Az - Key Vault
Información Básica
De la documentación: Azure Key Vault es un servicio en la nube para almacenar y acceder a secretos de manera segura. Un secreto es cualquier cosa a la que quieras controlar el acceso estrictamente, como claves API, contraseñas, certificados o claves criptográficas. El servicio Key Vault admite dos tipos de contenedores: bóvedas y pools de módulos de seguridad de hardware (HSM) gestionados. Las bóvedas admiten el almacenamiento de claves de software y respaldadas por HSM, secretos y certificados. Los pools de HSM gestionados solo admiten claves respaldadas por HSM. Consulta Azure Key Vault REST API overview para obtener detalles completos.
El formato de URL es https://{vault-name}.vault.azure.net/{object-type}/{object-name}/{object-version}
Donde:
vault-name
es el nombre único globalmente de la bóveda de clavesobject-type
puede ser "keys", "secrets" o "certificates"object-name
es el nombre único del objeto dentro de la bóveda de clavesobject-version
es generado por el sistema y opcionalmente usado para referirse a una versión única de un objeto.
Para acceder a los secretos almacenados en la bóveda se pueden usar 2 modelos de permisos:
Política de acceso a la bóveda
Azure RBAC
Control de Acceso
El acceso a un recurso de Key Vault se controla mediante dos planos:
El plano de gestión, cuyo objetivo es management.azure.com.
Se usa para gestionar la bóveda de claves y las políticas de acceso. Solo se admite el control de acceso basado en roles de Azure (RBAC).
El plano de datos, cuyo objetivo es
<vault-name>.vault.azure.com
.Se usa para gestionar y acceder a los datos (claves, secretos y certificados) en la bóveda de claves. Esto admite políticas de acceso a la bóveda de claves o RBAC de Azure.
Un rol como Contributor que tiene permisos en el plano de gestión para gestionar políticas de acceso puede obtener acceso a los secretos modificando las políticas de acceso.
Roles Integrados de Key Vault RBAC
Acceso a la Red
En Azure Key Vault, se pueden configurar reglas de firewall para permitir operaciones del plano de datos solo desde redes virtuales o rangos de direcciones IPv4 especificados. Esta restricción también afecta el acceso a través del portal de administración de Azure; los usuarios no podrán listar claves, secretos o certificados en una bóveda de claves si su dirección IP de inicio de sesión no está dentro del rango autorizado.
Para analizar y gestionar estas configuraciones, puedes usar el Azure CLI:
El comando anterior mostrará la configuración del firewall de name-vault
, incluyendo los rangos de IP habilitados y las políticas para el tráfico denegado.
Enumeración
Last updated