在 Azure Key Vault 中配置加密密钥自动轮换
概述
Key Vault 中的加密密钥自动轮换使客户可将 Key Vault 配置为按指定频率自动生成新的密钥版本。 若要配置轮换,可以使用密钥轮换策略,该策略可在每个单个密钥上定义。
我们的建议是至少每两年轮换一次加密密钥,以满足加密最佳做法。
有关如何对 Key Vault 中的对象进行版本控制的更多信息,请参见 Key Vault 对象、标识符和版本控制。
与 Azure 服务集成
利用此功能,客户管理的密钥 (CMK) 存储在 Azure Key Vault 中的 Azure 服务可以对静态加密进行端到端的零接触轮换。 请参阅特定的 Azure 服务文档,了解该服务是否涵盖端到端轮换。
有关 Azure 中数据加密的详细信息,请参阅:
定价
每个计划的密钥轮换都会产生额外的费用。 有关详细信息,请参阅 Azure Key Vault 定价页
所需的权限
Key Vault 的密钥轮换功能需要密钥管理权限。 可以分配“Key Vault 加密管理人员”角色来管理轮换策略和按需轮换。
有关如何使用 Key Vault RBAC 权限模型和分配 Azure 角色的详细信息,请参阅:使用 Azure RBAC 控制对密钥、证书和机密的访问
注意
如果使用访问策略权限模型,需要设置“轮换”、“设置轮换策略”和“获取轮换策略”密钥权限来管理密钥的轮换策略。
密钥轮换策略
密钥轮换策略使用户可为即将到期通知配置轮换和事件网格通知。
密钥轮换策略设置:
- 到期时间:密钥的过期时间间隔。 它用于设置新轮换密钥的到期日期。 它不会影响当前密钥。
- 已启用/已禁用:用于启用或禁用密钥轮换的标志
- 轮换类型:
- 创建后,在给定时间自动续订(默认)
- 在到期前在给定时间自动续订。 它需要对轮换策略设置“到期时间”,并对密钥设置“到期日期”。
- 轮换时间:密钥轮换间隔,最小值为创建前七天和过期后七天
- 通知时间:事件网格通知的密钥即将到期事件间隔。 它需要对轮换策略设置“到期时间”,并对密钥设置“到期日期”。
重要
密钥轮换使用新密钥材料生成现有密钥的新密钥版本。 目标服务应使用无版本密钥 URI 自动刷新到最新版本的密钥。 确保数据加密解决方案将存储版本控制密钥 URI,以及指向用于解密/解包的密钥材料(此密钥材料应与加密/包装操作所用的密钥材料相同)的数据,以避免服务中断。 所有 Azure 服务当前都遵循该模式进行数据加密。
配置密钥轮换策略
在密钥创建过程中配置密钥轮换策略。
针对现有密钥配置轮换策略。
Azure CLI
将密钥轮换策略保存到文件。 密钥轮换策略示例:
{
"lifetimeActions": [
{
"trigger": {
"timeAfterCreate": "P18M",
"timeBeforeExpiry": null
},
"action": {
"type": "Rotate"
}
},
{
"trigger": {
"timeBeforeExpiry": "P30D"
},
"action": {
"type": "Notify"
}
}
],
"attributes": {
"expiryTime": "P2Y"
}
}
az keyvault key rotation-policy update --vault-name <vault-name> --name <key-name> --value </path/to/policy.json>
Azure PowerShell
使用 Azure Powershell Set-AzKeyVaultKeyRotationPolicy cmdlet 设置轮换策略。
Set-AzKeyVaultKeyRotationPolicy -VaultName <vault-name> -KeyName <key-name> -ExpiresIn (New-TimeSpan -Days 720) -KeyRotationLifetimeAction @{Action="Rotate";TimeAfterCreate= (New-TimeSpan -Days 540)}
按需轮换
密钥轮换可以手动调用。
门户
单击“立即轮换”以调用轮换。
Azure CLI
使用 Azure CLI az keyvault key rotate 命令轮换密钥。
az keyvault key rotate --vault-name <vault-name> --name <key-name>
Azure PowerShell
使用 Azure PowerShell Invoke-AzKeyVaultKeyRotation cmdlet。
Invoke-AzKeyVaultKeyRotation -VaultName <vault-name> -Name <key-name>
配置密钥即将到期的通知
为事件网格密钥即将到期事件配置到期通知。 可以将通知配置为在到期前几天、数月和数年触发即将到期的事件。
有关 Key Vault 中的事件网格通知的详细信息,请参阅 Azure Key Vault 作为事件网格源
使用 ARM 模板配置密钥轮换
密钥轮换策略也可以使用 ARM 模板配置。
注意
它需要使用 Azure RBAC 配置的 Key Vault 上的“Key Vault 参与者”角色来通过管理平面部署密钥。
{
"$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#",
"contentVersion": "1.0.0.0",
"parameters": {
"vaultName": {
"type": "String",
"metadata": {
"description": "The name of the key vault to be created."
}
},
"keyName": {
"type": "String",
"metadata": {
"description": "The name of the key to be created."
}
},
"rotatationTimeAfterCreate": {
"defaultValue": "P18M",
"type": "String",
"metadata": {
"description": "Time duration to trigger key rotation. i.e. P30D, P1M, P2Y"
}
},
"expiryTime": {
"defaultValue": "P2Y",
"type": "String",
"metadata": {
"description": "The expiry time for new key version. i.e. P90D, P2M, P3Y"
}
},
"notifyTime": {
"defaultValue": "P30D",
"type": "String",
"metadata": {
"description": "Near expiry Event Grid notification. i.e. P30D"
}
}
},
"resources": [
{
"type": "Microsoft.KeyVault/vaults/keys",
"apiVersion": "2021-06-01-preview",
"name": "[concat(parameters('vaultName'), '/', parameters('keyName'))]",
"location": "[resourceGroup().location]",
"properties": {
"vaultName": "[parameters('vaultName')]",
"kty": "RSA",
"rotationPolicy": {
"lifetimeActions": [
{
"trigger": {
"timeAfterCreate": "[parameters('rotatationTimeAfterCreate')]",
"timeBeforeExpiry": ""
},
"action": {
"type": "Rotate"
}
},
{
"trigger": {
"timeBeforeExpiry": "[parameters('notifyTime')]"
},
"action": {
"type": "Notify"
}
}
],
"attributes": {
"expiryTime": "[parameters('expiryTime')]"
}
}
}
}
]
}
配置密钥轮换策略
使用 Azure Policy 服务,可以控制密钥生命周期,并确保将所有密钥配置为在指定的天数内轮换。
创建并分配策略定义
- 导航到策略资源
- 在“Azure Policy”页左侧的“创作”下选择“分配”。
- 选择页面顶部的“分配策略”。 此按钮会打开“策略分配”页面。
- 输入以下信息:
- 填写任何其他字段。 单击页面底部的“上一步”和“下一步”按钮导航选项卡。
- 选择“查看 + 创建”
- 选择“创建”
分配内置策略后,可能需要 24 小时才能完成扫描。 扫描完成后,可以看到如下所示的符合性结果。