Vue d’ensemble des clés, secrets et certificats Azure Key Vault

Azure Key Vault permet aux applications Microsoft Azure et à leurs utilisateurs de stocker et d’utiliser plusieurs types de données de secret/clé : clés, secrets et certificats. Les clés, les secrets et les certificats sont collectivement appelés « objets ».

Identificateurs d'objet

Les objets sont identifiés de manière unique dans Key Vault à l’aide d’un identificateur qui ne respecte pas la casse appelé identificateur d’objet. Il n’y a pas deux objets avec le même identificateur dans le système, quel que soit l’emplacement géographique. L’identificateur est constitué d’un préfixe qui identifie le coffre de clés, du type d’objet, du nom d’objet fourni par l’utilisateur et d’une version d’objet. Les identificateurs qui n’incluent pas la version de l’objet sont appelés des « identificateurs de base ». Les identificateurs d’objet Key Vault sont également des URL valides, mais doivent toujours être comparés en tant que chaînes ne respectant pas la casse.

Pour plus d’informations, consultez Authentification, requêtes et réponses

Un identificateur d’objet a le format général suivant (selon le type de conteneur) :

• Pour les coffres : https://{vault-name}.vault.azure.net/{object-type}/{object-name}/{object-version}

• Pour les pools Managed HSM : https://{hsm-name}.managedhsm.azure.net/{object-type}/{object-name}/{object-version}

Où :

Suffixes DNS pour les identificateurs d’objets

Le fournisseur de ressources Azure Key Vault prend en charge deux types de ressources : les coffres et les HSM managés. Ce tableau montre le suffixe DNS utilisé par le point de terminaison de plan de données pour les coffres et les pools HSM managés dans divers environnements cloud.

Types d’objets

Ce tableau montre les types d’objet et leurs suffixes dans l’identificateur d’objet.

• Clés de chiffrement : Prend en charge plusieurs algorithmes et types de clés, et permet l’utilisation de clés protégées par logiciel et par HSM. Pour plus d’informations sur les clés, consultez À propos des clés.
• Secrets : Fournit un stockage sécurisé des secrets, comme les mots de passe et les chaînes de connexion de base de données. Pour plus d’informations, consultez À propos des secrets.
• Certificats : Prend en charge les certificats, qui sont basés sur des clés et des secrets, et ajoute une fonctionnalité de renouvellement automatique. Gardez à l’esprit que quand un certificat est créé, une clé et un secret adressables sont également créés avec le même nom. Pour plus d’informations, consultez À propos des certificats.
• Clés de compte Stockage Azure : Peut gérer pour vous les clés d’un compte Stockage Azure. En interne, Key Vault peut lister (synchroniser) les clés avec un compte Stockage Azure et regénérer (faire tourner) régulièrement les clés. Pour plus d’informations, consultez Gérer les clés de compte de stockage avec Key Vault.

Pour plus d’informations générales sur Key Vault, consultez À propos d’Azure Key Vault. Pour plus d’informations sur les pools de HSM managés, consultez Qu’est-ce qu’Azure Key Vault Managed HSM ?

Types de données

Reportez-vous aux spécifications JOSE pour les types de données appropriés pour les clés, le chiffrement et la signature.

• algorithm : algorithme pris en charge pour une opération sur les clés, RSA1_5 par exemple
• ciphertext-value : octets de texte de chiffrement, codés avec Base64URL
• digest-value : sortie d’un algorithme de hachage, codée avec Base64URL
• key-type : un des types de clés pris en charge, par exemple RSA (Rivest-Shamir-Adleman).
• plaintext-value : octets de texte en clair, codés avec Base64URL
• signature-value : sortie d’un algorithme de signature, codée avec Base64URL
• base64URL : valeur binaire codée Base64URL [RFC4648]
• boolean : true (vrai) ou false (faux)
• Identité : identité de Microsoft Entra ID.
• IntDate : valeur décimale JSON représentant le nombre de secondes entre 1970-01-01T0:0:0Z UTC et la date/heure UTC spécifiée. Consultez la RFC3339 pour plus d’informations sur les dates/heures en général, et sur UTC en particulier.

Objets, identificateurs et gestion de versions

Les objets stockés dans Key Vault sont versionnés chaque fois qu’une nouvelle instance d’un objet est créée. Chaque version se voit assigner un identificateur d’objet unique. Quand un objet est créé, il se voit attribuer un identificateur de version unique et est marqué comme version actuelle de l’objet. La création d’une nouvelle instance portant le même nom d’objet attribue au nouvel objet un identificateur de version unique, ce qui en fait la version actuelle.

Vous pouvez récupérer les objets dans Key Vault en spécifiant une version ou en l’omettant pour obtenir la dernière version de l’objet. L’exécution d’opérations sur des objets nécessite l’indication d’une version pour utiliser une version spécifique de l’objet.

Étapes suivantes

• À propos des clés
• À propos des secrets
• À propos des certificats
• Authentification, requêtes et réponses
• Guide du développeur Key Vault