Настройка параметров сети для Azure Key Vault

Статья
2025-04-16

В этой статье содержатся рекомендации по настройке сетевых параметров Azure Key Vault для работы с другими приложениями и службами Azure. Подробные сведения о различных конфигурациях безопасности сети см. здесь.

Ниже приведены пошаговые инструкции по настройке брандмауэра и виртуальных сетей Key Vault с помощью портал Azure, Azure CLI и Azure PowerShell

Перейдите к хранилищу ключей, которое нужно защитить.
Щелкните Сеть и выберите вкладку Брандмауэры и виртуальные сети.
В разделе Разрешить доступ из щелкните Выбранные сети.
Чтобы добавить имеющиеся виртуальные сети в правила брандмауэров и виртуальных сетей, выберите + Добавить существующие виртуальные сети.
В новой открывшейся колонке выберите подписку, виртуальные сети и подсети, которым нужно предоставить доступ к этому хранилищу ключей. Если в выбранных вами виртуальных сетях и подсетях нет включенных конечных точек службы, подтвердите, что вы хотите включить конечные точки службы, и нажмите кнопку Включить. Эта настройка вступит в силу в течение 15 минут.
В разделе IP-сети добавьте диапазоны IPv4-адресов, введя их с использованием нотации CIDR, или укажите отдельные IP-адреса.
Если вы хотите разрешить доверенным службам Майкрософт обход брандмауэра Key Vault, выберите "Да". Полный список текущих доверенных служб Key Vault см. по следующей ссылке. Доверенные службы Azure Key Vault
Выберите Сохранить.

Вы также можете добавить новые виртуальные сети и подсети, а потом включить конечные точки службы для них, выбрав + Добавить новую виртуальную сеть. Затем следуйте инструкциям на экране.

Брандмауэры и виртуальные сети Key Vault можно настроить с помощью Azure CLI следующим образом:

Установите Azure CLI и войдите в систему.
Перечислите доступные правила виртуальной сети. Если вы не настроили каких-либо правил для этого хранилища ключей, список будет пуст.
```
az keyvault network-rule list --resource-group myresourcegroup --name mykeyvault
```
Включите конечную точку службы для Key Vault в имеющейся виртуальной сети и подсети.
```
az network vnet subnet update --resource-group "myresourcegroup" --vnet-name "myvnet" --name "mysubnet" --service-endpoints "Microsoft.KeyVault"
```

Добавьте сетевое правило для виртуальной сети и подсети.

subnetid=$(az network vnet subnet show --resource-group "myresourcegroup" --vnet-name "myvnet" --name "mysubnet" --query id --output tsv)
az keyvault network-rule add --resource-group "demo9311" --name "demo9311premium" --subnet $subnetid

Добавьте диапазон IP-адресов, из которого необходимо разрешать трафик.
```
az keyvault network-rule add --resource-group "myresourcegroup" --name "mykeyvault" --ip-address "191.10.18.0/24"
```
Если это хранилище ключей должно быть доступно для каких-либо доверенных служб, задайте для параметра bypass значение AzureServices.
```
az keyvault update --resource-group "myresourcegroup" --name "mykeyvault" --bypass AzureServices
```
Включите правила сети, установив для действия по умолчанию значение Deny.
```
az keyvault update --resource-group "myresourcegroup" --name "mekeyvault" --default-action Deny
```

Примечание.

Мы рекомендуем использовать модуль Azure Az PowerShell для взаимодействия с Azure. Сведения о начале работы см. в статье "Установка Azure PowerShell". Дополнительные сведения см. в статье Перенос Azure PowerShell с AzureRM на Az.

Брандмауэры и виртуальные сети Key Vault можно настроить с помощью PowerShell следующим образом:

Установите последнюю версию Azure PowerShell и выполните вход.
Перечислите доступные правила виртуальной сети. Если вы не настроили каких-либо правил для этого хранилища ключей, список будет пуст.
```
(Get-AzKeyVault -VaultName "mykeyvault").NetworkAcls
```

Включите конечную точку службы для Key Vault в имеющейся виртуальной сети и подсети.

Get-AzVirtualNetwork -ResourceGroupName "myresourcegroup" -Name "myvnet" | Set-AzVirtualNetworkSubnetConfig -Name "mysubnet" -AddressPrefix "10.1.1.0/24" -ServiceEndpoint "Microsoft.KeyVault" | Set-AzVirtualNetwork

Добавьте сетевое правило для виртуальной сети и подсети.

$subnet = Get-AzVirtualNetwork -ResourceGroupName "myresourcegroup" -Name "myvnet" | Get-AzVirtualNetworkSubnetConfig -Name "mysubnet"
Add-AzKeyVaultNetworkRule -VaultName "mykeyvault" -VirtualNetworkResourceId $subnet.Id

Добавьте диапазон IP-адресов, из которого необходимо разрешать трафик.
```
Add-AzKeyVaultNetworkRule -VaultName "mykeyvault" -IpAddressRange "16.17.18.0/24"
```
Если это хранилище ключей должно быть доступно для каких-либо доверенных служб, задайте для параметра bypass значение AzureServices.
```
Update-AzKeyVaultNetworkRuleSet -VaultName "mykeyvault" -Bypass AzureServices
```
Включите правила сети, установив для действия по умолчанию значение Deny.
```
Update-AzKeyVaultNetworkRuleSet -VaultName "mykeyvault" -DefaultAction Deny
```

Ссылки

Справочник по шаблону ARM: Справочник по шаблону ARM Azure Key Vault
Команда Azure CLI: az keyvault network-rule.
Командлеты Azure PowerShell: Get-AzKeyVault, Add-AzKeyVaultNetworkRule, Remove-AzKeyVaultNetworkRule, Update-AzKeyVaultNetworkRuleSet.

Поделиться через

Настройка параметров сети для Azure Key Vault

Ссылки

Следующие шаги

Обратная связь

Дополнительные ресурсы