Guía de integración de Microsoft Azure
Resumen
Esta guía describe cómo preparar Microsoft Azure para que la extensión de detección pueda enumerar certificados y claves, cómo crear las credenciales de solo lectura necesarias y cómo introducirlas en la configuración de detección. Se incluyen instrucciones tanto para el Portal de Azure como para la CLI de Azure.
El descubrimiento lee material criptográfico de todo su entorno Azure:
- Azure Key Vault: Claves (RSA, ECDSA, AES) y certificados con metadatos X.509 completos y jerarquía de CA.
- HSM administrado por Azure: El inventario de claves extendido de Key Vault se encuentra en hardware HSM validado.
- Certificados de servicio de aplicaciones: Enlaces TLS y configuraciones SSL de dominio personalizadas
- Puerta de enlace de aplicaciones de Azure: Perfiles SSL, certificados de backend y certificados de escucha.
- Puerta principal azul: Enlaces SSL de dominio personalizado
- Administración de API de Azure: Certificados de nivel API y certificados de puerta de enlace
La función Discovery es de solo lectura. Lee los metadatos de los objetos, como el tipo, el algoritmo, la longitud de la clave y la validez. Nunca crea, modifica, exporta ni elimina nada en Azure, y nunca extrae información de la clave privada.
Dos maneras de trabajar. Todo lo que se describe a continuación se puede hacer de dos maneras. Elige la que prefieras para cada paso:
| Moda | Cómo acceder a él | Ideal para |
|---|---|---|
| Azure Portal | Un navegador en “https:// portal.azure.com” | Configuración mediante apuntar y hacer clic, cambios puntuales |
| CLI de Azure | La herramienta de línea de comandos “az” en su computadora | Creación de scripts, copiar y pegar la configuración, generación Cartas credenciales |
Requisitos previos
Antes de comenzar, confirme lo siguiente:
- Una suscripción de Azure que contenga los almacenes de claves, los módulos de seguridad de hardware o los servicios que desea inventariar.
- Permiso para crear un registro de aplicación (una entidad de servicio) en su inquilino de Microsoft Entra ID, o un administrador que pueda crearlo por usted.
- Permiso para asignar roles de solo lectura a las suscripciones, grupos de recursos o bóvedas que desea escanear.
- El host de descubrimiento debe poder acceder a los puntos de conexión de administración de Azure y de Key Vault a través de la red.
No es necesario que instale ningún software. Usted proporciona las credenciales y el alcance del escaneo.
Guía paso por paso
Paso 1: elija un método de autenticación
Discovery inicia sesión en Azure utilizando uno de los siguientes métodos. Se recomienda el uso de una entidad de servicio automatizada.
| Método | ¿Qué ofreces? | Ideal para |
|---|---|---|
| Director de servicio (recomendado) | ID de inquilino, ID de cliente y clave secreta del cliente | Descubrimiento automatizado y sin supervisión |
| Identidad administrada | No hay nada que copiar; la identidad está vinculada al anfitrión. | Descubrimiento ejecutándose en una máquina virtual o servicio de Azure. |
| contexto de la CLI de Azure | Una sesión “az login” existente en el host de descubrimiento | Pruebas rápidas desde un usuario registrado máquina |
El resto de esta guía describe cómo configurar una entidad de servicio, ya que es la opción más portátil.
Paso 2: Crear el principal del servicio de descubrimiento
Portal Azure
- Ve a Microsoft Entra ID, luego a Registros de aplicaciones y, por último, a Nuevo registro.
- Asígnele, por ejemplo, cbom_discovery, y haga clic en Registrar.
- En la descripción general de la aplicación, copie el ID de la aplicación (cliente) y el ID del directorio (inquilino).
- Ve a Certificados y secretos, luego a Nuevo secreto de cliente. Establece una descripción y una fecha de caducidad, y luego haz clic en Agregar.
- Copia el valor secreto inmediatamente. Solo se muestra una vez.
CLI de Azure
# Crea el registro de la aplicación, una entidad de servicio y un secreto de cliente en un solo paso az ad sp create-for-rbac --name cbom_discovery --role Reader \ --scopes /subscriptions/
El comando imprime appId (ID de cliente), password (secreto de cliente) y tenant (ID de inquilino). Copie los tres ahora.
Paso 3: Otorgar acceso de solo lectura
El usuario principal del servicio solo necesita el acceso suficiente para listar y leer los metadatos, nada más.
Alcance de la suscripción o del grupo de recursos
Asigne el rol de Lector integrado al ámbito que desea analizar (una suscripción completa o un único grupo de recursos).
Portal Azure
- Abra la suscripción o el grupo de recursos y, a continuación, Control de acceso (IAM).
- Haga clic en Agregar y, a continuación, en Agregar asignación de rol.
- Seleccione el rol de Lector, luego seleccione su aplicación cbom_discovery y, a continuación, guarde.
CLI de Azure
az role assignment create --assignee \ --rol Lector \ --ámbito /suscripciones/
Acceso a los datos de Key Vault
El rol de Lector permite ver los metadatos del repositorio, pero no los objetos que contiene. También se puede otorgar acceso de solo lectura a los datos, según el modelo de permisos del repositorio.
Para los almacenes que utilizan Azure RBAC, asigne el rol integrado de Lector de Key Vault a cbom_discovery:
az role assignment create --assignee \ --role "Lector de Key Vault" \ --scope /subscriptions/ # Acceso de solo lectura a los metadatos de certificados, claves y secretos.
Para las bóvedas que utilizan políticas de acceso (el modelo clásico), abra la bóveda, luego Políticas de acceso y, a continuación, añada una política para cbom_discovery que otorgue permisos de Listado y Obtención únicamente para Claves, Certificados y Secretos. No otorgue permisos de creación, importación, eliminación ni purga.
Nota: Otorgue únicamente permisos de Listado y Obtención. Discovery lee los metadatos; nunca necesita permisos de escritura, eliminación ni exportación de claves.
Paso 4: Recopile sus valores de conexión
Antes de configurar el descubrimiento, reúna lo siguiente:
| Valor | De dónde viene |
|---|---|
| Identificación del inquilino | El ID del directorio (inquilino) de la Sección 3 |
| ID de cliente | El ID de la aplicación (cliente) de la Sección 3 |
| Secreto del cliente | El valor secreto copiado en la Sección 3 (solo entidad de servicio) |
| identificación de suscripción | La suscripción que contiene los recursos para escanear |
| Autenticación Método | Entidad de servicio, identidad administrada o contexto de la CLI de Azure (Sección 2) |
| Alcance para escanear | Suscripción completa, uno o más grupos de recursos o bóvedas específicas. |
| Los servicios incluyen: | Cualquiera de Key Vault, HSM administrado, App Service, Application Gateway, Front Door, API Gestión |
Paso 5: Introduzca los valores en la configuración de descubrimiento.
En la plataforma CBOM, cree una nueva tarea de detección de Microsoft Azure y complete el formulario:
| Valor | De dónde viene |
|---|---|
| Nombre del escaneo | Una etiqueta para esta ejecución, por ejemplo Azure_Discovery |
| Identificación del inquilino | El ID del directorio (inquilino) de la Sección 5 |
| ID de cliente | El ID de la aplicación (cliente) de la Sección 5 |
| Secreto del cliente | Solo el Entidad de Servicio: el Valor secreto de la Sección 3 |
| identificación de suscripción | La suscripción para escanear |
| Autenticación Método | Seleccione Entidad de servicio, Identidad administrada o contexto de la CLI de Azure. |
| <b></b><b></b> | Suscripción completa, o grupos de recursos o bóvedas específicas. |
| Servicios para escanear | Seleccione Key Vault, HSM administrado, App Service, Application Gateway, Front Door y/o Administración de API |
Guarda y ejecuta la tarea.
Paso 6: Validar
Tras ejecutar la tarea de detección, confirme:
- La tarea se completa sin errores de autenticación o autorización.
- Los certificados y las claves de sus bóvedas de claves aparecen en el inventario, con el algoritmo, la longitud de la clave y la validez.
- Los certificados de servicio de App Service, Application Gateway, Front Door o API Management aparecen donde dichos servicios están incluidos en el ámbito de aplicación.
Puede verificar el acceso a las credenciales con la CLI de Azure, utilizando los mismos métodos de detección de entidades de servicio:
inicio de sesión az --principal-servicio -u -pag --arrendatario az keyvault list az keyvault certificate list --vault-name
Localización de averías
| Síntoma | Causa probable | Solución |
|---|---|---|
| AADSTS700016 o no válido Cliente | ID de cliente o ID de inquilino incorrectos | Confirme que los valores de la Sección 3 coinciden con el registro de la aplicación. |
| Secreto de cliente no válido | El secreto se ha escrito mal o ha caducado. | Cree un nuevo secreto de cliente (Sección 3) y actualice la configuración. |
| Autorización fallida | El rol de Lector no está asignado en el alcance | Asigne un lector al grupo de suscripción o de recursos (Sección 4.1) |
| Los metadatos de la bóveda son visibles pero no hay objetos | Acceso a datos de Key Vault faltante | Otorgar permisos de Lector de Key Vault (RBAC) o una política de acceso de Listado y Obtención (Sección 4.2) |
| No se descubrió nada | Suscripción o alcance incorrectos, o no hay recursos presentes | Confirme el ID de suscripción y que el alcance contiene bóvedas o servicios. |
| Tiempo de espera agotado o error de red | El host de descubrimiento no puede alcanzar Puntos de conexión de Azure | Confirme el acceso saliente a los puntos de conexión de administración de Azure y Key Vault. |
Lista de verificación final
- Se ha creado una entidad de servicio (registro de aplicación) para su descubrimiento.
- Se copiaron el ID de inquilino, el ID de cliente y el secreto de cliente.
- Rol de lector asignado en el ámbito de la suscripción o del grupo de recursos.
- Acceso a datos de Key Vault concedido (Key Vault Reader o política de acceso de Listado y Obtención).
- Servicios seleccionados: Key Vault, HSM gestionado, App Service, Application Gateway, Front Door, API Management.
- Se introdujeron los valores en la configuración de detección de Microsoft Azure y la tarea se ejecutó sin errores.