Общие сведения о ключах, секретах и сертификатах Azure Key Vault

Статья
01/30/2024

Azure Key Vault позволяет приложениям и пользователям Microsoft Azure хранить и использовать несколько типов данных секретов и ключей: ключей, секретов и сертификатов. Ключи, секреты и сертификаты совместно называются объектами.

Идентификаторы объектов

Объекты однозначно определяются в Key Vault с помощью идентификатора без учета регистра, называемого идентификатором объекта. Ни один объект в системе не имеет одного и того же идентификатора, независимо от географического расположения. Идентификатор состоит из префикса, который определяет хранилище ключей, тип объекта, имя предоставленного пользователем объекта и версию объекта. Идентификаторы, не содержащие версию объекта, называются базовыми идентификаторами. Идентификаторы объектов Key Vault также являются допустимыми URL-адресами, но всегда следует сравнивать как строки без учета регистра.

Дополнительные сведения см. в статье Authentication, requests and responses (Проверка подлинности, запросы и ответы).

Идентификатор объекта имеет следующий общий формат (в зависимости от типа контейнера):

Для хранилищ: https://{vault-name}.vault.azure.net/{object-type}/{object-name}/{object-version}.
Для пулов управляемых устройств HSM: https://{hsm-name}.managedhsm.azure.net/{object-type}/{object-name}/{object-version}.

Примечание.

Сведения о типах объектов, поддерживаемых каждым типом контейнера, см. в этом разделе.

Где:

Элемент	Description
`vault-name` или `hsm-name`	Имя хранилища ключей или управляемого пула HSM в службе Microsoft Azure Key Vault. Имена хранилищ и пулов управляемых устройств HSM выбираются пользователем и являются глобально уникальными. Имя хранилища и имя пула управляемого модуля HSM должны быть строкой символов 3-24, содержащей только 0-9, a-z, A-Z и не последовательно.
`object-type`	Тип объекта, "ключи", "секреты" или "сертификаты".
`object-name`	Имя `object-name` пользователя и должно быть уникальным в хранилище ключей. Имя должно быть строкой длиной от 1 до 127 символов, начинаться с буквы и содержать только цифры (0–9), буквы (a–z, A–Z) и дефис (-).
`object-version`	`object-version` — созданный системой 32-знаковый идентификатор строки, который при необходимости используется для обозначения уникальной версии объекта.

DNS-суффиксы для идентификаторов объектов

Поставщик ресурсов Azure Key Vault поддерживает два типа ресурсов: хранилища и управляемые устройства HSM. В этой таблице показан суффикс DNS, используемый конечной точкой плоскости данных для хранилищ и управляемых пулов HSM в различных облачных средах.

Облачная среда	DNS-суффикс для хранилищ	DNS-суффикс для управляемых устройств HSM
Облако Azure	.vault.azure.net	.managedhsm.azure.net
Microsoft Azure, управляемый 21Vianet Cloud	.vault.azure.cn	Не поддерживается
Azure – Правительство США	.vault.usgovcloudapi.net	Не поддерживается
Облако Azure для Германии	.vault.microsoftazure.de	Не поддерживается

Типы объектов

В этой таблице показаны типы объектов и их суффиксы в идентификаторе объекта.

Тип объекта	Суффикс идентификатора	Хранилища	Пулы управляемых устройств HSM

Ключи, защищенные модулем HSM	/keys	Поддерживается	Поддерживается
Ключи, защищенные с помощью ПО	/keys	Поддерживается	Не поддерживается

Секреты	/secrets	Поддерживается	Не поддерживается
Сертификаты	/certificates	Поддерживается	Не поддерживается
Ключи учетной записи хранения	/storage	Поддерживается	Не поддерживается

Криптографические ключи: поддерживает несколько типов ключей и алгоритмов, позволяет использовать ключи, защищенные с помощью ПО или модуля HSM. См. сведения о ключах.
Секреты: обеспечивается безопасное хранение секретов, таких как пароли и строки подключения к базам данных. См. сведения о секретах.
Сертификаты: поддерживаются сертификаты, которые создаются поверх ключей и секретов и добавляют функцию автоматического обновления. Следует помнить, что при создании сертификата адресуемые ключ и секрет также создаются с тем же именем. См. сведения о сертификатах.
Ключи учетной записи хранения Azure: может управлять ключами учетной записи хранения Azure. На внутреннем уровне Key Vault может перечислять (синхронизировать) ключи с учетными записями хранения Azure и периодически повторно создавать (заменять) ключи. См. сведения об управлении ключами учетной записи хранения с помощью Key Vault.

См. сведения об Azure Key Vault. Дополнительные сведения о пулах управляемых устройств HSM см. в статье Что собой представляет управляемое устройство HSM в Azure Key Vault?

Типы данных

Обратитесь к спецификациям JOSE для соответствующих типов данных ключей, шифрования и подписей.

algorithm — поддерживаемый алгоритм для операции ключа, например RSA1_5.
ciphertext-value — октеты зашифрованного текста, закодированные с помощью Base64URL.
digest-value — выходные данные хэш-алгоритма, зашифрованные с помощью Base64URL.
key-type — один из поддерживаемых типов ключей, например RSA (Rivest-Shamir-Adleman).
plaintext-value — октеты открытого текста, закодированные с помощью Base64URL.
signature-value — выходные данные алгоритма подписи, закодированные с помощью Base64URL.
base64URL — двоичное значение в кодировке Base64URL [RFC4648].
boolean — значение true или false.
Удостоверение — удостоверение из идентификатора Microsoft Entra.
IntDate — десятичное значение JSON, представляющее число секунд, начиная с 1970-01-01T0:0:0Z UTC до указанной даты или времени в формате UTC. Дополнительные сведения о дате и времени в общем формате и в UTC в частности см. в [RFC3339].

Объекты, идентификаторы и управление версиями

Объекты, хранящиеся в Azure Key Vault, сохраняют версии всякий раз, когда создается экземпляр объекта. Каждая версия назначается уникальным идентификатором объекта. Когда объект создается впервые, ему присваивается уникальный идентификатор версии, а также метка с текущей версией. При создании экземпляра с тем же именем объекта новому объекту присваивается уникальный идентификатор версии и эта версия становится текущей.

Объекты в Key Vault можно получить, указав версию или опущенную версию, чтобы получить последнюю версию объекта. Выполнение операций с объектами требует предоставления версии для использования конкретной версии объекта.