Sichern Ihrer Azure Key Vault-Zertifikate

Azure Key Vault-Zertifikate verwalten X.509-Zertifikate und die zugehörigen privaten Schlüssel für TLS/SSL, Authentifizierung und Codesignatur. Dieser Artikel enthält Sicherheitsempfehlungen speziell für die Zertifikatverwaltung.

Hinweis

Dieser Artikel konzentriert sich auf Sicherheitspraktiken, die für Key Vault-Zertifikate spezifisch sind. Umfassende Richtlinien zur Sicherheit von Key Vault, einschließlich Netzwerksicherheit, Identitäts- und Zugriffsverwaltung und Tresorarchitektur, finden Sie unter "Sichern Ihres Azure Key Vault".

Zertifikatspeicher und -format

Key Vault-Zertifikate kombinieren X.509-Zertifikate mit ihren privaten Schlüsseln und bieten automatisierte Verwaltungsfunktionen:

  • Speichern Von Zertifikaten, nicht geheimen Schlüsseln: Verwenden Sie immer den Schlüsseltresor-Zertifikatobjekttyp, anstatt Zertifikate als geheime Schlüssel zu speichern. Zertifikatobjekte bieten Folgendes:

    • Automatisierte Lebenszyklusverwaltung
    • Integration mit Zertifizierungsstellen (CAs)
    • Automatische Verlängerungsfunktionen
    • Integrierte Versionsverwaltung

  • Verwenden Sie vertrauenswürdige Zertifizierungsstellen: Integration mit unterstützten Zertifizierungsstellen für automatisierte Ausstellung und Erneuerung:

    • DigiCert
    • GlobalSign
    • Weitere integrierte Zertifizierungsstellen

    Siehe Integration von Key Vault in Zertifizierungsstellen.

  • Externe Zertifikate ordnungsgemäß importieren: Beim Importieren von Zertifikaten aus externen Quellen:

    • Verwenden des PFX- oder PEM-Formats
    • Einschließen der vollständigen Zertifikatkette
    • Schützen privater Schlüssel während des Imports

    Siehe Importieren eines Zertifikats.

Weitere Informationen zu Zertifikaten finden Sie unter Azure Key Vault-Zertifikate.

Verwaltung des Zertifikatlebenszyklus

Implementieren Sie die richtige Verwaltung des Zertifikatlebenszyklus, um Ablauf- und Ausfallsausfälle zu verhindern:

  • Automatische Verlängerung aktivieren: Konfigurieren der automatischen Verlängerung für Zertifikate, die von integrierten Zertifizierungsstellen ausgestellt wurden. Weitere Informationen finden Sie unter Verlängern Ihrer Azure Key Vault Zertifikate.

  • Legen Sie das Erneuerungszeitfenster vor dem Ablauf fest: Konfigurieren Sie das Zertifikat so, dass es rechtzeitig vor seinem Ablauf erneuert wird. Üblich ist es, die Verlängerung bei etwa 80% der Lebensdauer des Zertifikats auszulösen. Passen Sie diesen Wert basierend auf der Ausstellungslatenz Ihrer Zertifizierungsstelle und Ihren Änderungssteuerungsprozessen an.

  • Überwachen des Ablaufs des Zertifikats: Verwenden Sie das Ereignis "Event Grid Microsoft.KeyVault.CertificateNearExpiry ", das 30 Tage vor Ablauf ausgelöst wird, sowie Microsoft.KeyVault.CertificateExpiredMicrosoft.KeyVault.CertificateNewVersionCreated zum Nachverfolgen des vollständigen Lebenszyklus. Weitere Informationen finden Sie unter Azure Key Vault als Ereignisrasterquelle.

  • Führen Sie ein Zertifikatsinventar: Verfolgen Sie alle Zertifikate, ihre Verwendungszwecke, die zugehörigen Anwendungen und Ablaufdaten.

Weitere Informationen zur Verlängerung finden Sie im Lernprogramm: Konfigurieren der Autorotation von Zertifikaten im Key Vault.

Zertifikatzugriffskontrolle

Steuern, wer auf Zertifikate zugreifen und verwalten kann:

  • Separate Zertifikatberechtigungen: Verwenden Sie Azure RBAC, um bestimmte Zertifikatberechtigungen zu erteilen:

    • Key Vault Zertifikatbenutzer: Lesen von Zertifikaten und öffentlichen Schlüsseln.
    • Key Vault Certificates Officer: Verwalten des Zertifikatlebenszyklus (Erstellen, Importieren, Erneuern, Löschen).
    • Key Vault-Bereinigungsoperator: Löschen gelöschter Zertifikate während des Aufbewahrungszeitraums für vorläufiges Löschen.

    Die vollständige Liste der integrierten Rollen finden Sie unter In Azure integrierte Rollen für Datenebenenvorgänge von Key Vault.

  • Einschränken des Administratorzugriffs: Beschränken von Zertifikatverwaltungsvorgängen auf autorisierte Mitarbeiter

  • Verwenden von verwalteten Identitäten: Anwendungen sollten auf Zertifikate mithilfe von verwalteten Identitäten und nicht auf Dienstprinzipale mit gespeicherten Anmeldeinformationen zugreifen.

Siehe Bereitstellen des Zugriffs auf Key Vault-Zertifikate mit Azure RBAC.

Zertifikatausstellungsrichtlinien

Konfigurieren Von Zertifikatrichtlinien zum Erzwingen von Sicherheitsanforderungen:

  • Festlegen geeigneter Gültigkeitszeiträume:

    • Öffentlich vertrauenswürdige TLS-Zertifikate: Befolgen Sie die aktuellen Anforderungen des Ca/Browser-Forums. Die maximale Gültigkeit von public-TLS wird auf 200 Tage (ab März 2026) reduziert und soll weiter sinken (100 Tage im Jahr 2027, 47 Tage im Jahr 2029). Planen Sie kürzere Lebensdauern und die vollständige Automatisierung der Erneuerung.
    • Interne Zertifikate: Legen Sie die Gültigkeit basierend auf der Organisationsrichtlinie fest, und halten Sie die Lebensdauer so kurz, wie Ihre Rotationsautomatisierung unterstützt.
    • Codesignaturzertifikate: Befolgen Sie Branchenstandards für die Zielplattform.

  • Verwenden Sie starke Schlüsselalgorithmen:

    • RSA: Mindestens 2048-Bit, 4096-Bit für Szenarien mit hoher Sicherheit
    • EC: P-256-, P-384- oder P-521-Kurven

  • Konfigurieren Sie alternative Subjektnamen (SANs): Fügen Sie alle erforderlichen DNS-Namen und IP-Adressen hinzu.

  • Festlegen von Schlüsselverwendungserweiterungen: Angeben der geeigneten Schlüsselverwendung (digitale Signatur, Schlüssel-Enzipherment) und erweiterte Schlüsselverwendung (Serverauthentifizierung, Clientauthentifizierung)

Weitere Informationen zu Zertifikatrichtlinien finden Sie unter Azure Key Vault-Zertifikaterstellung.

Zertifikatüberwachung und Warnungen

Nachverfolgen von Zertifikatvorgängen und Lebenszyklusereignissen:

  • Diagnoseprotokollierung aktivieren: Protokollieren aller Zertifikatvorgänge, einschließlich:

    • Erstellen und Importieren von Zertifikaten
    • Zertifikaterneuerungsversuche (Erfolg/Fehler)
    • Zertifikatzugriff (Zertifikat abrufen, privaten Schlüssel abrufen)
    • Zertifikatlöschung

    Siehe Azure Key Vault-Protokollierung.

  • Konfigurieren von Ablaufwarnungen: Einrichten von Azure Monitor-Warnungen für:

    • Zertifikate, die innerhalb von 30 Tagen ablaufen
    • Fehlgeschlagene Erneuerungsversuche
    • Zertifikatzugriff durch nicht autorisierte Identitäten

    Weitere Informationen finden Sie unter Überwachung und Warnungen für Azure Key Vault.

  • Überprüfen der Zertifikatverwendung: Regelmäßig überwachen, welche Anwendungen und Dienste jedes Zertifikat verwenden

Zertifikatexport und -sicherung

Schützen der Zertifikatverfügbarkeit bei gleichzeitiger Aufrechterhaltung der Sicherheit:

  • Steuern von Exportvorgängen: Einschränken, wer Zertifikate mit privaten Schlüsseln exportieren kann (exportierbares Flag in der Zertifikatrichtlinie)

  • Vorläufiges Löschen aktivieren: Wiederherstellen versehentlich gelöschter Zertifikate innerhalb des Aufbewahrungszeitraums (7-90 Tage). Siehe Übersicht über das vorläufige Löschen von Azure Key Vault

  • Löschschutz aktivieren: Verhindern des dauerhaften Löschens während des Aufbewahrungszeitraums. Siehe Löschschutz

  • Sichern kritischer Zertifikate: Exportieren und sichern Sie Sicherungen von Zertifikaten für die Notfallwiederherstellung. Siehe Azure Key Vault-Sicherung

  • Schützen exportierter Zertifikate: Beim Exportieren von Zertifikaten:

    • Verwenden sicherer Kennwörter für PFX-Dateien
    • Speichern exportierter Dateien an sicheren Speicherorten
    • Temporäre Dateien nach der Verwendung löschen
    • Exportvorgänge überwachen

Zertifikattransparenz und Compliance

Sorgen Sie für die Sichtbarkeit der Zertifikatausstellung:

  • Das Verhalten der Zertifikatstransparenz (CT) verstehen: Bei öffentlich vertrauenswürdigen Zertifikaten, die über die integrierten Zertifizierungsstellen von Key Vault ausgestellt werden, übernimmt die Zertifizierungsstelle die Übermittlung an CT-Protokolle – Sie aktivieren dies nicht in Key Vault. Öffentlich vertrauenswürdige Zertifikate und Metadaten verlassen während der Registrierung die Azure-Grenze und werden gemäß den Vertrauensanforderungen der Browser in öffentlichen CT-Logs protokolliert. Weitere Informationen finden Sie in der Notiz zu externen Ca- und CT-Protokollbehandlungen in Informationen zu Azure Key Vault Zertifikaten.

  • Dokumentzertifikatzwecke: Verwalten von Datensätzen von:

    • Zertifikatzweck und Besitzeranwendung
    • Genehmigungsprozess für die Zertifikatausstellung
    • Verfahren zur Zertifikaterneuerung

Selbstsignierte Zertifikate

Bei Verwendung von selbstsignierten Zertifikaten für Tests oder interne Zwecke:

  • Beschränkung auf nicht-produktive Umgebungen: Selbstsignierte Zertifikate sollten nicht in der Produktion für öffentlich zugängliche Dienste verwendet werden.

  • Festlegen geeigneter Gültigkeitszeiträume: Verwenden Sie kürzere Gültigkeitszeiträume für selbstsignierte Zertifikate (90 Tage oder weniger)

  • Verwalten der Vertrauensverteilung: Dokumentieren, wie das Vertrauen in selbstsignierte Zertifikate an Clients vermittelt wird

  • Planen der Migration zu von der Zertifizierungsstelle ausgestellten Zertifikaten: Eine Strategie zum Ersetzen von selbstsignierten Zertifikaten durch von der Zertifizierungsstelle ausgestellte Zertifikate für die Produktion

Weitere Informationen zu selbstsignierten Zertifikaten finden Sie unter Erstellen eines Zertifikats mit Key Vault.

Nächste Schritte

  • Last updated on