Azure

Azure Key Vault

Allgemeine Infos

Azure Key Vault speichert Geheimnisse (Kennwörter, Verbindungszeichenfolgen, API-Schlüssel), kryptografische Schlüssel und TLS-Zertifikate. Anwendungen und Admins rufen Werte zur Laufzeit ab, statt sie in Konfigurationsdateien oder Code abzulegen. Die Anmeldung erfolgt immer über Microsoft Entra ID.

Es gibt zwei Tarife: Standard schützt Schlüssel per Software (FIPS 140 Level 1), Premium ergänzt HSM-geschützte Schlüssel in nach FIPS 140-3 Level 3 validierten HSMs. Für Workloads mit eigener HSM-Isolation gibt es zusätzlich den separaten Dienst Managed HSM.

Wichtige Änderung: Ab API-Version 2026-02-01 ist Azure RBAC das Standard-Zugriffsmodell für neu erstellte Tresore, wie bisher schon im Portal. Bestehende Tresore behalten ihr Modell. Alle Control-Plane-API-Versionen vor 2026-02-01 werden am 27. Februar 2027 eingestellt. Templates, die neue Tresore ohne Angabe von enableRbacAuthorization erstellen, erzeugen damit RBAC-Tresore, und dort definierte Zugriffsrichtlinien greifen nicht mehr.

Funktionsweise & Details

Key Vault trennt Verwaltungsebene und Datenebene:

  1. Die Verwaltungsebene (Tresor anlegen, Netzwerk, Einstellungen) steuerst Du per Azure RBAC, etwa mit der Rolle Key Vault Contributor. Diese Rolle gibt keinen Zugriff auf Inhalte.
  2. Die Datenebene steuerst Du per Azure RBAC mit Rollen wie Key Vault Secrets User (Secrets lesen) oder Key Vault Administrator, alternativ mit den älteren Zugriffsrichtlinien.
  3. Anwendungen authentifizieren sich per Managed Identity und lesen Secrets über die REST-API, SDKs oder Key-Vault-Referenzen in App Service und Functions.
  4. Soft Delete ist für neue Tresore standardmäßig aktiv und lässt sich nicht deaktivieren. Die Aufbewahrung beträgt 7 bis 90 Tage (Standard 90) und wird bei der Erstellung festgelegt.
  5. Purge Protection verhindert das endgültige Löschen vor Ablauf der Aufbewahrung.
  6. Zertifikate lassen sich mit Ablaufrichtlinien automatisch bei integrierten Zertifizierungsstellen erneuern, Schlüssel über Rotationsrichtlinien.

Diagnoseprotokolle zeigen in Log Analytics, welche Identität wann auf welches Objekt zugegriffen hat.

Vorteile & Nutzen

  • Keine Kennwörter im Code oder in Pipelines, weil Anwendungen per Managed Identity zur Laufzeit zugreifen.
  • Nachvollziehbare Zugriffe durch Protokollierung jedes Lesezugriffs auf Secrets und Schlüssel.
  • Schutz vor versehentlichem oder böswilligem Löschen durch Soft Delete und Purge Protection.
  • Kundenseitig verwaltete Schlüssel (CMK) für Storage, SQL oder Disks liegen zentral und lassen sich rotieren.
  • Automatische Zertifikatserneuerung verhindert Ausfälle durch abgelaufene TLS-Zertifikate.

Praxisbeispiel

Ein Softwarehaus für Branchenlösungen mit 70 Mitarbeitenden hatte Datenbank-Kennwörter in den App-Settings mehrerer Kundenumgebungen hinterlegt. Bei einem Audit fiel auf, dass ehemalige Entwickler die Werte noch kannten. Die IT legt pro Anwendung und Umgebung einen Key Vault mit RBAC-Modell an, vergibt den Web-Apps per Managed Identity die Rolle Key Vault Secrets User und ersetzt die App-Settings durch Key-Vault-Referenzen. Danach werden alle Kennwörter rotiert, und Zugriffe sind in Log Analytics auswertbar.

Worauf sollte man achten?

  • Nutze Azure RBAC statt Zugriffsrichtlinien und setze in Templates enableRbacAuthorization explizit, damit das Verhalten nicht von der API-Version abhängt.
  • Aktualisiere Skripte, Templates und SDKs auf API-Version 2026-02-01 oder neuer, bevor ältere Versionen am 27. Februar 2027 eingestellt werden.
  • Aktiviere Purge Protection für produktive Tresore, besonders wenn sie CMK-Schlüssel für Storage oder Disks enthalten.
  • Trenne Tresore pro Anwendung und Umgebung und vergib Rollen auf Tresorebene, nicht auf einzelne Secrets.
  • Schränke den Netzwerkzugriff per Private Endpoint oder Firewall ein und überwache Zugriffe mit Alarmen.

Lizenz & Verfügbarkeit

Abrechnung über das Azure-Abonnement nach Operationen (Transaktionen) und Schlüsseltyp. Premium berechnet HSM-geschützte Schlüssel zusätzlich pro Schlüssel und Monat, Zertifikatserneuerungen werden pro Vorgang berechnet. Managed HSM wird pro Stunde und HSM-Pool abgerechnet. Control-Plane-API-Versionen vor 2026-02-01 werden am 27. Februar 2027 eingestellt. Stand: Oktober 2026.

Fazit

Key Vault gehört in jede Azure-Architektur, in der Anwendungen Geheimnisse brauchen. Setze auf RBAC, Managed Identities und Purge Protection und prüfe Deine Templates auf die neue API-Version.

Weiterführende Links

Verwandte Artikel