Handleiding voor Microsoft Azure-integratie
Overzicht
Deze handleiding beschrijft hoe u Microsoft Azure kunt voorbereiden zodat de detectie-extensie certificaten en sleutels kan opsommen, hoe u de benodigde alleen-lezen referenties kunt aanmaken en hoe u deze referenties in de detectieconfiguratie kunt invoeren. Er worden stappen beschreven voor zowel de Azure Portal als de Azure CLI.
De ontdekking leest cryptografisch materiaal uit uw gehele Azure-omgeving:
- Azure-sleutelkluis: sleutels (RSA, ECDSA, AES) en certificaten met volledige X.509-metadata en CA-hiërarchie
- Azure Managed HSM: De uitgebreide sleutelvoorraad van Key Vault wordt bewaard in gevalideerde HSM-hardware.
- App-servicecertificaten: TLS-bindingen en aangepaste domein-SSL-configuraties
- Azure Application Gateway: SSL-profielen, backendcertificaten en listenercertificaten
- Azure Voordeur: aangepaste domein SSL-bindingen
- Azure API-beheer: API-certificaten en gatewaycertificaten
Discovery is alleen-lezen. Het leest objectmetadata zoals type, algoritme, sleutellengte en geldigheid. Het maakt, wijzigt, exporteert of verwijdert nooit iets in Azure en er wordt nooit privésleutelmateriaal geëxtraheerd.
Twee manieren om te werken. Alles hieronder kan op twee manieren worden gedaan. Kies voor elke stap de methode die u het prettigst vindt:
| Mode | Hoe je er toegang toe krijgt | Best voor |
|---|---|---|
| Azuur Portaal | Een browser op “https:// portal.azure.com” | Instellen met muisklik, eenmalige wijzigingen |
| Azure CLI | Het opdrachtregelprogramma "az" op uw computer | Scripting, kopiëren en plakken, genereren geloofsbrieven |
Voorwaarden
Controleer voordat u begint het volgende:
- Een Azure-abonnement dat de Key Vaults, HSM's of services bevat die u wilt inventariseren.
- Toestemming om een app-registratie (een service-principal) aan te maken in uw Microsoft Entra ID-tenant, of een beheerder die dit voor u kan doen.
- Toestemming om alleen-lezen rollen toe te wijzen aan de abonnementen, resourcegroepen of kluizen die u wilt laten scannen.
- De detectiehost moet de Azure-beheer- en Key Vault-eindpunten via het netwerk kunnen bereiken.
U hoeft aan uw kant geen software te installeren. U geeft de inloggegevens en het te scannen bereik op.
Stapsgewijze handleiding
Stap 1: Kies een authenticatiemethode
Discovery meldt zich aan bij Azure met behulp van een van de volgende methoden. Voor geautomatiseerd gebruik wordt een Service Principal aanbevolen.
| Methode | Wat u levert | Best voor |
|---|---|---|
| Hoofddienst (aanbevolen) | Tenant-ID, klant-ID en klantgeheim | Geautomatiseerde, onbeheerde ontdekking |
| Beheerde identiteit | Niets om te kopiëren; de identiteit is gekoppeld aan de host. | Ontdekking die wordt uitgevoerd op een Azure VM of service |
| Azure CLI-context | Een bestaande “az login”-sessie op de discovery host. | Snelle tests vanaf een ingelogde gebruiker machine |
De rest van deze handleiding beschrijft hoe u een serviceprincipal instelt, aangezien dit de meest overdraagbare optie is.
Stap 2: Maak de Discovery Service Principal aan
Azure-portaal
- Ga naar Microsoft Entra ID, vervolgens naar App-registraties en daarna naar Nieuwe registratie.
- Geef het bijvoorbeeld de naam cbom_discovery en klik op Registreren.
- Kopieer in het app-overzicht de applicatie-ID (client-ID) en de directory-ID (tenant-ID).
- Ga naar Certificaten en geheimen en vervolgens naar Nieuw clientgeheim. Stel een beschrijving en vervaldatum in en klik op Toevoegen.
- Kopieer de geheime waarde direct. Deze wordt slechts één keer weergegeven.
Azure CLI
# Maakt in één stap de app-registratie, een service-principal en een clientgeheim aan: az ad sp create-for-rbac --name cbom_discovery --role Reader \ --scopes /subscriptions/
Het commando print de appId (Client ID), het wachtwoord (Client Secret) en de tenant (Tenant ID). Kopieer ze alle drie nu.
Stap 3: Alleen-leestoegang verlenen
De serviceprincipal heeft alleen toegang nodig om metadata te kunnen weergeven en lezen, meer niet.
Abonnements- of resourcegroepbereik
Wijs de ingebouwde lezersrol toe aan het bereik dat u wilt scannen (een volledig abonnement of een enkele resourcegroep).
Azure-portaal
- Open het abonnement of de resourcegroep en vervolgens Toegangsbeheer (IAM).
- Klik op Toevoegen en vervolgens op Roltoewijzing toevoegen.
- Kies de rol 'Lezer', selecteer vervolgens uw cbom_discovery-app en klik op 'Opslaan'.
Azure CLI
az roltoewijzing aanmaken --toegewezen persoon \ --role Reader \ --scope /subscriptions/
Toegang tot Key Vault-gegevens
De rol 'Lezer' ziet de metagegevens van de kluis, maar niet de objecten in de kluis. Verleen ook alleen-leestoegang tot de gegevens, afhankelijk van het machtigingsmodel van de kluis.
Voor kluizen die Azure RBAC gebruiken, wijst u de ingebouwde Key Vault Reader-rol toe aan cbom_discovery:
az roltoewijzing aanmaken --toegewezen persoon \ --role "Key Vault Reader" \ --scope /subscriptions/ # Alleen-lezen "get" en "list" op metadata van certificaten, sleutels en geheimen
Voor kluizen die gebruikmaken van toegangsbeleid (het klassieke model), opent u de kluis, vervolgens Toegangsbeleid en voegt u een beleid toe voor cbom_discovery dat alleen toegang verleent tot Sleutels, Certificaten en Geheimen (List en Get). Verleen geen toegang tot aanmaken, importeren, verwijderen of wissen.
Let op: verleen alleen toegang tot de lijst- en ophaalfunctie. Discovery leest metadata; schrijf-, verwijder- of exportrechten voor sleutels zijn nooit nodig.
Stap 4: Verzamel uw verbindingswaarden
Verzamel de volgende gegevens voordat u de detectie configureert:
| Waarde | Waar het vandaan komt |
|---|---|
| ID huurder | De directory-ID (tenant-ID) uit sectie 3 |
| klant-ID | De applicatie-ID (client-ID) uit sectie 3 |
| Cliëntgeheim | De geheime waarde die in sectie 3 is gekopieerd (alleen voor de serviceprincipal) |
| Inschrijving ID | Het abonnement dat de benodigde middelen bevat om te scannen. |
| authenticatie methode | Service Principal, Managed Identity of Azure CLI-context (sectie 2) |
| Omvang om te scannen | Volledig abonnement, een of meer resourcegroepen of specifieke kluizen |
| De diensten omvatten onder meer: | Key Vault, Managed HSM, App Service, Application Gateway, Front Door, API Management |
Stap 5: Voer de waarden in de detectieconfiguratie in.
Maak in het CBOM-platform een nieuwe Microsoft Azure-ontdekkingstaak aan en vul het formulier in:
| Waarde | Waar het vandaan komt |
|---|---|
| Scannaam | Een label voor deze run, bijvoorbeeld Azure_Discovery |
| ID huurder | De directory-ID (tenant-ID) uit sectie 5 |
| klant-ID | De applicatie-ID (client-ID) uit sectie 5 |
| Cliëntgeheim | Service Principal alleen: de geheime waarde uit sectie 3 |
| Inschrijving ID | Het abonnement om te scannen |
| authenticatie methode | Kies de context voor Service Principal, Managed Identity of Azure CLI. |
| strekking | Volledig abonnement, of specifieke resourcegroepen of kluizen |
| Diensten om te scannen | Selecteer Key Vault, Managed HSM, App Service, Application Gateway, Front Door en/of API-beheer |
Sla de taak op en voer deze uit.
Stap 6: Valideren
Bevestig na het uitvoeren van de detectietaak:
- De taak is voltooid zonder authenticatie- of autorisatiefout.
- Certificaten en sleutels uit uw sleutelkluizen verschijnen in de inventaris, inclusief algoritme, sleutellengte en geldigheidsduur.
- Servicecertificaten van App Service, Application Gateway, Front Door of API Management verschijnen waar die services binnen het toepassingsgebied vallen.
U kunt de toegang tot de referenties controleren met de Azure CLI, met behulp van dezelfde methoden voor het ontdekken van service-principals:
az login --service-principal -u -P --huurder az keyvault list az keyvault certificate list --vault-name
Problemen oplossen
| Symptoom | waarschijnlijke oorzaak | Bepalen |
|---|---|---|
| AADSTS700016 of ongeldig klant | Onjuiste klant-ID of tenant-ID | Controleer of de waarden uit sectie 3 overeenkomen met de app-registratie. |
| ongeldig clientgeheim | Geheime gegevens verkeerd ingevoerd of verlopen | Maak een nieuw clientgeheim aan (sectie 3) en werk de configuratie bij. |
| Autorisatie mislukt | De rol 'Lezer' is niet toegewezen binnen dit bereik. | Wijs een lezer toe aan de abonnements- of resourcegroep (paragraaf 4.1). |
| Vault-metadata zichtbaar, maar geen objecten | Toegang tot Key Vault-gegevens ontbreekt | Grant Key Vault Reader (RBAC) of een List and Get-toegangsbeleid (sectie 4.2) |
| Niets ontdekt | Onjuist abonnement of reikwijdte. of er zijn geen bronnen aanwezig | Controleer of de abonnements-ID en het bereik kluizen of services bevat. |
| Time-out of netwerkfout | De Discovery-host kan geen verbinding maken Azure-eindpunten | Bevestig de uitgaande toegang tot de Azure-beheer- en Key Vault-eindpunten. |
Laatste checklist
- Een serviceprincipal (app-registratie) aangemaakt voor detectie.
- Tenant-ID, klant-ID en klantgeheim zijn gekopieerd.
- De lezersrol is toegewezen op abonnements- of resourcegroepniveau.
- Toegang tot Key Vault-gegevens verleend (Key Vault-lezer of een beleid voor toegang met 'Lijst en ophalen').
- Gekozen services: Key Vault, Managed HSM, App Service, Application Gateway, Front Door, API Management.
- De waarden die in de Microsoft Azure-detectieconfiguratie zijn ingevoerd, worden correct uitgevoerd en de taak wordt zonder fouten uitgevoerd.