não será possível criar um cofre de chaves com o mesmo nome que um cofre de chaves no estado de exclusão reversível. Da mesma forma, os nomes de chaves, segredos e certificados são exclusivos em um cofre de chaves. Não será possível criar um segredo, uma chave ou um certificado com o mesmo nome que outro no estado de exclusão reversível.
A proteção contra limpeza é projetada para impedir a exclusão de seu cofre de chaves, chaves, segredos e certificados por um insider mal-intencionado. Pense nisso como uma lixeira com um bloqueio baseado em tempo. É possível recuperar itens em qualquer ponto durante o período de retenção configurável. Não será possível excluir ou limpar permanentemente um cofre de chaves até que o período de retenção tenha decorrido. Depois que o período de retenção expirar, o cofre de chaves ou o objeto do cofre de chaves será limpo automaticamente.
Observação
A Proteção contra limpeza é projetada para que nenhuma função de administrador ou permissão possa substituir, desabilitar ou burlar a proteção contra limpeza. Quando a proteção contra limpeza estiver habilitada, ela não poderá ser desabilitada nem substituída por ninguém, incluindo a Microsoft. Isso significa que deverá recuperar um cofre de chaves excluído ou aguardar até que o período de retenção decorra antes de reutilizar o nome do cofre de chaves.
Verifique se a exclusão reversível está disponível para um cofre de chaves e habilite a exclusão reversível
Faça logon no Portal do Azure.
Selecione seu cofre de chaves.
Clique na folha 'Propriedades'.
Verifique se o botão de opção ao lado de exclusão reversível está definido como "Habilitar recuperação".
Se a exclusão reversível não estiver habilitada no cofre de chaves, clique no botão de opção para habilitar a exclusão reversível e clique em "Salvar".
Conceder acesso a uma entidade de serviço para limpar e recuperar segredos excluídos
Faça logon no Portal do Azure.
Selecione seu cofre de chaves.
Clique na folha "Política de acesso".
Na tabela, localize a linha da entidade de segurança à qual deseja conceder acesso (ou adicione uma nova entidade de segurança).
Clique na lista suspensa para chaves, certificados e segredos.
Role até a parte inferior da lista suspensa e clique em "Recuperar" e "Limpar"
As entidades de segurança também precisarão de funcionalidade Obter e Listar para executar a maioria das operações.
Listar, recuperar ou limpar um cofre de chaves com exclusão reversível
Faça logon no Portal do Azure.
Clique na barra de pesquisa na parte superior da página.
Pesquise pelo serviço "Key Vault". Não clique em um cofre de chaves individual.
Na parte superior da tela, clique na opção "Gerenciar cofres excluídos"
Será aberto um painel de contexto do lado direito da tela.
Selecione sua assinatura.
Se o cofre de chaves foi excluído de forma reversível, ele aparecerá no painel de contexto à direita.
Se houver muitos cofres, será possível clicar em "Carregar mais" na parte inferior do painel de contexto ou usar a CLI ou o PowerShell para obter os resultados.
Quando encontrar o cofre que deseja recuperar ou limpar, marque a caixa de seleção ao lado dele.
Selecione a opção recuperar na parte inferior do painel de contexto se desejar recuperar o cofre de chaves.
Selecione a opção limpar se desejar excluir permanentemente o cofre de chaves.
Listar, recuperar ou limpar segredos, chaves e certificados com exclusão reversível
Faça logon no Portal do Azure.
Selecione seu cofre de chaves.
Selecione a folha correspondente ao tipo de segredo que deseja gerenciar (chaves, segredos ou certificados).
Na parte superior da tela, clique em "Gerenciar excluídos (chaves, segredos ou certificados)
Será exibido um painel de contexto do lado direito da tela.
Se seu segredo, chave ou certificado não aparecer na lista, ele não estará no estado de exclusão reversível.
Selecione o segredo, a chave ou o certificado que deseja gerenciar.
Selecione a opção para recuperar ou limpar na parte inferior do painel de contexto.
Key Vault (CLI)
Verifique se o cofre de chaves tem a exclusão reversível habilitada
az keyvault show --subscription {SUBSCRIPTION ID} -g {RESOURCE GROUP} -n {VAULT NAME}
Habilitar exclusão reversível no cofre de chaves
Todos os novos cofres de chaves têm exclusão reversível habilitada por padrão. Caso tenha atualmente um cofre de chaves que não tenha a exclusão reversível habilitada, use o comando a seguir para habilitar a exclusão reversível.
