Azure KeyVaultキーローテーション

Question

キーローテーションのためのAzure Storage sample codeは、一意の名前のシークレットを複数使用する方法を示しています。しかし、KeyVaultでは、複数のバージョンの単一のSecretを作成することが可能になりました。バージョンを使用してキーのローテーションを達成できない理由はわかりません。管理しやすいように、バージョンに合わせてキーのローテーションを達成することはできません。

キーローテーションをサポートするために1つのシークレットのバージョンに対して複数のシークレットを選択する理由についてのガイダンスはありますか？そして、もしそうでなければバージョンが意図しているものに関する一般的なガイダンスはありますか？

ありがとうございます！

Answer 1

使用しているSDKに応じて、1つのシークレットと複数のバージョンのキーローテーションを自由に使用できます。

Node.jsベースのアプリケーションでは、完全なKeyVaultの秘密URIを指すように設定されています。

一部の秘密は、シークレット（バージョンなし）の短いURLを指しているだけなので、アプリは「最新バージョン」を取得します。

ローテーションが必要なその他の秘密には、バージョンへの完全なURLが必要です。たとえばAzure Table Encryptionを使用します。テーブル内の各行は、暗号化されるとKeyVaultからキーラッピングキーを使用します。キーラッピングキーは、テーブルデータを復号化するために特定の秘密が必要なため、KeyVaultのバージョニングされた完全なURLです。時間の経過とともに、異なる行が異なるキーバージョンを指します。

現在のバージョンのキーを新しいバージョンにローテーションするという一般的なシナリオでは、一度に2つのキーをサポートするように設定システムと接続ロジックを構築しただけです。または時間ベースの論理を考慮する。

どのアプローチも問題ありませんが、追加の秘密の名前を増やすのではなく、時間の経過とともにバージョンを使用すると、あなたの話がどれくらい素敵でクリーンであるかを考慮してください。