Azure Key Vault

O Azure Key Vault é um serviço de nuvem para armazenar e gerenciar com segurança segredos (chaves de API, senhas e cadeias de conexão), chaves de criptografia (usadas para criptografar dados) e certificados (certificados TLS/SSL para aplicativos). Em vez de inserir valores confidenciais no código do aplicativo, em arquivos de configuração ou em variáveis de ambiente, os aplicativos os recuperam do Key Vault em tempo de execução, mantendo as credenciais fora do código-fonte e dos artefatos de implantação.

O Key Vault está disponível em duas camadas. O Standard protege segredos e certificados usando criptografia baseada em software. O Premium adiciona suporte a chaves protegidas por Hardware Security Module (HSM) — as operações criptográficas são realizadas dentro de hardware resistente a adulterações, fornecendo certificação FIPS 140-2 Nível 2 (Standard) ou Nível 3 (HSM). Uma oferta separada, o HSM gerenciado, fornece um HSM de locatário único e totalmente gerenciado para os requisitos de maior garantia.

Cada Key Vault é criado em um grupo de recursos e uma região específicos do Azure. O nome do cofre deve ser globalmente exclusivo no namespace vault.azure.net. Você configura o modelo de acesso durante a criação: o modelo mais antigo de políticas de acesso do cofre ou o modelo recomendado de Azure RBAC, no qual as funções do Entra ID controlam de forma independente o acesso de leitura e gravação a segredos, chaves e certificados.

Um segredo no Key Vault é qualquer valor de texto confidencial: senhas de banco de dados, chaves de API, segredos de cliente OAuth e cadeias de conexão de contas de armazenamento. Cada segredo tem um nome, um valor e atributos opcionais, como uma data de expiração e um indicador de habilitação. Os aplicativos se autenticam no Key Vault (normalmente por meio de uma identidade gerenciada) e chamam a API REST do Key Vault para recuperar o valor atual do segredo em tempo de execução — sem valores codificados diretamente em nenhum lugar.

O Key Vault armazena chaves criptográficas usadas para criptografar e descriptografar dados. Serviços como Azure Storage, Azure SQL Database e Azure Disk Encryption integram-se ao Key Vault para usar chaves gerenciadas pelo cliente (CMK) em cenários de Bring Your Own Key (BYOK). Com CMK, você mantém o controle da chave de criptografia — revogar a chave no Key Vault impede instantaneamente que qualquer serviço descriptografe os dados, oferecendo um interruptor criptográfico de emergência.

O Key Vault pode atuar como uma interface de autoridade de certificação para certificados TLS. Você pode gerar certificados autoassinados, importar arquivos PFX/PEM existentes ou configurar o Key Vault para solicitar e renovar automaticamente certificados de autoridades de certificação confiáveis, como DigiCert ou GlobalSign. Quando um certificado está prestes a expirar, o Key Vault pode renová-lo automaticamente e notificar os administradores por meio de eventos do Event Grid, eliminando os processos manuais de renovação.

O Key Vault é compatível com dois modelos de acesso. As políticas de acesso do cofre são o modelo legado, no qual você concede a uma entidade permissões para todos os segredos, chaves ou certificados do cofre — não é possível restringir o acesso a nomes de segredos individuais. O modelo mais recente e recomendado, o modelo Azure RBAC, usa funções RBAC padrão (Key Vault Secrets User, Key Vault Secrets Officer etc.) e é compatível com atribuições de negação e Privileged Identity Management, proporcionando um controle muito mais granular.

Um padrão comum é referenciar segredos do Key Vault como configurações de aplicativo do App Service. Em vez de armazenar o valor do segredo na configuração do aplicativo, você armazena uma referência do Key Vault: @Microsoft.KeyVault(SecretUri=https://myvault.vault.azure.net/secrets/db-password/). O App Service recupera automaticamente o valor atual do segredo em tempo de execução usando a identidade gerenciada do aplicativo. Se o segredo for alternado no Key Vault, o aplicativo obterá o novo valor na próxima reinicialização.

A exclusão temporária (habilitada por padrão) retém os itens excluídos do Key Vault por 7 a 90 dias, permitindo a recuperação caso a exclusão tenha sido acidental. A proteção contra limpeza, quando habilitada, impede qualquer pessoa — inclusive os proprietários da assinatura — de remover permanentemente um cofre excluído temporariamente ou seus objetos até que o período de retenção termine. Para fins de conformidade regulatória e resiliência contra ransomware, habilitar ambos é uma prática recomendada de segurança aplicada pelo Azure Policy.

Cada operação realizada no Key Vault — leituras, gravações, renovações de certificados e uso de chaves — é registrada no log de auditoria do Key Vault. Você habilita as configurações de diagnóstico para encaminhar esses logs a um workspace do Log Analytics ou a uma conta de armazenamento para retenção de longo prazo. Isso fornece uma trilha de auditoria completa de quem acessou qual segredo, quando e a partir de qual endereço IP — algo essencial para investigações de segurança e evidências de conformidade.

Por padrão, o Key Vault tem um endpoint HTTPS público na internet. Em ambientes de alta segurança, você pode implantar um endpoint privado que coloca o Key Vault dentro da sua VNet com um endereço IP privado e desabilitar completamente o endpoint público. Os aplicativos que acessam o Key Vault por meio do endpoint privado nunca atravessam a internet pública, atendendo aos requisitos de prevenção contra exfiltração de dados e tornando o Key Vault invisível externamente à sua VNet.

Nesta lição, você aprendeu que: o Key Vault armazena segredos, chaves de criptografia e certificados TLS em um serviço gerenciado e auditado; a integração com identidades gerenciadas elimina a necessidade de credenciais codificadas diretamente no código do aplicativo; e a exclusão temporária e a proteção contra limpeza protegem contra a exclusão acidental ou mal-intencionada de material criptográfico. A seguir, exploraremos o Microsoft Sentinel, o SIEM nativo de nuvem do Azure.