通过

带软删除和清除保护功能的 Azure Key Vault 恢复管理

  • 项目

本文介绍了 Azure Key Vault 的两项恢复功能：软删除和清除保护。 本文档概述了这两项功能，并演示了如何通过 Azure 门户、Azure CLI 和 Azure PowerShell 对其进行管理。

有关 Key Vault 的详细信息，请参阅

先决条件

  • Azure 订阅 - 创建试用版订阅

  • Azure PowerShell。

  • Azure CLI

  • Key Vault - 可以使用 Azure 门户、Azure CLI 或 Azure PowerShell 进行创建

  • 用户需要具有以下权限（在订阅级别）才能对软删除的保管库执行操作：

    权限 说明
    Microsoft.KeyVault/locations/deletedVaults/read 查看软删除的密钥保管库的属性
    Microsoft.KeyVault/locations/deletedVaults/purge/action 清除软删除的密钥保管库
    Microsoft.KeyVault/locations/operationResults/read 检查保管库的清除状态
    密钥保管库参与者 恢复软删除的保管库

什么是软删除和清除保护

软删除和清除保护是两项不同的密钥保管库恢复功能。

“软删除”旨在防止意外删除密钥保管库以及存储在密钥保管库中的密钥、机密以及证书。 可以将软删除视为回收站。 密钥保管库或密钥保管库对象在删除后，会在可供用户配置的保持期内或默认的 90 天内保持可恢复状态。 还可以清除处于软删除状态的密钥保管库，这意味着它们会被永久删除。 这样便可以重新创建具有相同名称的密钥保管库和密钥保管库对象。 恢复和删除密钥保管库与对象都需要提升的访问策略权限。 软删除一旦启用就无法禁用。

重要

必须立即对密钥保管库启用软删除。 选择退出软删除的功能已弃用，并且将于 2025 年 2 月删除。 请参阅此处的完整详细信息。

必须注意的是，密钥保管库名称是全局独一无二的，因此你无法创建与处于软删除状态的密钥保管库同名的密钥保管库。 类似地，密钥、机密和证书的名称在密钥保管库中是独一无二的。 你将无法使用处于软删除状态的机密、密钥或证书的名称创建另一个机密、密钥或证书。

“清除保护”旨在防止恶意内部成员删除你的密钥保管库、密钥、机密和证书。 可以将此视为一个带有基于时间的锁的回收站。 你可以在可配置的保持期内随时恢复项。 在保持期结束之前，你将无法永久删除或清除密钥保管库。 保持期结束后，系统会自动清除密钥保管库或密钥保管库对象。

注意

“清除保护”旨在使管理员角色或权限不能重写、禁用或绕过清除保护。 一旦启用清除保护，任何人（包括 Microsoft）都不能禁用或重写它。 这意味着，在重复使用密钥保管库名称之前，必须恢复已删除的密钥保管库或等待保持期结束。

有关软删除的详细信息，请参阅 Azure Key Vault 软删除概述。

验证是否对密钥保管库启用了软删除，并在未启用软删除的情况下将其启用

  1. 登录到 Azure 门户。
  2. 选择密钥保管库。
  3. 单击“属性”边栏选项卡。
  4. 验证软删除旁边的单选按钮是否已设置为“启用恢复”。
  5. 如果未对密钥保管库启用软删除，请单击该单选按钮以启用软删除，然后单击“保存”。

在“属性”上突出显示了“软删除”，这是用于启用它的值。

向服务主体授予清除和恢复已删除机密所需的访问权限

  1. 登录到 Azure 门户。
  2. 选择密钥保管库。
  3. 单击“访问策略”边栏选项卡。
  4. 在表中，找到要授予其访问权限的安全主体所在的行（或添加新的安全主体）。
  5. 单击密钥、证书和机密的下拉列表。
  6. 滚动到下拉列表底部，然后单击“恢复”和“清除”
  7. 安全主体还需要“获取”和“列出”功能才能执行大多数操作。

在左侧的导航窗格中，突出显示了“访问策略”。在“访问策略”上，显示了“机密位置”下拉列表，并且选择了四个项：获取、列出、恢复和清除。

列出、恢复或清除软删除的密钥保管库

  1. 登录到 Azure 门户。
  2. 单击页面顶部的搜索栏。
  3. 搜索“密钥保管库”服务。 不要单击单个密钥保管库。
  4. 在屏幕顶部，单击管理已删除的保管库选项
  5. 此时会在屏幕右侧打开一个上下文窗格。
  6. 选择订阅。
  7. 如果你的密钥保管库已被软删除，则它会显示在右侧的上下文窗格中。
  8. 如果保管库过多，可以单击上下文窗格底部的加载更多，也可以使用 CLI 或 PowerShell 来获取结果。
  9. 找到要恢复或清除的保管库后，选中其旁边的复选框。
  10. 如果要恢复密钥保管库，请选择上下文窗格底部的恢复选项。
  11. 如果要永久删除密钥保管库，请选择“清除”选项。

在“密钥保管库”上，突出显示了“管理删除的保管库”选项。

在“管理删除的密钥保管库”上，突出显示并选中了唯一列出的密钥保管库，并突出显示了“恢复”按钮。

列出、恢复或清除已软删除的机密、密钥和证书

  1. 登录到 Azure 门户。
  2. 选择密钥保管库。
  3. 选择与要管理的机密类型（密钥、机密或证书）对应的边栏选项卡。
  4. 在屏幕顶部，单击管理已删除项(密钥、机密或证书)
  5. 此时会在屏幕右侧显示一个上下文窗格。
  6. 如果机密、密钥或证书未显示在此列表中，则表明它没有处于软删除状态。
  7. 选择要管理的机密、密钥或证书。
  8. 选择上下文窗格底部用于恢复或清除的选项。

在“密钥”上，突出显示了“管理删除的密钥”选项。

后续步骤