Endpunkte des virtuellen Netzwerks für Azure Key Vault

Die Endpunkte des virtuellen Netzwerks für Azure Key Vault ermöglichen es Ihnen, den Zugriff auf ein angegebenes virtuelles Netzwerk einzuschränken. Die Endpunkte ermöglichen Ihnen außerdem, den Zugriff auf eine Liste von IPv4-Adressbereichen (Internet Protocol, Version 4) zu beschränken. Allen Benutzern, die außerhalb dieser Quellen eine Verbindung mit Ihrem Schlüsseltresor herstellen, wird der Zugriff verweigert.

Es gibt eine wichtige Ausnahme dieser Einschränkung. Wenn Sie den Zugriff für vertrauenswürdige Microsoft-Dienste aktivieren, umgehen bestimmte Microsoft-Dienste die Firewall und können auf den Tresor zugreifen. Der Abschnitt "Vertrauenswürdige Dienste " weiter unten in diesem Artikel enthält die Dienste, die die Firewall heute umgehen. Dienste, die sich nicht in dieser Tabelle befinden, benötigen eine Firewall-IP-Regel, eine virtuelle Netzwerkregel oder einen privaten Endpunkt, um den Tresor zu erreichen. Dienste, die die Firewall umgehen, müssen weiterhin ein gültiges Microsoft Entra-Token darstellen und über Berechtigungen verfügen (konfiguriert als Azure RBAC-Rollenzuweisungen oder Zugriffsrichtlinien), um den angeforderten Vorgang auszuführen. Weitere Informationen finden Sie unter VNET-Dienstendpunkte.

Verwendungsszenarien

Sie können Key Vault Firewalls und virtuelle Netzwerke konfigurieren, um den Zugriff auf den Datenverkehr von allen Netzwerken (einschließlich Internetdatenverkehr) standardmäßig zu verweigern. Sie können Zugriff auf Datenverkehr von bestimmten Azure virtuellen Netzwerken und öffentlichen Internet-IP-Adressbereichen gewähren, sodass Sie eine sichere Netzwerkgrenze für Ihre Anwendungen erstellen können.

Hinweis

Key Vault Firewalls und Regeln für virtuelle Netzwerke gelten nur für die datenebene von Key Vault. Key Vault Steuerungsebenenvorgänge (z. B. Erstellen, Löschen und Ändern von Vorgängen, Festlegen von Zugriffsrichtlinien, Festlegen von Firewalls und virtuelle Netzwerkregeln und Bereitstellung von geheimen Schlüsseln über ARM-Vorlagen) sind von Firewalls und regeln für virtuelle Netzwerke nicht betroffen.

Hier finden Sie einige Beispiele dafür, wie Sie Dienstendpunkte verwenden können:

  • Sie verwenden Key Vault zum Speichern von Verschlüsselungsschlüsseln, Anwendungsschlüsseln und Zertifikaten, und Sie möchten den Zugriff auf Ihre key vault aus dem öffentlichen Internet blockieren.
  • Sie möchten den Zugriff auf Ihren Schlüsseltresor sperren, sodass nur Ihre Anwendung oder einige festgelegte Hosts eine Verbindung mit dem Schlüsselspeicher herstellen können.
  • Sie haben eine Anwendung, die in Ihrem Azure virtuellen Netzwerk ausgeführt wird, und dieses virtuelle Netzwerk ist für alle eingehenden und ausgehenden Datenverkehr gesperrt. Ihre Anwendung muss weiterhin eine Verbindung mit Key Vault herstellen, um geheime Schlüssel oder Zertifikate abzurufen oder kryptografische Schlüssel zu verwenden.

Gewähren des Zugriffs auf vertrauenswürdige Azure Dienste

Sie können dem Schlüsseltresor Zugriff auf vertrauenswürdige Azure-Dienste gewähren und gleichzeitig Netzwerkregeln für andere Apps verwalten. Diese vertrauenswürdigen Dienste stellen dann unter Verwendung einer strengen Authentifizierung eine sichere Verbindung mit Ihrem Schlüsseltresor her.

Sie können den Zugriff auf vertrauenswürdige Azure Dienste gewähren, indem Sie Netzwerkeinstellungen konfigurieren. Eine schrittweise Anleitung finden Sie unter Configure-Netzwerksicherheit für Azure Key Vault.

Wenn Sie Zugriff auf vertrauenswürdige Azure-Dienste gewähren, gewähren Sie die folgenden Zugriffstypen:

  • Vertrauenswürdiger Zugriff auf in Ihrem Abonnement registrierte Ressourcen für ausgewählte Vorgänge
  • Vertrauenswürdiger Zugriff auf Ressourcen auf der Grundlage einer systemseitig zugewiesenen verwalteten Identität
  • Vertrauenswürdiger Zugriff über Mandanten hinweg mithilfe von Anmeldeinformationen einer Verbundidentität

Wenn Zulassen, dass vertrauenswürdige Microsoft-Dienste diese Firewall umgehen aktiviert ist, können die in der Tabelle Vertrauenswürdige Dienste aufgeführten Dienste auf den Tresor zugreifen. Die Umgehung wird weiterhin angewendet, wenn der öffentliche Zugriff deaktiviert ist, sodass aufgeführte Dienste keinen privaten Endpunkt für die Verbindung benötigen. Wenn der Zugriff auf öffentliche Netzwerke auf " Sicher durch Umkreis" (über die Zuordnung mit einem Netzwerksicherheitsperimeter) festgelegt ist, wird die Umgehung außer Kraft gesetzt, und sogar vertrauenswürdige Dienste werden blockiert, es sei denn, eine explizite Umkreiszugriffsregel lässt sie zu.

Vertrauenswürdige Dienste

In der folgenden Tabelle sind die Microsoft-Dienste aufgeführt, von denen bekannt ist, dass sie die Key Vault-Firewall umgehen, wenn die Option Vertrauenswürdige Dienste zulassen aktiviert ist. Diese Tabelle spiegelt dienste wider, die zum Zeitpunkt der Veröffentlichung bekannt sind; Neu eingebundene Dienste werden hier möglicherweise noch nicht angezeigt.

Vertrauenswürdiger Dienst Unterstützte Verwendungsszenarien
Azure KI-Suche Konfigurieren von vom Kunden verwalteten Schlüsseln für Azure KI-Suche verschlüsselten Daten
Azure-API-Verwaltung Bereitstellen von Zertifikaten für benutzerdefinierte Domänen aus dem Schlüsseltresor mit MSI
Azure App Service Der App-Dienst ist nur für die Bereitstellung eines Azure Web App-Zertifikats über Key Vault vertrauenswürdig; für die einzelne App selbst können die ausgehenden IPs zu den IP-basierten Regeln von Key Vault hinzugefügt werden.
Azure Application Gateway Verwendung von Key Vault-Zertifikaten für HTTPS-fähige Listener
Azure Backup Ermöglicht Backup und Wiederherstellung relevanter Schlüssel und Geheimnisse während der Sicherung von Azure Virtual Machines mithilfe von Azure Backup.
Azure Batch Konfigurieren Sie vom Kunden verwaltete Schlüssel für Batchkonten und Key Vault für Benutzerabonnement-Batchkonten
Azure Bot Service Azure KI Bot Service Verschlüsselung für ruhende Daten
Azure CDN Configure HTTPS in einer benutzerdefinierten Azure CDN Domäne: Gewähren Azure CDN Zugriff auf Ihren Schlüsseltresor
Azure Container Registry Registrierungsverschlüsselung mithilfe kundenseitig verwalteter Schlüssel
Azure Data Factory Rufen Sie Anmeldeinformationen für den Datenspeicher in Key Vault aus der Data Factory ab
Azure Data Lake Store Encryption von Daten im Azure Data Lake Store mit einem vom Kunden verwalteten Schlüssel.
Azure Data Manager für die Landwirtschaft Speichern und Verwenden Ihrer eigenen Lizenzschlüssel
Azure Database for MySQL – Einzelserver Datenverschlüsselung für Azure Database for MySQL Einzelserver
Azure Database for MySQL Flexible Server Datenverschlüsselung für Azure Database for MySQL Flexible Server
Azure Database für PostgreSQL Einzelserver Datenverschlüsselung für Azure Database for PostgreSQL Einzelserver
Azure Database für PostgreSQL Flexibles Server-System Datenverschlüsselung für Azure Database for PostgreSQL Flexible Server
Azure Databricks Ein schneller, einfacher und kollaborativer Analysedienst auf Basis von Apache Spark
Azure-Disk-Encryption-Volumeverschlüsselungsservice Zugriff auf BitLocker-Schlüssel (Windows VM) oder DM-Passphrase (Linux-VM) und Schlüsselverschlüsselungsschlüssel während der Bereitstellung virtueller Computer zulassen. Dies ermöglicht Azure Disk Encryption.
Azure Disk Storage Bei Konfiguration mit einem Datenträgerverschlüsselungssatz (DISK Encryption Set, DES). Weitere Informationen finden Sie unter Serverseitige Verschlüsselung von Azure Disk Storage mithilfe von vom Kunden verwalteten Schlüsseln.
Azure Event Hubs Zulassen des Zugriffs auf einen Schlüsseltresor für Szenarien mit kundenseitig verwalteten Schlüsseln
Azure ExpressRoute Bei Verwendung von MACsec mit ExpressRoute Direct
Azure Firewall Premium Azure Firewall Premium-Zertifikate
Azure Front Door (klassisch) Verwendung von Key Vault-Zertifikaten für HTTPS
Azure Front Door Standard/Premium - Eine cloudbasierte Content Delivery Network (CDN) und Sicherheitslösung von Microsoft. Verwendung von Key Vault-Zertifikaten für HTTPS
Azure Import/Export Verwenden Sie kundengesteuerte Schlüssel im Azure Key Vault für den Import/Export-Dienst
Azure Information Protection Zugriff auf Mandantenschlüssel für Azure Information Protection. zulassen.
Azure Machine Learning Secure Azure Machine Learning in einem virtuellen Netzwerk
Azure Monitor Zugriff auf einen Schlüsseltresor für Szenarien mit kundenseitig verwalteten Schlüsseln eines dedizierten Log Analytics-Clusters
Azure NetApp Files Erlauben Sie den Zugriff auf vom Kunden verwaltete Schlüssel in Azure Key Vault
Azure Policy-Überprüfung Richtlinien der Steuerungsebene für Geheimnisse, Schlüssel, die in der Datenebene gespeichert sind
Azure Resource Manager Vorlagenbereitstellungsdienst Übergeben sicherer Werte während der Bereitstellung.
Azure Service Bus Zulassen des Zugriffs auf einen Schlüsseltresor für Szenarien mit kundenseitig verwalteten Schlüsseln
Azure SQL-Datenbank Transparent Data Encryption mit Bring Your Own Key-Unterstützung für Azure SQL-Datenbank und Azure Synapse Analytics.
Azure Storage Storage-Dienstverschlüsselung mithilfe von vom Kunden verwalteten Schlüsseln in Azure Key Vault.
Azure Synapse Analytics Encryption von Daten mithilfe von vom Kunden verwalteten Schlüsseln in Azure Key Vault
Azure Virtual Machines Bereitstellungsdienst Zertifikate auf VMs aus einem vom Kunden verwalteten Key Vault bereitstellen.
Exchange Online, SharePoint Online, M365DataAtRestEncryption Zugriff auf kundenseitig verwaltete Schlüssel für die Verschlüsselung ruhender Daten mit Kundenschlüssel zulassen.
Microsoft PowerPlatform Verschlüsselung von Daten in Power Platform mithilfe von vom Kunden verwalteten Schlüsseln.
Microsoft Purview Verwenden von Anmeldeinformationen für die Quellauthentifizierung in Microsoft Purview

Hinweis

Sie müssen die relevante Azure RBAC für Key Vault Rollenzuweisungen oder Zugriffsrichtlinien (Legacy) einrichten, damit die entsprechenden Dienste Zugriff auf Key Vault erhalten können.

Nächste Schritte

  • Last updated on