diff --git a/src/pentesting-cloud/azure-security/az-services/az-keyvault.md b/src/pentesting-cloud/azure-security/az-services/az-keyvault.md index 1bb1305ca..da28cdc48 100644 --- a/src/pentesting-cloud/azure-security/az-services/az-keyvault.md +++ b/src/pentesting-cloud/azure-security/az-services/az-keyvault.md @@ -4,11 +4,11 @@ ## Basic Information -**Azure Key Vault** είναι μια υπηρεσία cloud που παρέχεται από το Microsoft Azure για την ασφαλή αποθήκευση και διαχείριση ευαίσθητων πληροφοριών όπως **μυστικά, κλειδιά, πιστοποιητικά και κωδικούς πρόσβασης**. Λειτουργεί ως κεντρικό αποθετήριο, προσφέροντας ασφαλή πρόσβαση και λεπτομερή έλεγχο χρησιμοποιώντας το Azure Active Directory (Azure AD). Από την άποψη της ασφάλειας, το Key Vault παρέχει **προστασία με υλικό ασφαλείας (HSM)** για κρυπτογραφικά κλειδιά, διασφαλίζει ότι τα μυστικά είναι κρυπτογραφημένα τόσο σε κατάσταση ηρεμίας όσο και σε μετάδοση, και προσφέρει ισχυρή διαχείριση πρόσβασης μέσω **ελέγχου πρόσβασης βάσει ρόλων (RBAC)** και πολιτικών. Διαθέτει επίσης **καταγραφή ελέγχου**, ενσωμάτωση με το Azure Monitor για παρακολούθηση πρόσβασης και αυτοματοποιημένη περιστροφή κλειδιών για μείωση του κινδύνου από παρατεταμένη έκθεση κλειδιών. +**Azure Key Vault** είναι μια υπηρεσία cloud που παρέχεται από το Microsoft Azure για την ασφαλή αποθήκευση και διαχείριση ευαίσθητων πληροφοριών όπως **μυστικά, κλειδιά, πιστοποιητικά και κωδικούς πρόσβασης**. Λειτουργεί ως κεντρικό αποθετήριο, προσφέροντας ασφαλή πρόσβαση και λεπτομερή έλεγχο χρησιμοποιώντας το Azure Active Directory (Azure AD). Από την άποψη της ασφάλειας, το Key Vault παρέχει **προστασία μέσω υλικού ασφαλείας (HSM)** για κρυπτογραφικά κλειδιά, διασφαλίζει ότι τα μυστικά είναι κρυπτογραφημένα τόσο σε κατάσταση ηρεμίας όσο και σε μεταφορά, και προσφέρει ισχυρή διαχείριση πρόσβασης μέσω **ελέγχου πρόσβασης βάσει ρόλων (RBAC)** και πολιτικών. Διαθέτει επίσης **καταγραφή ελέγχου**, ενσωμάτωση με το Azure Monitor για παρακολούθηση πρόσβασης και αυτοματοποιημένη περιστροφή κλειδιών για μείωση του κινδύνου από παρατεταμένη έκθεση κλειδιών. -Δείτε [Azure Key Vault REST API overview](https://learn.microsoft.com/en-us/azure/key-vault/general/about-keys-secrets-certificates) για πλήρεις λεπτομέρειες. +Δείτε την [επισκόπηση του Azure Key Vault REST API](https://learn.microsoft.com/en-us/azure/key-vault/general/about-keys-secrets-certificates) για πλήρεις λεπτομέρειες. -Σύμφωνα με τα [**docs**](https://learn.microsoft.com/en-us/azure/key-vault/general/basic-concepts), τα Vaults υποστηρίζουν την αποθήκευση λογισμικού και κλειδιών που υποστηρίζονται από HSM, μυστικών και πιστοποιητικών. Οι διαχειριζόμενες πισίνες HSM υποστηρίζουν μόνο κλειδιά που υποστηρίζονται από HSM. +Σύμφωνα με τα [**έγγραφα**](https://learn.microsoft.com/en-us/azure/key-vault/general/basic-concepts), τα Vaults υποστηρίζουν την αποθήκευση λογισμικού και κλειδιών που υποστηρίζονται από HSM, μυστικών και πιστοποιητικών. Οι διαχειριζόμενες πισίνες HSM υποστηρίζουν μόνο κλειδιά που υποστηρίζονται από HSM. Η **μορφή URL** για τα **vaults** είναι `https://{vault-name}.vault.azure.net/{object-type}/{object-name}/{object-version}` και για τις διαχειριζόμενες πισίνες HSM είναι: `https://{hsm-name}.managedhsm.azure.net/{object-type}/{object-name}/{object-version}` @@ -19,22 +19,22 @@ - `object-name` είναι το **μοναδικό** όνομα του αντικειμένου εντός του key vault - `object-version` είναι αυτόματα παραγόμενο και χρησιμοποιείται προαιρετικά για να αναφέρεται σε μια **μοναδική έκδοση ενός αντικειμένου**. -Για να αποκτήσετε πρόσβαση στα μυστικά που αποθηκεύονται στο vault, είναι δυνατή η επιλογή μεταξύ 2 μοντέλων αδειών κατά τη δημιουργία του vault: +Για να αποκτήσετε πρόσβαση στα μυστικά που αποθηκεύονται στο vault, είναι δυνατή η επιλογή μεταξύ 2 μοντέλων δικαιωμάτων κατά τη δημιουργία του vault: - **Πολιτική πρόσβασης Vault** - **Azure RBAC** (το πιο κοινό και συνιστώμενο) -- Μπορείτε να βρείτε όλες τις λεπτομερείς άδειες που υποστηρίζονται στο [https://learn.microsoft.com/en-us/azure/role-based-access-control/permissions/security#microsoftkeyvault](https://learn.microsoft.com/en-us/azure/role-based-access-control/permissions/security#microsoftkeyvault) +- Μπορείτε να βρείτε όλα τα λεπτομερή δικαιώματα που υποστηρίζονται στο [https://learn.microsoft.com/en-us/azure/role-based-access-control/permissions/security#microsoftkeyvault](https://learn.microsoft.com/en-us/azure/role-based-access-control/permissions/security#microsoftkeyvault) ### Access Control Η πρόσβαση σε έναν πόρο Key Vault ελέγχεται από δύο επίπεδα: -- Το **management plane**, του οποίου ο στόχος είναι το [management.azure.com](http://management.azure.com/). +- Το **επίπεδο διαχείρισης**, του οποίου ο στόχος είναι το [management.azure.com](http://management.azure.com/). - Χρησιμοποιείται για τη διαχείριση του key vault και των **πολιτικών πρόσβασης**. Υποστηρίζεται μόνο ο έλεγχος πρόσβασης βάσει ρόλων του Azure (**RBAC**). -- Το **data plane**, του οποίου ο στόχος είναι **`.vault.azure.com`**. -- Χρησιμοποιείται για τη διαχείριση και την πρόσβαση στα **δεδομένα** (κλειδιά, μυστικά και πιστοποιητικά) **στο key vault**. Αυτό υποστηρίζει **πολιτικές πρόσβασης key vault** ή Azure **RBAC**. +- Το **επίπεδο δεδομένων**, του οποίου ο στόχος είναι **`.vault.azure.com`**. +- Χρησιμοποιείται για τη διαχείριση και πρόσβαση στα **δεδομένα** (κλειδιά, μυστικά και πιστοποιητικά) **στο key vault**. Αυτό υποστηρίζει **πολιτικές πρόσβασης key vault** ή Azure **RBAC**. -Ένας ρόλος όπως ο **Contributor** που έχει άδειες στο management plane για τη διαχείριση πολιτικών πρόσβασης μπορεί να αποκτήσει πρόσβαση στα μυστικά τροποποιώντας τις πολιτικές πρόσβασης. +Ένας ρόλος όπως ο **Contributor** που έχει δικαιώματα στο επίπεδο διαχείρισης για τη διαχείριση πολιτικών πρόσβασης μπορεί να αποκτήσει πρόσβαση στα μυστικά τροποποιώντας τις πολιτικές πρόσβασης. ### Key Vault RBAC Built-In Roles @@ -42,21 +42,21 @@ ### Network Access -Στο Azure Key Vault, οι κανόνες **firewall** μπορούν να ρυθμιστούν για να **επιτρέπουν τις λειτουργίες του data plane μόνο από καθορισμένα εικονικά δίκτυα ή περιοχές διευθύνσεων IPv4**. Αυτή η περιοριστική πολιτική επηρεάζει επίσης την πρόσβαση μέσω της πύλης διαχείρισης Azure. Οι χρήστες δεν θα μπορούν να καταγράψουν κλειδιά, μυστικά ή πιστοποιητικά σε ένα key vault εάν η διεύθυνση IP σύνδεσής τους δεν είναι εντός της εξουσιοδοτημένης περιοχής. +Στο Azure Key Vault, οι κανόνες **firewall** μπορούν να ρυθμιστούν για να **επιτρέπουν τις λειτουργίες του επιπέδου δεδομένων μόνο από καθορισμένα εικονικά δίκτυα ή περιοχές διευθύνσεων IPv4**. Αυτή η περιοριστική πολιτική επηρεάζει επίσης την πρόσβαση μέσω της πύλης διαχείρισης Azure. Οι χρήστες δεν θα μπορούν να καταγράψουν κλειδιά, μυστικά ή πιστοποιητικά σε ένα key vault εάν η διεύθυνση IP σύνδεσής τους δεν είναι εντός της εξουσιοδοτημένης περιοχής. -Για την ανάλυση και τη διαχείριση αυτών των ρυθμίσεων, μπορείτε να χρησιμοποιήσετε το **Azure CLI**: +Για την ανάλυση και διαχείριση αυτών των ρυθμίσεων, μπορείτε να χρησιμοποιήσετε το **Azure CLI**: ```bash az keyvault show --name name-vault --query networkAcls ``` Η προηγούμενη εντολή θα εμφανίσει τις ρυθμίσεις του f**irewall του `name-vault`**, συμπεριλαμβανομένων των ενεργοποιημένων IP ranges και πολιτικών για απορριπτόμενη κίνηση. -Επιπλέον, είναι δυνατό να δημιουργηθεί ένα **ιδιωτικό endpoint** για να επιτραπεί μια ιδιωτική σύνδεση σε ένα vault. +Επιπλέον, είναι δυνατή η δημιουργία ενός **ιδιωτικού endpoint** για να επιτραπεί μια ιδιωτική σύνδεση σε ένα vault. ### Προστασία Διαγραφής Όταν δημιουργείται ένα key vault, ο ελάχιστος αριθμός ημερών που επιτρέπεται για διαγραφή είναι 7. Αυτό σημαίνει ότι όποτε προσπαθείτε να διαγράψετε αυτό το key vault, θα χρειαστεί **τουλάχιστον 7 ημέρες για να διαγραφεί**. -Ωστόσο, είναι δυνατό να δημιουργηθεί ένα vault με **απενεργοποιημένη την προστασία εκκαθάρισης**, η οποία επιτρέπει την εκκαθάριση του key vault και των αντικειμένων κατά τη διάρκεια της περιόδου διατήρησης. Αν και, μόλις αυτή η προστασία ενεργοποιηθεί για ένα vault, δεν μπορεί να απενεργοποιηθεί. +Ωστόσο, είναι δυνατή η δημιουργία ενός vault με **απενεργοποιημένη προστασία εκκαθάρισης**, η οποία επιτρέπει την εκκαθάριση του key vault και των αντικειμένων κατά τη διάρκεια της περιόδου διατήρησης. Αν και, μόλις αυτή η προστασία ενεργοποιηθεί για ένα vault, δεν μπορεί να απενεργοποιηθεί. ## Απαρίθμηση @@ -67,6 +67,7 @@ az keyvault show --name name-vault --query networkAcls az keyvault list # List Key Vaults in a specific Resource Group az keyvault list --resource-group +az keyvault list --query '[].{name:name}' -o tsv # Get just the names # Show details of a specific Key Vault az keyvault show --name # If accessPolicies, you can see them here # List all keys in a Key Vault