[{"_1":2,"_76":-5,"_77":-5},"loaderData",{"_3":4,"_26":27},"root",{"_5":-5,"_6":-5,"_7":-5,"_8":9,"_10":11},"me","tenants","current_tenant","total_tenants",0,"features",{"_12":13,"_20":21,"_23":24},"herding",{"_14":15,"_16":17,"_18":19},"enabled",true,"admin_only",false,"tenant_ids",[],"nbp_contract",{"_14":15,"_16":17,"_18":22},[],"skytest",{"_14":15,"_16":17,"_18":25},[],"routes/kunnskapstema_.$theme.$slug",{"_28":29,"_32":33,"_54":53,"_73":74,"_75":17},"article",{"_30":31,"_32":33,"_34":35,"_36":37,"_38":39,"_40":41,"_42":43,"_44":45,"_46":47,"_51":52,"_54":53,"_55":56,"_70":17,"_71":72},"id","019beabe-8f40-757e-8e50-fff2deb4e3fa","slug","azure-key-vault-herding","title","Azure - Key Vault herding","content","---\ntitle: Herding av Azure Key Vault\ndescription: Beste praksis for sikker konfigurasjon av Azure Key Vault, inkludert nettverk, tilgangskontroll, logging, nøkkelhåndtering og oppgradering fra Legacy Permission Model.\nkeywords: [Azure Key Vault, Herding, Sikkerhet, Secrets, Keys, Certificates, RBAC, Private Endpoint]\n---\n\n# Azure - Herding av Azure Key Vault\n\n## Kortversjon\n\n- Deaktiver Public network access og bruk Private Endpoint der det er mulig\n- Bruk Azure RBAC i stedet for Legacy Access Policies \n- Gi minst mulig privilegier (least privilege) til brukere og applikasjoner \n- Aktiver soft delete og purge protection \n- Aktiver logging og overvåkning med Diagnostic settings \n- Beskytt nøkler med HSM der det er krav til høy sikkerhet \n- Sikre automatisert tilgang via Managed Identity \n- [Sjekk vår artikkel](https://portal.helsecert.no/kunnskap/endringsprosess) for god endringsprosess.\n\n
\n\n## Bakgrunn\n\nAzure Key Vault brukes til sikker lagring av hemmeligheter (secrets), sertifikater og kryptografiske nøkler. \nTjenesten er ofte kritisk for applikasjoner, plattformer og integrasjoner.\n\nFeilkonfigurasjon - spesielt åpen nettverkstilgang eller for brede rettigheter - kan føre til kompromittering av nøkler og dermed full tilgang til underliggende systemer.\n\nMicrosoft anbefaler:\n- Nettverksisolering via Private Endpoint \n- Bruk av Entra ID og Azure RBAC\n- Bruk av Soft Delete og Purge Protection \n- Avvikling av Legacy Permission Model (Access Policies) \n\nDenne artikkelen beskriver anbefalte innstillinger for herding av Azure Key Vault basert på Microsofts dokumenterte praksis.\n\n
\n\n## Hvordan utføre endringen\n\n### 1) Nettverk og tilgang\n\n| Innstilling | Anbefalt verdi | Beskrivelse |\n|------------|---------------|-------------|\n| Public network access | Disabled | Blokker offentlig tilgang |\n| Private endpoint | Enabled | Tilgang via privat IP i VNet |\n| Allow trusted Microsoft services | Kun ved behov | Reduser angrepsflate |\n| Firewall rules | Kun nødvendige IP-er | Midlertidig unntak ved behov |\n\n**Fremgangsmåte:**\n1. Azure Portal → Key Vault → Networking \n2. Sett *Public network access* til **Disabled** \n3. Opprett **Private Endpoint** \n4. Verifiser at tilgang utenfor VNet blir blokkert \n\n> ⚠️ Feil nettverksoppsett kan stoppe applikasjoner. Test alltid i testmiljø.\n\n
\n\n### 2) Tilgangsmodell - Azure RBAC vs Legacy Access Policies\n\nAzure Key Vault støtter to tilgangsmodeller:\n\n- **Legacy Permission Model (Access Policies)** - utgående \n- **Azure RBAC** - anbefalt og fremtidsrettet \n\n| Modell | Status | Kommentar |\n|------|--------|-----------|\n| Access Policies | Legacy | Begrenset, ikke konsistent med Azure RBAC |\n| Azure RBAC | Anbefalt | Sentralisert, skalerbar og auditerbar |\n\n**Hvorfor gå bort fra Legacy Permission Model?**\n- Access Policies gir direkte tillatelser per vault (lite skalerbart)\n- Ingen støtte for PIM, Conditional Access eller sentral styring\n- Ulik tilgangsmodell enn resten av Azure\n\n**Fordeler med Azure RBAC:**\n- Samme tilgangsstyring som øvrige Azure-ressurser \n- Støtte for Privileged Identity Management (PIM) \n- Bedre logging, revisjon og automatisering \n\nReferanse: \nhttps://learn.microsoft.com/en-us/azure/key-vault/general/rbac-guide\n\n
\n\n### 3) Oppgradering fra Legacy Permission Model til Azure RBAC\n\n**Forutsetninger:**\n- Alle brukere/applikasjoner må tildeles RBAC-roller før overgang \n- Applikasjoner bør bruke Entra ID / Managed Identity \n\n**Fremgangsmåte:**\n1. Kartlegg eksisterende Access Policies \n2. Tildel tilsvarende Azure RBAC-roller, for eksempel: \n - `Key Vault Secrets User` \n - `Key Vault Crypto User` \n - `Key Vault Administrator` \n3. Verifiser tilgang via applikasjoner og scripts \n4. Azure Portal → Key Vault → Access configuration \n5. Endre *Permission model* til **Azure role-based access control** \n6. Fjern gamle Access Policies \n\n> ⚠️ Endringen er **irreversibel**. Gjennomfør alltid i test først.\n\n
\n\n### 4) Prinsipp for minst mulig privilegier (Least Privilege)\n\nGi kun nødvendige rettigheter:\n\n| Rolle | Bruk |\n|------|------|\n| Key Vault Administrator | Kun drift / plattform |\n| Key Vault Secrets User | Lese secrets |\n| Key Vault Secrets Officer | Administrere secrets |\n| Key Vault Crypto User | Kryptografiske operasjoner |\n\nUnngå:\n- Brede roller i produksjon \n- Permanente admin-rettigheter (bruk PIM) \n\n
\n\n### 5) Soft delete og purge protection\n\nBeskytter mot utilsiktet eller ondsinnet sletting.\n\n| Innstilling | Anbefalt |\n|------------|----------|\n| Soft delete | Enabled |\n| Purge protection | Enabled |\n\n**Fremgangsmåte:**\n1. Azure Portal → Key Vault → Properties \n2. Aktiver *Soft delete* \n3. Aktiver *Purge protection* \n\nReferanse: \nhttps://learn.microsoft.com/en-us/azure/key-vault/general/soft-delete-overview\n\n
\n\n### 6) Nøkler, HSM og kryptografisk sikkerhet\n\nAnbefalinger:\n- Bruk **HSM-beskyttede nøkler** der det er regulatoriske krav \n- Roter nøkler regelmessig \n- Skill vaults etter sikkerhetsnivå / miljø \n\nKey Vault støtter:\n- Software-protected keys \n- HSM-backed keys (Premium SKU) \n\nReferanse: \nhttps://learn.microsoft.com/en-us/azure/key-vault/keys/about-keys\n\n
\n\n### 7) Autentisering for applikasjoner\n\n**Anbefalt:**\n- Managed Identity for Azure-tjenester \n- Entra ID-basert autentisering \n\n**Unngå:**\n- Secrets i kode eller konfigurasjonsfiler \n- Delte kontoer eller statiske credentials \n\n
\n\n### 8) Logging og overvåkning\n\nAktiver full sporbarhet.\n\n**Anbefalinger:**\n- Aktiver Diagnostic settings \n- Send logger til Log Analytics eller SIEM \n- Overvåk:\n - Secret reads \n - Key operations \n - Rolle- og policyendringer \n\n**Fremgangsmåte:**\n1. Azure Portal → Key Vault → Diagnostic settings \n2. Send logger til Log Analytics \n3. Sett varsler på mistenkelig aktivitet \n\nReferanse: \nhttps://learn.microsoft.com/en-us/azure/key-vault/general/monitor-key-vault\n\n
\n\n## Artikler og ressurser\n\n- https://learn.microsoft.com/en-us/azure/key-vault/general/rbac-guide \n- https://learn.microsoft.com/en-us/azure/key-vault/general/security-features \n- https://learn.microsoft.com/en-us/azure/key-vault/general/soft-delete-overview \n- https://learn.microsoft.com/en-us/security/benchmark/azure/baselines/key-vault-security-baseline\n","status","published","published_at","2026-01-26T10:26:54.573Z","updated_at","2026-02-13T07:50:37.790Z","created_at","2026-01-23T12:05:15.712Z","author",{"_30":48,"_49":50},"0198cb47-2c64-7b71-bc80-ab3f13e9403c","name","Slettet bruker","themes",[53],"azureherding","theme","metadata",{"_34":57,"_58":59,"_68":69},"Herding av Azure Key Vault","keywords",[60,61,62,63,64,65,66,67],"Azure Key Vault","Herding","Sikkerhet","Secrets","Keys","Certificates","RBAC","Private Endpoint","description","Beste praksis for sikker konfigurasjon av Azure Key Vault, inkludert nettverk, tilgangskontroll, logging, nøkkelhåndtering og oppgradering fra Legacy Permission Model.","private","labels",[],"relatedArticles",[],"isBookmarked","actionData","errors"]