Guide för integration med Microsoft Azure

Översikt

Den här guiden beskriver hur du förbereder Microsoft Azure så att identifieringstillägget kan räkna upp certifikat och nycklar, hur du skapar de skrivskyddade autentiseringsuppgifter som behövs och hur du anger dessa autentiseringsuppgifter i identifieringskonfigurationen. Steg ges för både Azure Portal och Azure CLI.

Upptäckten läser kryptografiskt material från hela din Azure-egendom:

• Azure Key Vault: nycklar (RSA, ECDSA, AES) och certifikat med fullständiga X.509-metadata och CA-hierarki
• Azure-hanterad HSM: det utökade Key Vault-nyckelinventaret som finns i validerad HSM-hårdvara
• App Service-certifikat: TLS-bindningar och SSL-konfigurationer för anpassade domäner
• Azure-applikationsgateway: SSL-profiler, backend-certifikat och lyssnarcertifikat
• Azure-ytterdörren: SSL-bindningar för anpassade domäner
• Azure API-hantering: API-nivåcertifikat och gatewaycertifikat

Identifiering är skrivskyddad. Den läser objektmetadata som typ, algoritm, nyckellängd och giltighet. Den skapar, ändrar, exporterar eller tar aldrig bort något i Azure, och privat nyckelmaterial extraheras aldrig.

Två sätt att arbeta. Allt nedan kan göras på två sätt. Välj det du föredrar för varje steg:

Förutsättningar

Innan du börjar, bekräfta följande:

1. En Azure-prenumeration som innehåller de nyckelvalv, HSM:er eller tjänster som du vill inventera.
2. Behörighet att skapa en appregistrering (ett tjänsteprincipal) i din Microsoft Entra ID-klient, eller en administratör som kan skapa en åt dig.
3. Behörighet att tilldela skrivskyddade roller på de prenumerationer, resursgrupper eller valv som du vill skanna.
4. Identifieringsvärden måste kunna nå Azure-hanterings- och Key Vault-slutpunkterna över nätverket.

Ingen programvaruinstallation krävs från din sida. Du anger inloggningsuppgifterna och skanningsområdet.

Steg-för-steg-guide

Steg 1: Välj en autentiseringsmetod

Discovery-inloggningar till Azure med något av följande. Tjänstprincipal rekommenderas för automatiserad användning.

Resten av den här guiden konfigurerar ett tjänsteprincipal, eftersom det är det mest portabla alternativet.

Steg 2: Skapa principal för identifieringstjänsten

Azure portal

1. Gå till Microsoft Entra ID, sedan Appregistreringar och sedan Ny registrering.
2. Döp den till exempel till cbom_discovery och klicka på Registrera.
3. I appöversikten kopierar du program-ID:t (klient-ID) och katalog-ID:t (klient-ID).
4. Gå till Certifikat och hemligheter, sedan Ny klienthemlighet. Ange en beskrivning och ett utgångsdatum och klicka sedan på Lägg till.
5. Kopiera det hemliga värdet omedelbart. Det visas bara en gång.

Azure CLI

# Skapar appregistreringen, ett tjänsteprincipal och en klienthemlighet i ett steg az ad sp create-for-rbac --name cbom_discovery --role Reader \ --scopes /subscriptions/

Kommandot skriver ut appId (klient-ID), lösenord (klienthemlighet) och hyresgäst-ID (hyresgäst-ID). Kopiera alla tre nu.

Steg 3: Bevilja skrivskyddad åtkomst

Tjänstprincipalen behöver precis tillräckligt med åtkomst för att lista och läsa metadata, inget mer.

Prenumerations- eller resursgruppsomfång

Tilldela den inbyggda läsarrollen till det omfång du vill skanna (en hel prenumeration eller en enskild resursgrupp).

Azure portal

1. Öppna prenumerationen eller resursgruppen och sedan åtkomstkontroll (IAM).
2. Klicka på Lägg till och sedan på Lägg till rolltilldelning.
3. Välj läsarrollen, välj sedan din cbom_discovery-app och spara sedan.

Azure CLI

AZ-rolltilldelning skapa --tilldelare \ --role Läsare \ --scope /prenumerationer/

Åtkomst till Key Vault-data

Läsarrollen ser valvets metadata men inte objekten i ett valv. Bevilja även skrivskyddad dataåtkomst, beroende på valvets behörighetsmodell.

För valv som använder Azure RBAC, tilldela den inbyggda rollen Key Vault Reader till cbom_discovery:

AZ-rolltilldelning skapa --tilldelare \ --role "Nyckelvalvsläsare" \ --scope /prenumerationer/ # Skrivskyddad "get" och "list" för metadata för certifikat, nycklar och hemligheter

För valv som använder åtkomstpolicyer (den klassiska modellen), öppna valvet, lägg sedan till åtkomstpolicyer och lägg sedan till en policy för cbom_discovery som endast beviljar Lista och Hämta för nycklar, certifikat och hemligheter. Bevilja inte skapa, importera, ta bort eller rensa.

Obs: Bevilja endast List och Get. Discovery läser metadata; den behöver aldrig skriv-, borttagnings- eller exporträttigheter.

Steg 4: Samla in dina anslutningsvärden

Innan du konfigurerar identifiering, samla in följande:

Steg 5: Ange värdena i identifieringskonfigurationen

Skapa en ny Microsoft Azure-identifieringsuppgift i CBOM-plattformen och fyll i formuläret:

Spara och kör uppgiften.

Steg 6: Validera

Efter att ha kört identifieringsuppgiften, bekräfta:

• Uppgiften slutförs utan autentiserings- eller auktoriseringsfel.
• Certifikat och nycklar från dina nyckelvalv visas i inventeringen, med algoritm, nyckellängd och giltighet.
• Tjänstcertifikat från App Service, Application Gateway, Front Door eller API Management visas där dessa tjänster ingår.

Du kan dubbelkontrollera åtkomsten till autentiseringsuppgifterna med Azure CLI med samma användningsområden för identifiering av tjänstens huvudnamn:

az login --service-principal -u -p --hyresgäst az keyvault list az keyvault certificate list --vault-name

Felsökning

Slutlig checklista

• Ett tjänsteprincipal (appregistrering) som skapats för identifiering.
• Hyresgäst-ID, klient-ID och klienthemlighet kopierades.
• Läsarroll som tilldelats prenumerations- eller resursgruppens omfattning.
• Åtkomst till Key Vault-data beviljad (Key Vault-läsare eller en princip för lista och hämta åtkomst).
• Valda tjänster: Key Vault, hanterad HSM, App Service, Application Gateway, Front Door, API-hantering.
• Värden som anges i Microsoft Azure-identifieringskonfigurationen och uppgiften körs utan fel.