mirror of
https://github.com/HackTricks-wiki/hacktricks-cloud.git
synced 2026-07-29 07:00:29 -07:00
Translated ['src/pentesting-cloud/azure-security/az-services/az-keyvault
This commit is contained in:
Translator
@@ -4,7 +4,7 @@
|
||||
|
||||
## Basic Information
|
||||
|
||||
**Azure Key Vault**는 Microsoft Azure에서 제공하는 클라우드 서비스로, **비밀, 키, 인증서 및 비밀번호**와 같은 민감한 정보를 안전하게 저장하고 관리하는 데 사용됩니다. 이는 중앙 집중식 저장소 역할을 하며, Azure Active Directory (Azure AD)를 사용하여 안전한 액세스와 세밀한 제어를 제공합니다. 보안 관점에서 Key Vault는 암호화 키에 대한 **하드웨어 보안 모듈 (HSM) 보호**를 제공하고, 비밀이 저장 중 및 전송 중 모두 암호화되도록 보장하며, **역할 기반 액세스 제어 (RBAC)** 및 정책을 통해 강력한 액세스 관리를 제공합니다. 또한 **감사 로그** 기능, 액세스 추적을 위한 Azure Monitor와의 통합, 장기 키 노출로 인한 위험을 줄이기 위한 자동 키 회전 기능도 포함되어 있습니다.
|
||||
**Azure Key Vault**는 Microsoft Azure에서 제공하는 클라우드 서비스로, **비밀, 키, 인증서 및 비밀번호**와 같은 민감한 정보를 안전하게 저장하고 관리하는 데 사용됩니다. 이는 중앙 집중식 저장소 역할을 하며, Azure Active Directory (Azure AD)를 사용하여 안전한 접근과 세밀한 제어를 제공합니다. 보안 관점에서 Key Vault는 암호화 키에 대한 **하드웨어 보안 모듈 (HSM) 보호**를 제공하고, 비밀이 저장 중 및 전송 중 모두 암호화되도록 보장하며, **역할 기반 접근 제어 (RBAC)** 및 정책을 통해 강력한 접근 관리를 제공합니다. 또한 **감사 로그** 기능, 접근 추적을 위한 Azure Monitor와의 통합, 장기간 키 노출로 인한 위험을 줄이기 위한 자동 키 회전 기능도 포함되어 있습니다.
|
||||
|
||||
자세한 내용은 [Azure Key Vault REST API 개요](https://learn.microsoft.com/en-us/azure/key-vault/general/about-keys-secrets-certificates)를 참조하십시오.
|
||||
|
||||
@@ -19,22 +19,22 @@
|
||||
- `object-name`은 키 볼트 내에서 **고유한** 객체 이름입니다.
|
||||
- `object-version`은 시스템에서 생성되며 **객체의 고유 버전**을 지정하는 데 선택적으로 사용됩니다.
|
||||
|
||||
Vault에 저장된 비밀에 액세스하기 위해 Vault를 생성할 때 2개의 권한 모델 중에서 선택할 수 있습니다:
|
||||
Vault에 저장된 비밀에 접근하기 위해서는 Vault를 생성할 때 2가지 권한 모델 중에서 선택할 수 있습니다:
|
||||
|
||||
- **Vault 액세스 정책**
|
||||
- **Vault 접근 정책**
|
||||
- **Azure RBAC** (가장 일반적이고 권장됨)
|
||||
- 지원되는 모든 세부 권한은 [https://learn.microsoft.com/en-us/azure/role-based-access-control/permissions/security#microsoftkeyvault](https://learn.microsoft.com/en-us/azure/role-based-access-control/permissions/security#microsoftkeyvault)에서 확인할 수 있습니다.
|
||||
|
||||
### Access Control <a href="#access-control" id="access-control"></a>
|
||||
|
||||
Key Vault 리소스에 대한 액세스는 두 가지 평면에 의해 제어됩니다:
|
||||
Key Vault 리소스에 대한 접근은 두 가지 평면에 의해 제어됩니다:
|
||||
|
||||
- **관리 평면**, 대상은 [management.azure.com](http://management.azure.com/)입니다.
|
||||
- 키 볼트 및 **액세스 정책**을 관리하는 데 사용됩니다. Azure 역할 기반 액세스 제어 (**RBAC**)만 지원됩니다.
|
||||
- 키 볼트 및 **접근 정책**을 관리하는 데 사용됩니다. Azure 역할 기반 접근 제어 (**RBAC**)만 지원됩니다.
|
||||
- **데이터 평면**, 대상은 **`<vault-name>.vault.azure.com`**입니다.
|
||||
- 키 볼트 내의 **데이터** (키, 비밀 및 인증서)를 관리하고 액세스하는 데 사용됩니다. 이는 **키 볼트 액세스 정책** 또는 Azure **RBAC**를 지원합니다.
|
||||
- 키 볼트 내의 **데이터** (키, 비밀 및 인증서)를 관리하고 접근하는 데 사용됩니다. 이는 **키 볼트 접근 정책** 또는 Azure **RBAC**를 지원합니다.
|
||||
|
||||
**Contributor**와 같은 역할은 액세스 정책을 관리할 수 있는 관리 평면에서 권한을 가지고 있으며, 액세스 정책을 수정하여 비밀에 액세스할 수 있습니다.
|
||||
**Contributor**와 같은 역할은 접근 정책을 관리할 수 있는 관리 평면에서 권한을 가지고 있으며, 접근 정책을 수정하여 비밀에 접근할 수 있습니다.
|
||||
|
||||
### Key Vault RBAC Built-In Roles <a href="#rbac-built-in-roles" id="rbac-built-in-roles"></a>
|
||||
|
||||
@@ -42,7 +42,7 @@ Key Vault 리소스에 대한 액세스는 두 가지 평면에 의해 제어됩
|
||||
|
||||
### Network Access
|
||||
|
||||
Azure Key Vault에서는 **방화벽** 규칙을 설정하여 **지정된 가상 네트워크 또는 IPv4 주소 범위에서만 데이터 평면 작업을 허용**할 수 있습니다. 이 제한은 Azure 관리 포털을 통한 액세스에도 영향을 미치며, 로그인 IP 주소가 허가된 범위에 포함되지 않으면 사용자는 키 볼트에서 키, 비밀 또는 인증서를 나열할 수 없습니다.
|
||||
Azure Key Vault에서는 **방화벽** 규칙을 설정하여 **지정된 가상 네트워크 또는 IPv4 주소 범위에서만 데이터 평면 작업을 허용**할 수 있습니다. 이 제한은 Azure 관리 포털을 통한 접근에도 영향을 미치며, 로그인 IP 주소가 허가된 범위에 포함되지 않으면 사용자는 키 볼트에서 키, 비밀 또는 인증서를 나열할 수 없습니다.
|
||||
|
||||
이 설정을 분석하고 관리하기 위해 **Azure CLI**를 사용할 수 있습니다:
|
||||
```bash
|
||||
@@ -54,9 +54,9 @@ az keyvault show --name name-vault --query networkAcls
|
||||
|
||||
### 삭제 보호
|
||||
|
||||
키 금고가 생성될 때 삭제를 허용하는 최소 일수는 7일입니다. 즉, 해당 키 금고를 삭제하려고 할 때 **삭제되기 위해서는 최소 7일이 필요**합니다.
|
||||
키 볼트가 생성될 때 삭제를 허용하는 최소 일수는 7일입니다. 즉, 해당 키 볼트를 삭제하려고 할 때 **삭제되기 위해서는 최소 7일이 필요**합니다.
|
||||
|
||||
그러나 **퍼지 보호가 비활성화된** 금고를 생성할 수 있으며, 이는 키 금고와 객체가 보존 기간 동안 퍼지될 수 있도록 허용합니다. 하지만, 이 보호가 금고에 대해 활성화되면 비활성화할 수 없습니다.
|
||||
그러나 **퍼지 보호가 비활성화된** 볼트를 생성할 수 있으며, 이는 키 볼트와 객체가 보존 기간 동안 퍼지될 수 있도록 허용합니다. 하지만, 이 보호가 볼트에 대해 활성화되면 비활성화할 수 없습니다.
|
||||
|
||||
## 열거
|
||||
|
||||
@@ -89,6 +89,9 @@ az role assignment list --include-inherited --scope "/subscriptions/<subscriptio
|
||||
az keyvault secret show --vault-name <KeyVaultName> --name <SecretName>
|
||||
# Get old versions secret value
|
||||
az keyvault secret show --id https://<KeyVaultName>.vault.azure.net/secrets/<KeyVaultName>/<idOldVersion>
|
||||
|
||||
# List deleted key vaults
|
||||
az keyvault secret list-deleted --vault-name <vault-name>
|
||||
```
|
||||
{{#endtab }}
|
||||
|
||||
|
||||
Reference in New Issue
Block a user