Конечные точки службы для виртуальной сети для Azure Key Vault
Статья
Конечные точки служб для виртуальной сети для Azure Key Vault позволяют ограничить доступ к определенной виртуальной сети. Также эти конечные точки позволяют ограничить доступ определенным набором диапазонов адресов IPv4 (протокол IP версии 4). Для любого пользователя при попытке подключения к хранилищу ключей из любых других расположений доступ будет отклонен.
Из этого ограничения есть одно важное исключение. Если пользователь разрешил доступ доверенным службам Майкрософт, брандмауэр будет пропускать подключения из этих служб. К таким службам относятся, к примеру, Office 365 Exchange Online, Office 365 SharePoint Online, служба вычислений Azure, Azure Resource Manager и Azure Backup. Такие пользователи по-прежнему должны представить действительный маркер Microsoft Entra и иметь разрешения (настроенные в качестве политик доступа) для выполнения запрошенной операции. Дополнительные сведения см. в статье Конечные точки служб для виртуальной сети.
Сценарии использования
Брандмауэры и виртуальные сети Key Vault можно настроить так, чтобы по умолчанию запрещать трафик из всех сетей (в том числе из Интернета). Вы можете разрешить доступ для трафика из конкретных виртуальных сетей Azure или диапазонов общедоступных IP-адресов, что позволит определить границу защищенной сети для приложений.
Примечание.
Правила брандмауэра и виртуальной сети Key Vault применяются только к плоскости данных в Key Vault. Правила брандмауэра и виртуальной сети не влияют на операции плоскости управления Key Vault (создание, удаление, изменение, настройка политик доступа, настройка правил брандмауэров и виртуальной сети и развертывание секретов или ключей с помощью шаблонов ARM).
Ниже приведены некоторые примеры использования конечных точек службы.
Если Key Vault используется для хранения ключей шифрования, секретов приложения и сертификатов, доступ к которым из общедоступного Интернета вы хотите запретить.
Если вы хотите заблокировать доступ к хранилищу ключей, чтобы к нему могли подключаться только одно приложение или небольшой набор назначенных узлов.
Если у вас есть приложение, работающее в виртуальной сети Azure, для которой заблокирован любой исходящий и входящий трафик, но приложению требуется подключение к хранилищу ключей для получения секретов, сертификатов или криптографических ключей.
Предоставить доступ к доверенным службам Azure
Вы можете предоставить доступ к доверенным службам Azure в хранилище ключей, сохраняя правила сети для других приложений. Эти доверенные службы будут использовать надежную проверку подлинности для безопасного подключения к хранилищу ключей.
Вы можете предоставить доступ к доверенным службам Azure, настроив параметры сети. Пошаговые инструкции см. в параметрах конфигурации сети этой статьи.
При предоставлении доступа к доверенным службам Azure вы предоставляете следующие типы доступа:
Доверенный доступ для некоторых операций к ресурсам, зарегистрированным в вашей подписке.
Доверенный доступ к ресурсам на основе управляемого удостоверения.
Доверенный доступ между клиентами с помощью учетных данных федеративного удостоверения
Доверенные службы
Ниже приведен список доверенных служб, которые получают доступ к хранилищу ключей, если включен соответствующий параметр.
Разрешение резервного копирования и восстановления соответствующих ключей и секретов во время резервного копирования виртуальной машины Azure с помощью службы Azure Backup.
Служба шифрования томов для шифрования дисков Azure
Разрешение доступа к ключу BitLocker (виртуальная машина Windows), парольной фразе DM (виртуальная машина Linux) и ключу шифрования ключей во время развертывания виртуальной машины. Это позволяет включить шифрование дисков Azure.
Необходимо настроить соответствующие назначения ролей RBAC Key Vault или политики доступа(устаревшие), чтобы разрешить соответствующим службам доступ к Key Vault.