Azure Key Vault to usługa zarządzania sekretami, kluczami kryptograficznymi i certyfikatami SSL/TLS w bezpiecznym magazynie w chmurze Azure. Aplikacje biznesowe często zawierają tajne dane w plikach konfiguracyjnych – connection stringi do baz danych, klucze API, hasła do usług zewnętrznych – co stanowi poważne ryzyko bezpieczeństwa przy wycieku kodu. Key Vault eliminuje ten problem przez centralne przechowywanie sekretów dostępnych przez API dla autoryzowanych aplikacji i pracowników, z pełnym logowaniem każdego dostępu i automatyczną rotacją wybranych sekretów.
Sekrety, klucze i certyfikaty w Key Vault
Key Vault przechowuje trzy typy obiektów: Secrets (ciągi tekstowe – connection stringi, hasła, tokeny API), Keys (klucze kryptograficzne RSA i EC używane do szyfrowania przez aplikacje lub TDE baz danych SQL) i Certyfikaty SSL/TLS (z automatycznym odnowieniem przez zintegrowane CA takie jak DigiCert i GlobalSign). Dostęp do każdego typu obiektu jest kontrolowany oddzielnie przez polityki dostępu Key Vault lub Azure RBAC – deweloper może czytać sekrety, ale nie zarządzać certyfikatami; aplikacja może używać klucza do szyfrowania, ale nie eksportować jego wartości.
Eliminacja sekretów z kodu aplikacji
Zamiast wpisywać w kodzie lub pliku .env connection string do bazy danych, aplikacja Azure pobiera go z Key Vault przez tożsamość zarządzaną (Managed Identity) – Azure automatycznie przyznaje tokenowi aplikacji dostęp do Key Vault bez przechowywania hasła gdziekolwiek. Managed Identity eliminuje problem rotacji haseł w wielu miejscach – zmiana connection stringa w Key Vault automatycznie dociera do wszystkich aplikacji, które go pobierają dynamicznie. To zasadnicza poprawa bezpieczeństwa dla każdej aplikacji przetwarzającej dane wrażliwe w Azure.
Automatyczna rotacja sekretów
Key Vault obsługuje automatyczną rotację sekretów dla wybranych usług – np. automatyczne odnowienie haseł do baz danych Azure SQL czy kont magazynów Azure Storage bez przestoju aplikacji. Event Grid wysyła powiadomienie przy zbliżającym się wygaśnięciu sekretu, wyzwalając przepływ automatycznej rotacji przez Azure Functions lub Logic Apps. Regularna rotacja sekretów minimalizuje ryzyko wynikające z długotrwałego używania jednego hasła, a automatyzacja eliminuje błędy ludzkie i przestoje wynikające z zapomnianej ręcznej rotacji.
HSM (Hardware Security Module) – sprzętowa ochrona kluczy
Azure Key Vault Premium i Azure Managed HSM używają sprzętowych modułów bezpieczeństwa (HSM) certyfikowanych FIPS 140-2 Level 2 i Level 3 do przechowywania kluczy kryptograficznych. Klucze w HSM nigdy nie opuszczają sprzętu w postaci jawnej – operacje kryptograficzne są wykonywane wewnątrz HSM. Firmy z wymaganiami regulacyjnymi (sektor finansowy, ochrona zdrowia, administracja publiczna) wymagającymi sprzętowej ochrony kluczy szyfrowania danych osobowych i finansowych mogą spełnić te wymogi przez Managed HSM bez kupowania własnych urządzeń HSM w data center.
Audyt dostępu i zgodność
Azure Monitor rejestruje każdy dostęp do Key Vault – kto, kiedy i jaki sekret lub klucz odczytał lub zmodyfikował. Logi są przekazywane do Log Analytics, gdzie można tworzyć alerty przy dostępie w nieoczekiwanych godzinach lub przez nieautoryzowane podmioty. Dla firm z wymaganiami audytowymi (SOC 2, ISO 27001, PCI DSS) logowanie Key Vault dostarcza dowodów zarządzania kluczami wymaganych przez audytorów bezpieczeństwa. Microsoft Defender for Key Vault generuje alerty przy anomalnych wzorcach dostępu wskazujących na potencjalne naruszenie bezpieczeństwa.
