Azure Key Vault

Azure Key Vault è un servizio cloud per archiviare e gestire in modo sicuro segreti (chiavi API, password, stringhe di connessione), chiavi di crittografia (utilizzate per crittografare i dati) e certificati (certificati TLS/SSL per le applicazioni). Invece di incorporare i valori sensibili nel codice dell'applicazione, nei file di configurazione o nelle variabili d'ambiente, le applicazioni li recuperano da Key Vault durante l'esecuzione, mantenendo le credenziali fuori dal codice sorgente e dagli artefatti di distribuzione.

Key Vault è disponibile in due livelli. Standard protegge segreti e certificati tramite crittografia basata su software. Premium aggiunge il supporto per le chiavi protette da Hardware Security Module (HSM): le operazioni crittografiche vengono eseguite all'interno di hardware a prova di manomissione, che offre la certificazione FIPS 140-2 di livello 2 (Standard) o di livello 3 (HSM). Un'offerta distinta, Managed HSM, fornisce un HSM a tenant singolo e completamente gestito per i requisiti di massima garanzia.

Ogni Key Vault viene creato in un gruppo di risorse e in un'area Azure specifici. Il nome del vault deve essere univoco a livello globale all'interno dello spazio dei nomi vault.azure.net. Durante la creazione si configura il modello di accesso: il modello precedente delle criteri di accesso del vault oppure il modello consigliato Azure RBAC, in cui i ruoli di Entra ID controllano in modo indipendente l'accesso in lettura e scrittura a segreti, chiavi e certificati.

Un segreto in Key Vault è qualsiasi valore stringa sensibile: password di database, chiavi API, segreti client OAuth, stringhe di connessione degli account di archiviazione. Ogni segreto ha un nome, un valore e attributi facoltativi come una data di scadenza e un indicatore di abilitazione. Le applicazioni eseguono l'autenticazione a Key Vault (in genere tramite un'identità gestita) e chiamano l'API REST di Key Vault per recuperare il valore corrente del segreto durante l'esecuzione: non sono presenti valori hardcoded.

Key Vault archivia chiavi crittografiche utilizzate per crittografare e decrittografare i dati. Servizi come Azure Storage, Azure SQL Database e Azure Disk Encryption si integrano con Key Vault per usare chiavi gestite dal cliente (CMK) negli scenari Bring Your Own Key (BYOK). Con le CMK, mantiene il controllo sulla chiave di crittografia: la revoca della chiave in Key Vault impedisce immediatamente a qualsiasi servizio di decrittografare i dati, fornendo un kill switch crittografico.

Key Vault può fungere da interfaccia per un'autorità di certificazione per i certificati TLS. È possibile generare certificati autofirmati, importare file PFX/PEM esistenti oppure configurare Key Vault affinché richieda e rinnovi automaticamente i certificati presso CA attendibili come DigiCert o GlobalSign. Quando un certificato sta per scadere, Key Vault può rinnovarlo automaticamente e notificare gli amministratori tramite eventi di Event Grid, eliminando i flussi di lavoro di rinnovo manuale.

Key Vault supporta due modelli di accesso. Le criteri di accesso del vault rappresentano il modello legacy, in cui si concedono a un'entità autorizzazioni per tutti i segreti, le chiavi o i certificati del vault; non è possibile limitare l'accesso a singoli nomi di segreto. Il nuovo e consigliato modello Azure RBAC usa ruoli RBAC standard (Key Vault Secrets User, Key Vault Secrets Officer e così via) e supporta assegnazioni di negazione e Privileged Identity Management, offrendo un controllo molto più granulare.

Un modello comune consiste nel fare riferimento ai segreti di Key Vault come impostazioni dell'applicazione di App Service. Invece di archiviare il valore del segreto nell'impostazione dell'app, si archivia un riferimento a Key Vault: @Microsoft.KeyVault(SecretUri=https://myvault.vault.azure.net/secrets/db-password/). App Service recupera automaticamente il valore corrente del segreto durante l'esecuzione, usando l'identità gestita dell'app. Se il segreto viene ruotato in Key Vault, l'app utilizza il nuovo valore al riavvio successivo.

L'eliminazione temporanea (abilitata per impostazione predefinita) conserva gli elementi eliminati di Key Vault per 7-90 giorni, consentendone il ripristino in caso di eliminazione accidentale. La protezione dall'eliminazione definitiva, quando abilitata, impedisce a chiunque — inclusi i proprietari della sottoscrizione — di eliminare definitivamente un vault eliminato temporaneamente o i relativi oggetti fino alla scadenza del periodo di conservazione. Per la conformità normativa e la resilienza contro il ransomware, abilitare entrambe è una procedura consigliata di sicurezza applicata da Azure Policy.

Ogni operazione eseguita su Key Vault — letture, scritture, rinnovi dei certificati, utilizzo delle chiavi — viene registrata nel log di controllo di Key Vault. È possibile abilitare le impostazioni di diagnostica per inviare questi log a un'area di lavoro Log Analytics o a un account di archiviazione per la conservazione a lungo termine. In questo modo si dispone di una traccia di controllo completa che indica chi ha avuto accesso a quale segreto, quando e da quale indirizzo IP: un elemento essenziale per le analisi di sicurezza e le evidenze di conformità.

Per impostazione predefinita, Key Vault dispone di un endpoint HTTPS pubblico su Internet. Negli ambienti con requisiti di alta sicurezza, è possibile distribuire un endpoint privato che colloca Key Vault all'interno della VNet con un indirizzo IP privato e disabilitare completamente l'endpoint pubblico. Le applicazioni che accedono a Key Vault tramite l'endpoint privato non attraversano mai la rete Internet pubblica, soddisfacendo i requisiti di prevenzione dell'esfiltrazione dei dati e rendendo Key Vault invisibile dall'esterno della VNet.

Verifichi la propria comprensione dei concetti di Microsoft Azure Fundamentals (AZ-900) trattati in questa lezione.

In questa lezione ha appreso che: Key Vault archivia segreti, chiavi di crittografia e certificati TLS in un servizio gestito e sottoposto a controllo, l'integrazione con le identità gestite elimina la necessità di credenziali hardcoded nel codice dell'applicazione e l'eliminazione temporanea e la protezione dall'eliminazione definitiva proteggono dalla cancellazione accidentale o dannosa del materiale crittografico. Nella prossima lezione esamineremo Microsoft Sentinel, il SIEM cloud-native di Azure.