Az - Key Vault
Last updated
Last updated
Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
Azure Key Vault एक क्लाउड सेवा है जो Microsoft Azure द्वारा संवेदनशील जानकारी जैसे गुप्त, कुंजी, प्रमाणपत्र, और पासवर्ड को सुरक्षित रूप से संग्रहीत और प्रबंधित करने के लिए प्रदान की जाती है। यह एक केंद्रीकृत भंडार के रूप में कार्य करता है, जो Azure Active Directory (Azure AD) का उपयोग करके सुरक्षित पहुंच और बारीक नियंत्रण प्रदान करता है। सुरक्षा के दृष्टिकोण से, Key Vault हार्डवेयर सुरक्षा मॉड्यूल (HSM) सुरक्षा प्रदान करता है क्रिप्टोग्राफिक कुंजियों के लिए, सुनिश्चित करता है कि गुप्त जानकारी को आराम और ट्रांजिट दोनों में एन्क्रिप्ट किया गया है, और भूमिका-आधारित पहुंच नियंत्रण (RBAC) और नीतियों के माध्यम से मजबूत पहुंच प्रबंधन प्रदान करता है। इसमें ऑडिट लॉगिंग, पहुंच को ट्रैक करने के लिए Azure Monitor के साथ एकीकरण, और लंबे समय तक कुंजी के संपर्क में आने के जोखिम को कम करने के लिए स्वचालित कुंजी रोटेशन की सुविधा भी है।
पूर्ण विवरण के लिए Azure Key Vault REST API overview देखें।
docs के अनुसार, Vaults सॉफ़्टवेयर और HSM-समर्थित कुंजियों, गुप्त और प्रमाणपत्रों को संग्रहीत करने का समर्थन करते हैं। प्रबंधित HSM पूल केवल HSM-समर्थित कुंजियों का समर्थन करते हैं।
URL प्रारूप के लिए vaults है https://{vault-name}.vault.azure.net/{object-type}/{object-name}/{object-version} और प्रबंधित HSM पूल के लिए यह है: https://{hsm-name}.managedhsm.azure.net/{object-type}/{object-name}/{object-version}
जहाँ:
vault-name कुंजी भंडार का वैश्विक अद्वितीय नाम है
object-type "keys", "secrets" या "certificates" हो सकता है
object-name कुंजी भंडार के भीतर वस्तु का अद्वितीय नाम है
object-version प्रणाली द्वारा उत्पन्न होता है और वैकल्पिक रूप से एक वस्तु के अद्वितीय संस्करण को संबोधित करने के लिए उपयोग किया जाता है।
भंडार में संग्रहीत गुप्त जानकारी तक पहुंच प्राप्त करने के लिए, भंडार बनाने के समय 2 अनुमतियों के मॉडल के बीच चयन करना संभव है:
Vault access policy
Azure RBAC (सबसे सामान्य और अनुशंसित)
आप सभी बारीक अनुमतियों को https://learn.microsoft.com/en-us/azure/role-based-access-control/permissions/security#microsoftkeyvault पर पा सकते हैं।
Key Vault संसाधन तक पहुंच दो स्तरों द्वारा नियंत्रित होती है:
प्रबंधन स्तर, जिसका लक्ष्य management.azure.com है।
इसका उपयोग कुंजी भंडार और पहुंच नीतियों को प्रबंधित करने के लिए किया जाता है। केवल Azure भूमिका आधारित पहुंच नियंत्रण (RBAC) का समर्थन किया जाता है।
डेटा स्तर, जिसका लक्ष्य <vault-name>.vault.azure.com है।
इसका उपयोग कुंजी भंडार में डेटा (कुंजी, गुप्त और प्रमाणपत्र) को प्रबंधित और एक्सेस करने के लिए किया जाता है। यह कुंजी भंडार पहुंच नीतियों या Azure RBAC का समर्थन करता है।
एक भूमिका जैसे Contributor जिसे प्रबंधन स्थान में पहुंच नीतियों को प्रबंधित करने के लिए अनुमतियाँ हैं, वह पहुंच नीतियों को संशोधित करके गुप्त जानकारी तक पहुंच प्राप्त कर सकता है।
Azure Key Vault में, फायरवॉल नियम स्थापित किए जा सकते हैं ताकि निर्धारित वर्चुअल नेटवर्क या IPv4 पते की रेंज से डेटा स्तर के संचालन की अनुमति दी जा सके। यह प्रतिबंध Azure प्रशासन पोर्टल के माध्यम से पहुंच को भी प्रभावित करता है; यदि उपयोगकर्ता का लॉगिन IP पता अधिकृत रेंज के भीतर नहीं है, तो वे कुंजी, गुप्त, या प्रमाणपत्रों की सूची नहीं देख पाएंगे।
इन सेटिंग्स का विश्लेषण और प्रबंधन करने के लिए, आप Azure CLI का उपयोग कर सकते हैं:
The previous command will display the firewall settings of name-vault, including enabled IP ranges and policies for denied traffic.
Moreover, it's possible to create a private endpoint to allow a private connection to a vault.
जब एक की वॉल्ट बनाई जाती है, तो हटाने के लिए न्यूनतम दिनों की संख्या 7 होती है। जिसका मतलब है कि जब भी आप उस की वॉल्ट को हटाने की कोशिश करेंगे, तो इसे हटाने के लिए कम से कम 7 दिन की आवश्यकता होगी।
हालांकि, एक वॉल्ट को पर्ज सुरक्षा अक्षम के साथ बनाना संभव है, जो की वॉल्ट और वस्तुओं को रखरखाव अवधि के दौरान पर्ज करने की अनुमति देता है। हालांकि, एक बार जब इस सुरक्षा को एक वॉल्ट के लिए सक्षम किया जाता है, तो इसे अक्षम नहीं किया जा सकता।
AWS हैकिंग सीखें और अभ्यास करें:HackTricks Training AWS Red Team Expert (ARTE) GCP हैकिंग सीखें और अभ्यास करें: HackTricks Training GCP Red Team Expert (GRTE)
