Partilhar via

Criptografia e gerenciamento de chaves no Azure

  • Artigo

A criptografia é um passo vital para garantir a privacidade dos dados, a conformidade e a residência de dados no Microsoft Azure. É também uma das preocupações de segurança mais importantes de muitas empresas. Esta seção aborda considerações de design e recomendações para criptografia e gerenciamento de chaves.

Considerações de design

  • Defina os limites de assinatura e escala conforme eles se aplicam ao Cofre de Chaves do Azure.

    O Cofre de Chaves tem limites de transação para chaves e segredos. Para limitar as transações por cofre por um determinado período de tempo, consulte Limites do Azure.

    O Cofre da Chave serve um limite de segurança porque as permissões de acesso para chaves, segredos e certificados estão no nível do cofre. As atribuições da política de acesso ao Cofre da Chave concedem permissões separadamente para chaves, segredos ou certificados. Eles não oferecem suporte a permissões granulares no nível do objeto, como uma chave específica, segredo ou gerenciamento de chave de certificado.

  • Isole segredos específicos do aplicativo e da carga de trabalho e segredos compartilhados, conforme necessário, para controlar o acesso.

  • Otimize SKUs Premium onde chaves protegidas por HSM (Hardware Security Module) são necessárias.

    Os HSMs subjacentes são compatíveis com FIPS 140-2 Nível 2. Gerencie o HSM dedicado do Azure para conformidade com FIPS 140-2 Nível 3 considerando os cenários suportados.

  • Gerencie a rotação de chaves e a expiração secreta.

  • Use certificados do Key Vault para gerenciar a aquisição e assinatura de certificados. Defina alertas, notificações e renovações automatizadas de certificados.

  • Defina requisitos de recuperação de desastres para chaves, certificados e segredos.

  • Defina os recursos de replicação e failover do serviço Key Vault. Defina disponibilidade e redundância.

  • Monitore o uso de chaves, certificados e segredos.

    Detete o acesso não autorizado usando um cofre de chaves ou um espaço de trabalho do Azure Monitor Log Analytics. Para obter mais informações, consulte Monitoramento e alertas para o Cofre de Chaves do Azure.

  • Delegar instanciação do Cofre da Chave e acesso privilegiado. Para obter mais informações, consulte Segurança do Cofre de Chaves do Azure.

  • Defina requisitos para usar chaves gerenciadas pelo cliente para mecanismos de criptografia nativos, como a criptografia do Armazenamento do Azure:

    • Chaves geridas pelo cliente
    • Criptografia de disco inteiro para máquinas virtuais (VMs)
    • Encriptação de dados em trânsito
    • Criptografia de dados em repouso

Recomendações de design

  • Use um modelo federado do Azure Key Vault para evitar limites de escala de transação.

  • O RBAC do Azure é o sistema de autorização recomendado para o plano de dados do Azure Key Vault. Consulte Azure role-based access control (Azure RBAC) vs. access policies (legacy) para obter mais informações.

  • Provisione o Azure Key Vault com as políticas de exclusão e limpeza suaves habilitadas para permitir a proteção de retenção para objetos excluídos.

  • Siga um modelo de privilégios mínimos, limitando a autorização para excluir permanentemente chaves, segredos e certificados a funções personalizadas especializadas do Microsoft Entra.

  • Automatize o processo de gerenciamento e renovação de certificados com autoridades de certificação públicas para facilitar a administração.

  • Estabeleça um processo automatizado para rotação de chaves e certificados.

  • Habilite o firewall e os pontos de extremidade do serviço de rede virtual no cofre para controlar o acesso ao cofre de chaves.

  • Use o espaço de trabalho do Azure Monitor Log Analytics central da plataforma para auditar o uso de chaves, certificados e segredos em cada instância do Cofre de Chaves.

  • Delegue a instanciação e o acesso privilegiado do Cofre da Chave e use a Política do Azure para impor uma configuração consistente e compatível.

  • Defina como padrão chaves gerenciadas pela Microsoft para a funcionalidade de criptografia principal e use chaves gerenciadas pelo cliente quando necessário.

  • Não use instâncias centralizadas do Cofre de Chaves para chaves de aplicativo ou segredos.

  • Para evitar o compartilhamento secreto entre ambientes, não compartilhe instâncias do Cofre de Chaves entre aplicativos.