Az - Key Vault

Support HackTricks

Basic Information

From the docs: O Azure Key Vault é um serviço de nuvem para armazenar e acessar segredos de forma segura. Um segredo é qualquer coisa que você deseja controlar rigorosamente o acesso, como chaves de API, senhas, certificados ou chaves criptográficas. O serviço Key Vault suporta dois tipos de contêineres: cofres e pools de módulo de segurança de hardware gerenciado (HSM). Cofres suportam o armazenamento de chaves, segredos e certificados de software e com suporte a HSM. Pools de HSM gerenciados suportam apenas chaves com suporte a HSM. Veja a visão geral da API REST do Azure Key Vault para detalhes completos.

O formato da URL é https://{vault-name}.vault.azure.net/{object-type}/{object-name}/{object-version} Onde:

  • vault-name é o nome único global do cofre de chaves

  • object-type pode ser "keys", "secrets" ou "certificates"

  • object-name é o nome único do objeto dentro do cofre de chaves

  • object-version é gerado pelo sistema e opcionalmente usado para endereçar uma versão única de um objeto.

Para acessar os segredos armazenados no cofre, podem ser usados 2 modelos de permissões:

  • Política de acesso ao cofre

  • Azure RBAC

Access Control

O acesso a um recurso do Key Vault é controlado por dois planos:

  • O plano de gerenciamento, cujo alvo é management.azure.com.

  • É usado para gerenciar o cofre de chaves e políticas de acesso. Apenas o controle de acesso baseado em função do Azure (RBAC) é suportado.

  • O plano de dados, cujo alvo é <vault-name>.vault.azure.com.

  • É usado para gerenciar e acessar os dados (chaves, segredos e certificados) no cofre de chaves. Isso suporta políticas de acesso ao cofre ou RBAC do Azure.

Um papel como Contributor que tem permissões no plano de gerenciamento para gerenciar políticas de acesso pode obter acesso aos segredos modificando as políticas de acesso.

Key Vault RBAC Built-In Roles

Network Access

No Azure Key Vault, regras de firewall podem ser configuradas para permitir operações do plano de dados apenas de redes virtuais ou intervalos de endereços IPv4 especificados. Essa restrição também afeta o acesso através do portal de administração do Azure; os usuários não poderão listar chaves, segredos ou certificados em um cofre se o endereço IP de login não estiver dentro do intervalo autorizado.

Para analisar e gerenciar essas configurações, você pode usar o Azure CLI:

az keyvault show --name name-vault --query networkAcls

O comando anterior exibirá as configurações de firewall de name-vault, incluindo intervalos de IP habilitados e políticas para tráfego negado.

Enumeração

# Get keyvault token
curl "$IDENTITY_ENDPOINT?resource=https://vault.azure.net&api-version=2017-09-01" -H secret:$IDENTITY_HEADER

# Connect with PS AzureAD
## $token from management API
Connect-AzAccount -AccessToken $token -AccountId 1937ea5938eb-10eb-a365-10abede52387 -KeyVaultAccessToken $keyvaulttoken

# List vaults
Get-AzKeyVault
# Get secrets names from the vault
Get-AzKeyVaultSecret -VaultName <vault_name>
# Get secret values
Get-AzKeyVaultSecret -VaultName <vault_name> -Name <secret_name> –AsPlainText
Suporte ao HackTricks

Last updated