Pontos finais do serviço de rede virtual para a Azure Key Vault

Os endpoints de serviço de rede virtual para o Azure Key Vault permitem restringir o acesso a uma rede virtual especificada. Os pontos de extremidade também permitem restringir o acesso a uma lista de intervalos de endereços IPv4 (versão 4 do Protocolo de Internet). Qualquer utilizador que se conecte ao seu cofre de chaves fora dessas origens é negado o acesso.

Existe uma importante exceção a esta restrição. Se optar por permitir serviços Microsoft de confiança, certos serviços Microsoft contornam o firewall e podem aceder ao cofre. A secção Serviços Fidedignos, mais à frente neste artigo, lista os serviços que hoje ignoram a firewall; os serviços que não constam dessa tabela precisam de uma regra de IP da firewall, de uma regra de rede virtual ou de um ponto final privado para aceder ao cofre. Os serviços que contornam o firewall ainda precisam de apresentar um token Microsoft Entra válido e devem ter permissões (configuradas como atribuições de funções ou políticas de acesso RBAC do Azure) para realizar a operação solicitada. Para obter mais informações, consulte Pontos de extremidade de serviço de rede virtual.

Cenários de utilização

Pode configurar firewalls Key Vault e redes virtuais para negar o acesso ao tráfego de todas as redes (incluindo o tráfego da internet) por defeito. Pode conceder acesso ao tráfego proveniente de redes virtuais Azure específicas e intervalos de endereços IP públicos da internet, permitindo-lhe construir uma fronteira de rede segura para as suas aplicações.

Nota

Key Vault firewalls e regras de rede virtual aplicam-se apenas ao plano data de Key Vault. As operações do plano de controlo do Key Vault (como criar, eliminar e modificar operações, definir políticas de acesso, definir firewalls, regras de rede virtual e implementação de segredos ou chaves através de templates ARM) não são afetadas por firewalls e regras de rede virtual.

Aqui estão alguns exemplos de como pode usar endpoints de serviço:

  • Está a usar o Key Vault para armazenar chaves de encriptação, segredos de aplicação e certificados, e quer bloquear o acesso ao seu key vault a partir da internet pública.
  • Você deseja bloquear o acesso ao cofre de chaves para que apenas seu aplicativo, ou uma pequena lista de hosts designados, possa se conectar ao cofre de chaves.
  • Tens uma aplicação a correr na tua rede virtual Azure, e essa rede virtual está bloqueada para todo o tráfego de entrada e saída. A sua aplicação ainda precisa de se ligar ao Key Vault para obter segredos ou certificados, ou usar chaves criptográficas.

Conceder acesso a serviços Azure de confiança

Pode conceder acesso a serviços confiáveis do Azure ao cofre de chaves, mantendo as regras de rede para outras aplicações. Esses serviços confiáveis usarão autenticação forte para se conectar com segurança ao seu cofre de chaves.

Pode conceder acesso a serviços Azure de confiança configurando as definições de rede. Para orientações passo a passo, consulte Configure a segurança de rede para Azure Key Vault.

Quando concede acesso a serviços Azure de confiança, concede os seguintes tipos de acesso:

  • Acesso fidedigno para operações selecionadas a recursos registados na sua subscrição.
  • Acesso confiável a recursos com base em uma identidade gerenciada.
  • Acesso confiável entre locatários usando uma Credencial de Identidade Federada

Quando a opção Permitir que os serviços fidedignos da Microsoft ignorem esta firewall está ativada, os serviços listados na tabela Serviços fidedignos podem aceder ao cofre. O bypass continua a aplicar-se quando o acesso público está desativado, pelo que os serviços listados não requerem um endpoint privado para se ligar. Se o acesso público à rede for definido como Seguro por perímetro (via associação com um Perímetro de Segurança de Rede), o bypass é ultrapassado e até serviços confiáveis são bloqueados, a menos que uma regra explícita de acesso ao perímetro os permita.

Serviços confiáveis

A tabela seguinte lista os serviços serviços Microsoft conhecidos por contornar o firewall do Key Vault quando a opção Permitir serviços confiáveis está ativada. Esta tabela reflete os serviços conhecidos à data da publicação; Os serviços recém-integrados podem ainda não aparecer aqui.

Serviço de confiança Cenários de utilização suportados
Pesquisa de IA do Azure Configurar chaves geridas pelo cliente para dados encriptados do Pesquisa de IA do Azure
Gestão de API do Azure Deploye certificados para Domínio Personalizado a partir de Key Vault usando MSI
Serviço de Aplicações do Azure O App Service é confiável apenas para Deploying Azure Web App Certificate através do Key Vault; para a própria app, os IPs de saída podem ser adicionados nas regras baseadas em IP da Key Vault
Gateway de Aplicação do Azure Usando certificados de Key Vault para ouvintes com HTTPS
Azure Backup Permita backup e restauração de chaves e segredos relevantes durante Máquinas Virtuais do Azure backup, usando Azure Backup.
Azure Batch Configure chaves geridas pelo cliente para contas Batch e Cofre de Chaves para contas Batch por subscrição de utilizador
Azure Bot Service Serviço de bot de IA do Azure encriptação para dados em repouso
CDN do Azure Configure HTTPS num domínio personalizado CDN do Azure: Conceda acesso CDN do Azure ao seu cofre de chaves
Azure Container Registry Criptografia do registro usando chaves gerenciadas pelo cliente
Azure Data Factory Obter credenciais de armazenamento de dados do Key Vault no Data Factory
Azure Data Lake Store Encriptação de dados na Azure Data Lake Store com uma chave gerida pelo cliente.
Azure Data Manager para Agricultura Armazene e utilize as suas próprias chaves de licença
Azure Database para MySQL Servidor Único Encriptação de dados para o Base de Dados do Azure para MySQL servidor único
Azure Database para MySQL Servidor Flexível Encriptação de dados para Base de Dados do Azure para MySQL Flexible Server
Base de Dados do Azure para PostgreSQL Servidor Único Encriptação de dados para Base de Dados do Azure para PostgreSQL de servidor único
Azure Database para PostgreSQL Servidor Flexível Encriptação de dados para Base de Dados do Azure para PostgreSQL servidor flexível
Azure Databricks Serviço de análise rápido, fácil e colaborativo baseado no Apache Spark
Serviço de encriptação de volumes do Azure Disk Encryption Permitir o acesso à Chave BitLocker (VM Windows) ou à Senha DM (VM Linux), e à Chave de Encriptação da Chave, durante a implementação da máquina virtual. Isto permite Azure Disk Encryption.
Armazenamento de Discos do Azure Quando configurado com um conjunto de criptografia de disco (DES). Para mais informações, veja Encriptação do lado do servidor de Armazenamento de Discos do Azure usando chaves geridas pelo cliente.
Hubs de Eventos do Azure Permitir acesso a um cofre de chaves para o cenário de chaves geridas pelo cliente
Azure ExpressRoute Ao usar MACsec com o ExpressRoute Direct
Azure Firewall Premium Certificados premium do Azure Firewall
Azure Front Door Classic Utilização de certificados Key Vault para HTTPS
Azure Front Door Standard/Premium Utilização de certificados Key Vault para HTTPS
Importação/Exportação do Azure Use chaves geridas pelo cliente em Azure Key Vault para serviço de Importação/Exportação
Azure Information Protection Permitir o acesso à chave de inquilino para Azure Information Protection.
Azure Machine Learning Secure Azure Machine Learning numa rede virtual
Azure Monitor Cluster dedicado de Log Analytics com acesso a um cofre de chaves para cenários de chaves geridas pelo cliente
Azure NetApp Files Permitir o acesso a chaves geridas pelo cliente em Azure Key Vault
Verificação de Políticas do Azure Políticas do plano de controlo para segredos e chaves armazenadas no plano de dados
Serviço de implementação de modelos do Azure Resource Manager Passe valores seguros durante a implantação.
Azure Service Bus Permitir acesso a um cofre de chaves para o cenário de chaves geridas pelo cliente
Base de Dados SQL do Azure Encriptação de Dados Transparente com suporte Bring Your Own Key para Base de Dados SQL do Azure e Azure Synapse Analytics.
Armazenamento do Azure Encriptação do Serviço de Armazenamento usando chaves geridas pelo cliente em Azure Key Vault.
Azure Synapse Analytics Encriptação de dados usando chaves geridas pelo cliente em Azure Key Vault
Serviço de implementação de Máquinas Virtuais do Azure Implementar certificados para VMs a partir de Key Vault geridos pelo cliente.
Exchange Online, SharePoint Online, M365DataAtRestEncryption Permita o acesso a chaves gerenciadas pelo cliente para criptografia de dados em repouso com chave do cliente.
Microsoft PowerPlatform Encriptação de dados no Power Platform usando chaves geridas pelo cliente.
Microsoft Purview Usar credenciais para autenticação de origem em Microsoft Purview

Nota

Deve configurar o RBAC do Azure relevante para atribuições de funções ou políticas de acesso no Key Vault (legacy) para permitir que os serviços correspondentes acedam ao Key Vault.

Próximos passos

  • Last updated on