Key Vault härten

Avatar
Nerdio Product Support

Key Vaults bieten sicheren Speicher und Zugriff auf Schlüssel, Geheimnisse und Zertifikate. Nerdio Manager speichert vertrauliche Werte in seinem Key Vault, darunter die SQL-Verbindungszeichenfolge. Die SQL-Konnektivität hängt von Key Vault ab. Die Härtung von Key Vault schützt diese Werte auf zwei Arten, die sich ergänzen:

  • Netzwerkhärtung schränkt ein, welche Netzwerke den Key Vault erreichen können. Standardmäßig ist der Key Vault von jedem Ort im Internet aus zugänglich. Die Einschränkung des Zugriffs auf Ihr eigenes virtuelles Netzwerk und optional auf einen privaten Endpoint reduziert die Gefährdung des Key Vaults.

  • Zugriffshärtung steuert, welche IDs den Key Vault verwenden können und was sie mit dessen Schlüsseln, Geheimnissen und Zertifikaten tun dürfen. Die Verwendung der rollenbasierten Zugriffssteuerung von Azure (Azure RBAC) anstelle des Legacy-Zugriffsrichtlinienmodells bietet Ihnen eine engere, zentral verwaltete Kontrolle darüber, wer diesen Zugriff gewähren und nutzen kann.

Beides ergänzt sich: Die Netzwerkhärtung begrenzt, woher Verbindungen kommen können. Die Zugriffshärtung begrenzt, was die jeweilige ID tun kann.

Netzwerkhärtung für Key Vault

Standardmäßig ist der Key Vault von jedem Ort im Internet aus zugänglich. Sie können den Zugriff auf den Key Vault einschränken, indem Sie Firewallregeln konfigurieren oder einen privaten Endpoint aktivieren, sodass nur Datenverkehr aus Ihrem virtuellen Netzwerk ihn erreichen kann.

Führen Sie die folgenden Schritte aus, um den Netzwerkzugriff auf den Key Vault zu härten:

Voraussetzungen

Stellen Sie vor Beginn der Härtung des Key Vault sicher, dass die folgenden Voraussetzungen erfüllt sind:

  • Der App Service-Plan muss in einer Tarifstufe vorliegen, die die VNet-Integration unterstützt. Weitere Details finden Sie unter Upgrade des Azure App Service.

  • Ein virtuelles Netzwerk (VNet), das zum Verbinden des App Service und des Storage-Kontos verwendet werden kann, muss konfiguriert sein. Dieses virtuelle Netzwerk benötigt außerdem ausgehenden Zugriff für Nerdio Manager, um über HTTPS (TCP/443) mit den Nerdio-Lizenzierungsservern zu kommunizieren. Die URL des Lizenzierungsservers lautet https://nwp-web-app.azurewebsites.net/.

SCHRITT 1: VNet-Integration für den App Service von Nerdio Manager aktivieren

Konfigurieren Sie zunächst die VNet-Integration für den App Service von Nerdio Manager.

So aktivieren Sie die VNet-Integration für den App Service:

  1. Navigieren Sie im Azure-Portal zu App Services.

  2. Wählen Sie den App Service aus.

    Anmerkung

    Er hat normalerweise einen Namen im folgenden Format: nmw-app-xxxxxxxxx.

  3. Navigieren Sie im linken Menü zu Einstellungen > Netzwerk.

  4. Wählen Sie unter Konfiguration für ausgehenden Datenverkehr in Integration virtueller Netzwerke die Option Nicht konfiguriert aus.

  5. Wählen Sie in Integration virtueller Netzwerke die Option Integration virtueller Netzwerke hinzufügen aus.

  6. Fügen Sie im rechten Bereich, der sich öffnet, das virtuelle Netzwerk hinzu, das Sie verwenden möchten:

    • Abonnement: Wählen Sie das Abonnement aus.

    • Virtuelles Netzwerk: Wählen Sie das virtuelle Netzwerk aus.

    • Subnetz: Wählen Sie das Subnetz aus.

    Anmerkung

    • Die VNet-Integration erfordert ein Subnetz, das speziell für die Verwendung mit App Service delegiert ist. Dieses Subnetz kann nicht mit anderen Azure-Ressourcen geteilt werden.

    • Das für die Integration ausgewählte Subnetz muss /28 oder größer sein.

    • Wenn keine ungenutzten Subnetze verfügbar sind oder wenn alle vorhandenen Subnetze bereits an andere Dienste delegiert sind, müssen Sie möglicherweise ein zusätzliches Subnetz für die Integration erstellen.

  7. Wählen Sie Verbinden aus.

    Das VNet ist integriert.

  8. Erlauben Sie den Zugriff für Adressen, die in VNet-Integration-Firewall-Anforderungen bereitgestellt werden, um sicherzustellen, dass der App Service ordnungsgemäß funktioniert.

SCHRITT 2: Key Vault härten

Sobald die VNet-Integration für den App Service von Nerdio Manager aktiviert ist, können Sie den Key Vault härten.

So härten Sie den Key Vault:

  1. Navigieren Sie im Azure-Portal zu Key Vaults.

  2. Wählen Sie den Key Vault aus, den Sie härten möchten (nmw-app-kv-xxxxxxx).

  3. Navigieren Sie im linken Menü zu Einstellungen > Netzwerkmanagement.

  4. Geben Sie im Bereich Firewalls und virtuelle Netzwerke die folgenden Informationen ein:

    • Zugriff erlauben von: Wählen Sie Öffentlichen Zugriff von bestimmten virtuellen Netzwerken und IP-Adressen erlauben aus.

    • Virtuelle Netzwerke: Wählen Sie + Virtuelles Netzwerk hinzufügen aus.

    • Im rechten Bereich Netzwerke hinzufügen, der sich öffnet:

      • Virtuelle Netzwerke: Wählen Sie aus der Dropdown-Liste das VNet und die Subnetze aus, die Sie verwenden möchten.

      • Subnetze: Wählen Sie aus der Dropdown-Liste das Subnetz aus, das Sie verwenden möchten.

    • Wählen Sie Aktivieren.

      Anmerkung

      Wenn Sie eine solche Meldung erhalten, bedeutet dies, dass es einige Zeit dauern wird, bis die Änderungen vollständig wirksam werden.

      Für die folgenden Netzwerke sind keine Dienstendpunkte für 'Microsoft.KeyVault' aktiviert. Das Aktivieren des Zugriffs dauert bis zu 15 Minuten. Nachdem Sie diesen Vorgang gestartet haben, können Sie ihn sicher verlassen und später zurückkehren, wenn Sie nicht warten möchten.

      Dies ist normal und zu erwarten.

  5. Sobald Sie alle gewünschten Informationen eingegeben haben, wählen Sie Speichern.

SCHRITT 3: Erstellen Sie einen privaten Endpoint für den Key Vault

Sobald der Key Vault gehärtet ist, erstellen Sie einen privaten Endpoint für den Key Vault.

So erstellen Sie einen privaten Endpoint für den Key Vault:

  1. Navigieren Sie im Azure-Portal zu Key Vaults.

  2. Wählen Sie den Nerdio Manager Key Vault (nmw-app-kv-xxxxxxx) aus.

  3. Navigieren Sie im linken Menü zu Einstellungen > Netzwerkmanagement.

  4. Wählen Sie im Bereich Verbindungen mit privaten Endpunkten die Option Erstellen aus.

  5. Geben Sie auf der Seite Privaten Endpunkt erstellen die folgenden Informationen an:

    1. Im Bereich Grundlagen:

      • Abonnement: Wählen Sie das Abonnement aus.

        • Ressourcengruppe: Wählen Sie die Ressourcengruppe aus.

      • Name: Geben Sie einen benutzerdefinierten Namen für den privaten Endpunkt ein.

      • Name der Netzwerkschnittstelle: Geben Sie einen benutzerdefinierten Namen für die NIC ein.

      • Region: Wählen Sie die Region aus, die Ihr VNet enthält.

    2. Im Bereich Ressource:

      • Abonnement: Wählen Sie das Abonnement aus, das den Key Vault enthält.

      • Ressourcentyp: Select Microsoft.KeyVault/vaults.

      • Ressource: Wählen Sie Ihren Key Vault aus.

      • Ziel-Unterressource: Dieses Feld wird automatisch mit Vault ausgefüllt, nachdem Sie die Ressource ausgewählt haben.

    3. Im Bereich Virtuelles Netzwerk:

      • Virtuelles Netzwerk: Wählen Sie das VNet aus, in dem die privaten Endpoints bereitgestellt werden sollen.

      • Subnetz: Wählen Sie das Subnetz aus, in dem die privaten Endpoints bereitgestellt werden sollen.

      • Netzwerkrichtlinie für private Endpoints: Aktivieren Sie diese Einstellung optional, wenn Sie dem Subnetz des privaten Endpoints NSGs oder benutzerdefinierte Routen hinzufügen möchten.

      • Konfiguration der privaten IP-Adresse: Behalten Sie die Standardauswahl bei.

      • Anwendungssicherheitsgruppe: Fügen Sie optional eine Anwendungssicherheitsgruppe (ASG) hinzu oder erstellen Sie eine.

    4. Im Bereich DNS:

      • Integration in privates DNS: Optional können Sie je nach DNS-Konfiguration Ihres virtuellen Netzwerks die Option In private DNS-Zone integrieren auswählen.

        Anmerkung

        • Die meisten Kunden geben benutzerdefinierte DNS-Server an, die auf ihre interne AD-Umgebung ausgerichtet sind; in diesem Fall ist diese Option möglicherweise deaktiviert.

        • Wenn die Integration in eine private DNS-Zone nicht aktiviert ist, stellen Sie sicher, dass das DNS ordnungsgemäß konfiguriert ist, um Ihren privaten Endpoint aufzulösen. Weitere Informationen finden Sie unter Werte für private DNS-Zonen für Azure privater Endpoint.

    5. Wählen Sie im Bereich Überprüfen + erstellen die Option Erstellen.

  6. Nachdem der private Endpoint erstellt und das DNS ordnungsgemäß konfiguriert wurde, navigieren Sie zu Firewalls und virtuelle Netzwerke und wählen Sie Öffentlichen Zugriff deaktivieren, um den Datenverkehr über den privaten Endpoint zu aktivieren.

  7. Deaktivieren Sie die Option Vertrauenswürdigen Microsoft-Diensten erlauben.

  8. Wählen Sie Anwenden.

Zugriffshärtung für Key Vault

Die Zugriffshärtung steuert, welche IDs die Schlüssel, Geheimnisse und Zertifikate im Key Vault lesen und verwalten können und was sie damit tun dürfen. Azure Key Vault unterstützt zwei Autorisierungsmodelle: Rollenbasierte Zugriffssteuerung in Azure (Azure RBAC) und Zugriffsrichtlinien. Zugriffsrichtlinien sind das Legacy-Modell. Microsoft empfiehlt Azure RBAC und verwendet es standardmäßig für neue Key Vaults.

Warum Azure RBAC gegenüber Zugriffsrichtlinien bevorzugt wird

Bei Zugriffsrichtlinien können Personen mit einer Rolle, die die Berechtigung Microsoft.KeyVault/vaults/write enthält, sich selbst Zugriff auf Schlüssel, Geheimnisse und Zertifikate in Key Vault gewähren, indem sie eine Zugriffsrichtlinie bearbeiten. Zu diesen Rollen gehören Contributor und Key Vault Contributor. Azure RBAC beseitigt dieses Risiko. Die Hauptvorteile sind:

  • Genauere Kontrolle darüber, wer Zugriff gewähren kann Nur Mitglieder der Rollen Owner oder User Access Administrator können Zugriff auf Schlüssel, Geheimnisse und Zertifikate gewähren. Dies trennt Sicherheitsaufgaben von Verwaltungsaufgaben.

  • Ein einheitliches Modell Dieselben Rollenzuweisungen und APIs werden für alle Azure-Ressourcen verwendet, und Admins erhalten eine zentralisierte Ansicht des gewährten Zugriffs.

  • Zeitlich begrenzter privilegierter Zugriff Azure RBAC lässt sich in Privileged Identity Management integrieren, sodass privilegierte Zugriffsrechte automatisch ablaufen können.

  • Ausschlüsse Ablehnungszuweisungen können den Zugriff eines Sicherheitsprinzipals auf einen bestimmten Scope ausschließen.

Weitere Informationen finden Sie im Microsoft Learn-Artikel Azure role-based access control (Azure RBAC) vs. access policies.

Key Vault von Zugriffsrichtlinien zu Azure RBAC migrieren

Installationen von Nerdio Manager vor Version 8.1 stellen den Key Vault mit Vault-Zugriffsrichtlinien bereit. Neuinstallationen von Version 8.1 und höher stellen ihn stattdessen mit Azure RBAC bereit. Ein Upgrade von Nerdio Manager migriert keinen vorhandenen Key Vault. Ein Key Vault, der von einer früheren Version erstellt wurde, verwendet daher weiterhin Zugriffsrichtlinien, bis Sie ihn manuell migrieren.

Die Migration umfasst zwei Phasen. Weisen Sie zuerst die Azure-Rollen zu, die Nerdio Manager benötigt. Stellen Sie dann das Berechtigungsmodell des Key Vault auf Azure RBAC um.

Warnung

Weisen Sie die Rollen in der folgenden Tabelle zu, bevor Sie das Berechtigungsmodell umstellen. Wenn Sie zuerst umstellen, verliert Nerdio Manager den Zugriff auf die Geheimnisse, Schlüssel und Zertifikate im Key Vault.

Weisen Sie dem Key Vault die folgenden Azure-Rollen zu:

ID

Rollen

Die App-Registrierung nerdio-nmw-app

Key Vault Certificates Officer und Key Vault Secrets User

Die verwaltete Identität des Nerdio Manager App Service (nmw-app-*)

Key Vault Secrets Officer und Key Vault Crypto User. In Version 8.1 und höher zusätzlich Key Vault Certificate User.

Version 8.1 ersetzte den gespeicherten geheimen Clientschlüssel durch ein App-Authentifizierungszertifikat, das der App Service direkt aus dem Key Vault liest. Deshalb benötigt die verwaltete Identität in Version 8.1 und höher die Rolle Key Vault Certificate User.

So migrieren Sie den Key Vault zu Azure RBAC

  1. Navigieren Sie im Azure-Portal zu Key vaults.

  2. Wählen Sie den Nerdio Manager Key Vault (nmw-app-kv-xxxxxxx) aus.

  3. Wählen Sie im linken Menü Zugriffssteuerung (IAM) aus.

  4. Wählen Sie Hinzufügen > Rollenzuweisung hinzufügen aus und weisen Sie jede Rolle in der Tabelle ihrer Identität zu.

    Anmerkung

    Sie können die Rollenzuweisungen hinzufügen, während Nerdio Manager ausgeführt wird. Sie verursachen keine Ausfallzeiten und erfordern keinen Neustart des App Service.

  5. Navigieren Sie während eines Wartungsfensters im linken Menü zu Einstellungen > Zugriffskonfiguration.

  6. Wählen Sie für Berechtigungsmodell die Option Rollenbasierte Zugriffssteuerung von Azure und anschließend Anwenden aus.

Allgemeine Anleitungen von Microsoft finden Sie unter Migrieren von Zugriffsrichtlinien zu Azure RBAC.

War dieser Beitrag hilfreich?

0 von 0 fanden dies hilfreich
Haben Sie Fragen? Anfrage einreichen

Verwandte Beiträge

Kommentare (0 Kommentare)

Bitte melden Sie sich an, um einen Kommentar zu hinterlassen.