Proteja seu Azure Key Vault

O Azure Key Vault protege chaves de criptografia, certificados (e as chaves privadas associadas aos certificados) e segredos (como cadeias de conexão e senhas) na nuvem. Quando você está armazenando dados confidenciais e comercialmente críticos, você deve tomar medidas para maximizar a segurança dos seus cofres e dos dados armazenados neles.

As recomendações de segurança neste artigo implementam princípios de Confiança Zero: "Verificar explicitamente", "Usar acesso de privilégio mínimo" e "Assumir violação". Para obter diretrizes abrangentes sobre Confiança Zero, consulte o Centro de Diretrizes de Confiança Zero.

Este artigo fornece recomendações de segurança para ajudar a proteger sua implantação do Azure Key Vault.

Segurança específica do serviço

O Azure Key Vault tem considerações de segurança exclusivas relacionadas à arquitetura do cofre e ao uso apropriado do serviço para armazenar materiais criptográficos.

  • Use um cofre de chaves por aplicativo, região e ambiente: crie cofres de chaves separados para ambientes de desenvolvimento, pré-produção e produção para reduzir o impacto das violações.

    Os cofres de chaves definem limites de segurança para segredos armazenados. Agrupar segredos no mesmo cofre aumenta o raio de explosão de um evento de segurança porque os ataques podem ser capazes de acessar segredos através de interesses. Para reduzir o acesso entre as áreas de interesse, considere a quais segredos um aplicativo específico deve ter acesso e separe os cofres de chaves com base nessa delimitação. Separar cofres de chaves por aplicativo é o limite mais comum. Os limites de segurança, no entanto, podem ser mais granulares para aplicativos grandes, por exemplo, por grupo de serviços relacionados.

  • Use um cofre de chaves por locatário em soluções multilocatários: para soluções SaaS multilocatários, use um cofre de chaves separado para cada locatário para manter o isolamento de dados. Essa abordagem fornece isolamento seguro de dados e cargas de trabalho do cliente. Para obter mais informações, consulte Multilocação e Azure Key Vault.

  • Não use Key Vault como um repositório de dados para configuração de cliente ou serviço: os serviços devem usar Armazenamento do Azure com criptografia em repouso ou Configuração de Aplicativos do Azure. Essas opções são mais eficazes para cenários de configuração.

  • Não armazene certificados (de propriedade do cliente ou do serviço) como segredos: armazene os certificados de propriedade do serviço como certificados do Key Vault e configure-os para rotação automática. Para obter mais informações, consulte Cofre de Chaves do Azure: Certificados e Entendendo a autorotação no Cofre de Chaves do Azure.

  • Não armazene o conteúdo do cliente em Key Vault: Key Vault não é um armazenamento de dados e não é criado para dimensionar como um. Em vez disso, use Azure Cosmos DB ou Armazenamento do Azure. Os clientes que desejam BYOK (Bring Your Own Key) para criptografia em repouso podem armazenar a chave de encapsulamento no Azure Key Vault e usá-la para criptografar dados no Armazenamento do Azure.

Segurança de rede

A redução da exposição à rede é essencial para proteger o Azure Key Vault contra acesso não autorizado. Configure restrições de rede com base nos requisitos e no caso de uso da sua organização. Para obter informações detalhadas e instruções de configuração passo a passo, consulte Configurar a segurança de rede para o Azure Key Vault.

Esses recursos de segurança de rede são listados dos recursos mais restritos aos menos restritos. Escolha a configuração que melhor se adapte ao caso de uso da sua organização.

  • Desabilite o acesso à rede pública e use somente Pontos de Extremidade Privados: implante o Link Privado do Azure para estabelecer um ponto de acesso privado de uma rede virtual para o Azure Key Vault e evite a exposição à Internet pública. Desativar o acesso público bloqueia as conexões do plano de dados; os registros DNS públicos do cofre permanecem resolvíveis por design (consulte Visibilidade do DNS público de um cofre de chaves privadas). Para obter as etapas de implementação, consulte Integrar o Key Vault ao Link Privado do Azure

  • Habilite o Firewall do Key Vault: limite o acesso a endereços IP estáticos públicos ou suas redes virtuais. Para obter detalhes completos, consulte Configurar a segurança de rede: configurações de firewall.

    • Alguns cenários de cliente exigem serviços confiáveis da Microsoft para ignorar o firewall, nesses casos, o cofre pode precisar ser configurado para permitir Serviços Microsoft Confiáveis. Somente os serviços na tabela Serviços confiáveis são permitidos por essa opção; os serviços da Microsoft que não estão na lista (por exemplo, Azure DevOps) ainda precisam de uma regra de IP do firewall, uma regra de rede virtual ou um ponto de extremidade privado.

  • Use o Perímetro de Segurança de Rede: defina um limite de isolamento de rede lógica para recursos de PaaS (por exemplo, Azure Key Vault, Armazenamento do Azure e Banco de Dados SQL) que são implantados fora do perímetro de rede virtual da sua organização e/ou endereços IP estáticos públicos. Para obter detalhes completos, consulte Configurar a segurança de rede: Perímetro de Segurança de Rede.

    • publicNetworkAccess: SecuredByPerimeter substitui "Permitir que serviços confiáveis da Microsoft ignorem o firewall", o que significa que alguns cenários que exigem essa confiança não funcionarão.

  • Impor controle de versão do TLS em clientes: Azure Key Vault dá suporte ao TLS 1.2 e 1.3. Como o front-end Key Vault é um serviço multilocatário em que cofres de clientes diferentes podem compartilhar o mesmo endereço IP público, cada solicitação HTTPS é autenticada e autorizada de forma independente. Os clientes participam da negociação do TLS, portanto, fixe seus clientes no TLS 1.2 ou 1.3 para garantir que cada conexão use o nível correspondente de proteção. Para obter mais informações, consulte Registro do Key Vault para ver exemplos de consultas Kusto para monitorar as versões TLS usadas pelos clientes.

Gerenciamento de identidade e acesso

O Azure Key Vault usa a ID do Microsoft Entra para autenticação. O acesso é controlado por meio de duas interfaces: o plano de controle (para gerenciar o próprio Key Vault) e o plano de dados (para trabalhar com chaves, segredos e certificados). Para obter detalhes sobre o modelo de acesso e os pontos de extremidade, consulte Azure RBAC para operações no plano de dados do Key Vault.

  • Habilite identidades gerenciadas: use identidades gerenciadas do Azure para todas as conexões de aplicativo e serviço com o Azure Key Vault para eliminar credenciais codificadas. As identidades gerenciadas ajudam a proteger a autenticação, removendo a necessidade de credenciais explícitas. Para obter métodos e cenários de autenticação, consulte a autenticação do Azure Key Vault.

  • Use o controle de acesso baseado em função: use o Controle de Acesso Baseado em Função (RBAC) do Azure para gerenciar o acesso ao Azure Key Vault. Para obter mais informações, consulte RBAC do Azure para operações do plano de dados do Key Vault.

    O modelo de permissões RBAC permite atribuições de funções em nível de cofre para acesso persistente e atribuições qualificadas (JIT) para operações privilegiadas. As atribuições de escopo de objeto suportam apenas operações de leitura; operações administrativas, como controle de acesso à rede, monitoramento e gerenciamento de objetos, exigem permissões em nível de cofre. Para isolamento seguro entre as equipes de aplicativos, use um Key Vault por aplicativo.

  • Atribua funções com privilégios JIT (just-in-time): use o PIM (Privileged Identity Management) do Azure para atribuir funções do RBAC do Azure qualificadas para administradores e operadores do Key Vault. Para obter mais informações, consulte visão geral do Privileged Identity Management (PIM).

  • Habilite Políticas de Acesso Condicional do Microsoft Entra: o Key Vault dá suporte a políticas de Acesso Condicional do Microsoft Entra para aplicar controles de acesso com base em condições como localização do usuário ou dispositivo. Para obter mais informações, consulte Visão Geral sobre o acesso condicional.

  • Aplique o princípio de privilégio mínimo: limite o número de usuários com funções administrativas e verifique se os usuários recebem apenas as permissões mínimas necessárias para sua função. Para obter mais informações, consulte Aprimorar a segurança com o princípio de privilégios mínimos.

Proteção de dados

A proteção dos dados armazenados no Azure Key Vault exige a ativação da exclusão reversível, da proteção contra depuração e a implementação da rotação automática de materiais criptográficos.

Registro e monitoramento

O registro em log e o monitoramento abrangentes permitem a detecção de atividades suspeitas e a conformidade com os requisitos de auditoria.

  • Habilite o registro em log de auditoria: o log do Key Vault salva informações sobre as operações executadas no cofre. Para obter mais informações, consulte Registro do Key Vault.

  • Habilite o Microsoft Defender para Key Vault: habilite o Microsoft Defender para Key Vault para monitorar e alertar sobre atividades suspeitas. Para obter mais informações, consulte Introdução ao Microsoft Defender for Key Vault.

  • Habilite alertas de log para eventos de segurança: configure alertas para serem notificados quando eventos críticos forem registrados, como falhas de acesso ou exclusões secretas. Para obter mais informações, consulte Monitoramento e alertas para o Azure Key Vault.

  • Monitore e alerte: integre o Key Vault à Grade de Eventos para receber notificações sobre alterações em chaves, certificados ou segredos. Para obter mais informações, consulte Monitoramento de Key Vault com Grade de Eventos do Azure.

Conformidade e governança

Auditorias regulares de conformidade e políticas de governança garantem que sua implantação do Key Vault adere aos padrões de segurança e aos requisitos organizacionais.

Backup e recuperação

Os backups regulares garantem a continuidade dos negócios e protegem contra perda de dados contra exclusão acidental ou mal-intencionada.

  • Habilite o backup nativo para o Azure Key Vault: configure e use o recurso de backup nativo do Azure Key Vault para fazer backup de segredos, chaves e certificados, garantindo a recuperação. Para obter mais informações, consulte Azure Key Vault backup.

  • Verifique os backups de segredos que não podem ser recriados: faça backup de objetos do Key Vault (como chaves de criptografia) que não podem ser recriados de outras fontes. Para obter mais informações, consulte Azure Key Vault backup.

  • Teste procedimentos de backup e recuperação: para verificar a eficácia dos processos de backup, teste regularmente a restauração de segredos, chaves e certificados do Key Vault. Para obter mais informações, consulte Azure Key Vault backup.

  • Entenda a independência da cópia de backup: uma chave restaurada de um backup para outro cofre é totalmente independente do original. Desabilitar, excluir ou limpar a chave original não afeta nenhuma cópia restaurada. Desabilitar ou excluir a chave também coloca todos os serviços de dados dependentes offline (por exemplo, os bancos de dados TDE do SQL ficam inacessíveis e as contas de armazenamento com chaves gerenciadas pelo cliente retornam erros). Se houver suspeita de comprometimento de uma chave, troque para uma nova chave e migre os serviços que dependem dela antes de desabilitar a chave antiga. Para obter detalhes completos, consulte as considerações de segurança de backup e a resposta em caso de comprometimento de chave.

Para obter práticas recomendadas de segurança específicas de chaves, segredos e certificados, consulte:

Próximas etapas

  • Last updated on