Microsoft Azure Services – Azure Key Vault

In de huidige wereld migreren steeds meer organisaties naar Cloudserviceproviders Om te profiteren van de voordelen die cloudcomputing met zich meebrengt, zoals kostenbesparing, beveiliging, flexibiliteit, mobiliteit en duurzaamheid. Beveiliging is een cruciaal aspect van elk cloudservicemodel, omdat het van toepassing is op alle cloudserviceaanbiedingen die gevoelige gegevens bevatten.

Vandaag bespreken we de De Key Vault-service van Microsoft Azure in de bovenstaande context.

Laten we nu de werkelijke betekenis van kluis eens bekijken: het is een schatkamer die wordt gebruikt om waardevolle spullen op te slaan. Wanneer we deze betekenis begrijpen met betrekking tot de Azure Cloud Wereld, het geeft de juiste indruk, namelijk een schatkamer van mijn sleutels en geheimen. Het fungeert als centrale opslag voor alle gevoelige informatie die via encryptie in het geheim kan worden opgeslagen en op basis van toestemming kan worden opgehaald/gebruikt.
Om dit verder toe te lichten, richt de Microsoft Azure Key Vault-service zich op de beveiliging van de onderstaande onderwerpen:

1. Geheim Beheer Met de Azure Key Vault-service kunt u geheimen, zoals verificatiesleutels, opslagaccountsleutels, wachtwoorden, tokens, API-sleutels, .pfx-bestanden en andere geheimen, veilig opslaan en beheren.
2. Sleutelbeheer U kunt de Azure Key Vault-service gebruiken om de encryptiesleutels voor gegevensencryptie te beheren.
3. Certificaatbeheer Met de Azure Key Vault-service kunt u uw Azure Key Vault-service inrichten, beheren en implementeren. SSL/TLS-certificaten naadloos voor gebruik met geïntegreerde Azure-services.

Omdat beveiliging de belangrijkste drijfveer is voor Azure Key Vault, biedt Microsoft de volgende niveaus op basis van sleutelbeveiliging:

1. Standaardlaag Gebruikt softwarekluizen voor het opslaan en beheren van cryptografische sleutels, geheimen, certificaten en sleutels voor opslagaccounts. Dit is conform FIPS 140-2 niveau 2 (kluizen).
2. Premium-niveau Gebruikt een beheerde HSM Pool voor het opslaan en beheren van HSM-ondersteunde cryptografische sleutels. Dit is conform FIPS 140-2 niveau 3 (beheerde HSM-pools).

Terminologie gebruikt in Azure Key Vault:

Geheim

Een geheim is een kleine datablob (tot 10 KB groot) die wordt gebruikt bij de autorisatie van gebruikers/applicaties met behulp van een sleutelkluis. Kortom, een sleutelkluis helpt bij het beperken van de risico's die gepaard gaan met de opslag van geheimen op een onveilige locatie.

Keys

Sleutels worden ook gebruikt bij de autorisatie van gebruikers/applicaties om bewerkingen uit te voeren met behulp van de cryptografische functies van de sleutelkluis. In tegenstelling tot geheimen verlaten sleutels de beveiligde grenzen van de sleutelkluis niet.

Eigenaar van de sleutelkluis

Een beheerder die de sleutelkluis maakt en de gebruikers/toepassingen autoriseert voor verschillende authenticatiespecifieke bewerkingen.

Sleuteleigenaar/Geheime eigenaar/Kluisgebruiker

Een beheerder die eigenaar is van de sleutel/het geheim voor een specifieke gebruiker/applicatie en verantwoordelijk is voor het aanmaken van de sleutel/het geheim in de sleutelkluis. Houd er rekening mee dat de rollen van eigenaar van de sleutelkluis en eigenaar van de sleutel/het geheim door dezelfde beheerder kunnen worden beheerd, maar dat dit niet noodzakelijk is.

Hoofddienst

Identiteit gemaakt (gebruikersgroep/toepassing) voor gebruik met toepassingen om toegang te krijgen tot Azure-resources.

Applicatie-eigenaar

Een beheerder die de configuratie van de toepassing beheert, inclusief verificatie via Azure Active Directory in de vorm van URI met behulp van Key Vault.

Aanvraag

Een applicatie authenticeert zichzelf bij de Key Vault met behulp van sleutels/geheimen.

Toegangsbeleid

Instructies die toegang verlenen tot machtigingen voor serviceprincipals om verschillende bewerkingen uit te voeren op sleutels/geheimen in Key Vault.

Manieren om toegang te krijgen tot sleutels en geheimen in een sleutelkluis:

1. Om toegang te krijgen tot de sleutels/geheimen, moeten gebruikers/toepassingen beschikken over een geldig Azure Active Directory-token dat de beveiligingsprincipal vertegenwoordigt, met de juiste machtigingen van de doel-key kluis.
2. Gebruikers/toepassingen kunnen REST-gebaseerde API's of Windows PowerShell gebruiken om geheimen en sleutels (alleen openbare sleutels) uit de sleutelkluis op te halen.

Stappen om een ​​applicatie te verifiëren met de Key Vault:

1. De toepassing waarvoor verificatie nodig is, is bij Azure Active Directory geregistreerd als service-principal.
2. De eigenaar/beheerder van de sleutelkluis maakt vervolgens een sleutelkluis aan en koppelt de ACL's (toegangscontrolelijsten) aan de kluis, zodat de toepassing er toegang toe heeft.
3. De toepassing initieert de verbinding en verifieert zichzelf bij Azure Active Directory om het token te verkrijgen.
4. Vervolgens presenteert de applicatie dit token aan de Key Vault om toegang te krijgen.
5. De kluis valideert het token en verleent toegang tot de applicatie op basis van succesvolle tokenverificatie.

Laten we ten slotte enkele voordelen van Azure Key Vault bespreken.

Voordelen van het gebruik van Azure Key Vault:

1. Omdat de sleutels die in de kluis zijn opgeslagen, via URI's worden aangeboden, wordt het risico op onbedoelde blootstelling en opslag van sleutels op onveilige locaties vermeden.
2. Het is zo ontworpen dat zelfs de leverancier (Microsoft) de sleutels van klanten niet kan achterhalen of zien. Daarom is het ook op leveranciersniveau volledig beschermd.
3. Als uw organisatie beveiligingsnaleving nodig heeft en tegelijkertijd de Key Vault vereist, is Azure Key Vault een goede optie, omdat de Key Vault-service voldoet aan FIPS 140-2 Level 2 (kluis) / FIPS 140-2 Level 3 (beheerde HSM-pools).
4. Informatie over het gebruik van sleutels wordt vastgelegd, zodat de loggegevens gebruikt kunnen worden voor auditdoeleinden als er sprake is van een inbreuk op de sleutels.

Conclusie

Azure Key Vault stroomlijnt het beheerproces van geheimen, sleutels en certificaten en stelt u in staat strikte controle te houden over geheimen/sleutels die toegang hebben tot uw gegevens en deze versleutelen. Dit versnelt de algehele projectuitvoering doordat ontwikkelaars snel sleutels kunnen maken voor ontwikkeling en testen en deze vervolgens naadloos kunnen migreren naar productiesleutels.