Uw Azure Key Vault-certificaten beveiligen

Azure Key Vault-certificaten beheren X.509-certificaten en de bijbehorende persoonlijke sleutels voor TLS/SSL, verificatie en ondertekening van code. Dit artikel bevat beveiligingsaan aanbevelingen die specifiek zijn voor certificaatbeheer.

Opmerking

Dit artikel is gericht op beveiligingsprocedures die specifiek zijn voor Key Vault-certificaten. Zie Uw Azure Key Vault beveiligen voor uitgebreide beveiligingsrichtlijnen voor Key Vault, waaronder netwerkbeveiliging, identiteits- en toegangsbeheer en kluisarchitectuur.

Certificaatopslag en -indeling

Key Vault-certificaten combineren X.509-certificaten met hun persoonlijke sleutels en bieden geautomatiseerde beheermogelijkheden:

  • Certificaten opslaan, niet geheimen: gebruik altijd het certificaatobjecttype key vault in plaats van certificaten op te slaan als geheimen. Certificaatobjecten bieden:

    • Geautomatiseerd levenscyclusbeheer
    • Integratie met certificeringsinstanties (CA's)
    • Mogelijkheden voor automatische verlenging
    • Ingebouwde versiebeheer

  • Vertrouwde certificeringsinstanties gebruiken: integreren met ondersteunde CA's voor geautomatiseerde uitgifte en verlenging:

    • DigiCert
    • GlobalSign
    • Andere geïntegreerde CA's

    Zie Key Vault integreren met certificeringsinstanties.

  • Externe certificaten correct importeren: bij het importeren van certificaten uit externe bronnen:

    • PFX- of PEM-indeling gebruiken
    • De volledige certificaatketen opnemen
    • Persoonlijke sleutels beveiligen tijdens het importeren

    Zie Een certificaat importeren.

Zie Over Azure Key Vault-certificaten voor meer informatie over certificaten.

Levenscyclusbeheer van certificaten

Implementeer het juiste levenscyclusbeheer voor certificaten om verloop- en storingen te voorkomen:

  • Automatische verlenging inschakelen: automatische verlenging configureren voor certificaten die zijn uitgegeven door geïntegreerde CA's. Zie Uw Azure Key Vault certificaten vernieuwen voor meer informatie.

  • Stel het verlengingsvenster in voordat het verloopt: configureer het certificaat zodanig dat het goed wordt vernieuwd voordat het verloopt. Een veelvoorkomende procedure is het activeren van verlenging op ongeveer 80% van de levensduur van het certificaat. Pas deze waarde aan op basis van de uitgiftelatentie van uw CA en de processen voor wijzigingsbeheer.

  • Verloop van certificaat bewaken: gebruik de Event Grid-gebeurtenis Microsoft.KeyVault.CertificateNearExpiry , die 30 dagen vóór de vervaldatum wordt geactiveerd, plus Microsoft.KeyVault.CertificateExpired en Microsoft.KeyVault.CertificateNewVersionCreated om de volledige levenscyclus bij te houden. Zie Azure Key Vault als Event Grid-bron voor meer informatie.

  • Een certificaatinventaris onderhouden: houd alle certificaten, hun doeleinden, de toepassingen die eigenaar zijn en vervaldatums bij.

Zie zelfstudie: Automatischerotatie van certificaten configureren in Key Vault voor meer informatie over verlenging.

Toegangsbeheer voor certificaten

Bepalen wie toegang heeft tot certificaten en beheert:

  • Afzonderlijke certificaatmachtigingen: Gebruik Azure RBAC om specifieke certificaatmachtigingen te verlenen:

    • Key Vault certificaatgebruiker: certificaten en openbare sleutels lezen.
    • Key Vault Certificates Officer: levenscyclus van certificaten beheren (maken, importeren, vernieuwen, verwijderen).
    • Key Vault Operator voor opschonen: verwijderde certificaten leegmaken tijdens de bewaarperiode voor voorlopig verwijderen.

    Zie Azure ingebouwde rollen voor Key Vault gegevensvlakbewerkingen voor de volledige lijst met ingebouwde rollen.

  • Beheertoegang beperken: beheerbewerkingen voor certificaten beperken tot alleen geautoriseerd personeel

  • Beheerde identiteiten gebruiken: toepassingen moeten toegang krijgen tot certificaten met beheerde identiteiten in plaats van service-principals met opgeslagen referenties

Zie Toegang bieden tot Key Vault-certificaten met Azure RBAC.

Certificaatuitgiftebeleid

Certificaatbeleid configureren om beveiligingsvereisten af te dwingen:

  • Stel de juiste geldigheidsperioden in:

    • Openbaar vertrouwde TLS-certificaten: volg de huidige basislijnvereisten voor ca/browserforums. De maximale openbare TLS-geldigheid wordt verlaagd tot 200 dagen (vanaf maart 2026) en wordt gepland om verder te dalen (100 dagen in 2027, 47 dagen in 2029). Plan voor kortere levensduur en volledige automatisering van verlenging.
    • Interne certificaten: stel geldigheid in op basis van organisatiebeleid, zodat de levensduur zo kort blijft als uw rotatieautomatisering ondersteunt.
    • Certificaten voor ondertekening van programmacode: volg industriestandaarden voor het doelplatform.

  • Sterke sleutelalgoritmen gebruiken:

    • RSA: minimaal 2048-bits, 4096-bits voor scenario's met hoge beveiliging
    • EG: P-256-, P-384- of P-521-curven

  • Alternatieve onderwerpnamen (SAN's) configureren: alle vereiste DNS-namen en IP-adressen opnemen

  • Extensies voor sleutelgebruik instellen: geef het juiste sleutelgebruik (Digitale handtekening, sleutelcodering) en uitgebreid sleutelgebruik (serververificatie, clientverificatie) op

Zie Voor meer informatie over certificaatbeleid het maken van Azure Key Vault-certificaten.

Certificaatbewaking en -waarschuwingen

Certificaatbewerkingen en levenscyclus-gebeurtenissen bijhouden:

  • Diagnostische logboekregistratie inschakelen: alle certificaatbewerkingen registreren, waaronder:

    • Certificaat maken en importeren
    • Pogingen tot certificaatvernieuwing (geslaagd/mislukt)
    • Toegang tot certificaten (certificaat ophalen, persoonlijke sleutel ophalen)
    • Certificaat verwijderen

    Zie logboekregistratie van Azure Key Vault.

  • Vervaldatumwaarschuwingen configureren: Azure Monitor-waarschuwingen instellen voor:

    • Certificaten verlopen binnen 30 dagen
    • Mislukte vernieuwingspogingen
    • Toegang tot certificaten door niet-geautoriseerde identiteiten

    Zie Bewaking en waarschuwingen voor Azure Key Vault.

  • Certificaatgebruik controleren: controleer regelmatig welke toepassingen en services elk certificaat gebruiken

Certificaatexport en backup

Beschikbaarheid van certificaten beveiligen met behoud van beveiliging:

  • Exportbewerkingen beheren: beperken wie certificaten kan exporteren met persoonlijke sleutels (exportbare vlag in certificaatbeleid)

  • Voorlopig verwijderen inschakelen: per ongeluk verwijderde certificaten herstellen binnen de bewaarperiode (7-90 dagen). Zie overzicht van voorlopig verwijderen van Azure Key Vault

  • Beveiliging tegen opschonen inschakelen: permanente verwijdering voorkomen tijdens de bewaarperiode. Zie Bescherming tegen opschonen

  • Back-ups maken van kritieke certificaten: back-ups van certificaten exporteren en veilig opslaan voor herstel na noodgevallen. Zie Azure Key Vault-back-up

  • Geëxporteerde certificaten beveiligen: bij het exporteren van certificaten:

    • Sterke wachtwoorden gebruiken voor PFX-bestanden
    • Geëxporteerde bestanden opslaan op veilige locaties
    • Tijdelijke bestanden verwijderen na gebruik
    • Exportbewerkingen controleren

Transparantie en naleving van certificaten

Zichtbaarheid van certificaatuitgifte behouden:

  • Inzicht in de werking van Certificate Transparency (CT): Voor openbaar vertrouwde certificaten die zijn uitgegeven via de geïntegreerde certificaatautoriteiten van Key Vault, zorgt de CA voor indiening bij CT-logs; u hoeft dit niet in Key Vault in te schakelen. Openbaar vertrouwde certificaten en metagegevens verlaten de Azure grens tijdens de inschrijving en worden vastgelegd door openbare CT-logboeken per browservertrouwensvereisten. Zie de opmerking over de verwerking van externe CA- en CT-logboeken in Over Azure Key Vault certificaten voor meer informatie.

  • Doeleinden van certificaatdocumenten: documenten van:

    • Certificaatdoel en eigenaarstoepassing
    • Goedkeuringsproces voor certificaatuitgifte
    • Procedures voor certificaatvernieuwing

Zelfondertekende certificaten

Wanneer u zelfondertekende certificaten gebruikt voor testen of interne doeleinden:

  • Limiet voor niet-productieomgevingen: zelfondertekende certificaten mogen niet worden gebruikt in productie voor openbaar toegankelijke services

  • De juiste geldigheidsperioden instellen: Kortere geldigheidsperioden gebruiken voor zelfondertekende certificaten (90 dagen of minder)

  • Vertrouwensdistributie beheren: Documenteer hoe zelf ondertekend certificaatvertrouwen wordt gedistribueerd naar klanten

  • Migratie van door CA uitgegeven certificaten plannen: een strategie hebben om zelfondertekende certificaten te vervangen door door CA uitgegeven certificaten voor productie

Zie Een certificaat maken met Key Vault voor meer informatie over zelfondertekende certificaten.

Volgende stappen

  • Last updated on