Freigeben über

Azure Key Vault Protokollierung

Nachdem Sie einen oder mehrere Schlüsseltresor erstellt haben, sollten Sie wahrscheinlich überwachen, wie und wann auf Ihre Schlüsseltresor zugegriffen wird und von wem. Wenn Sie die Protokollierung für Azure Key Vault aktivieren, werden diese Informationen in einem von Ihnen bereitgestellten Azure Speicherkonto gespeichert. Eine schrittweise Anleitung finden Sie unter Wie können Sie Key Vault Protokollierung aktivieren.

Sie können auf Ihre Protokollinformationen (spätestens) zehn Minuten nach dem Schlüsseltresorvorgang zugreifen. In den meisten Fällen ist dies schneller. Die Verwaltung der Protokolle im Speicherkonto ist Ihre Aufgabe:

  • Verwenden Sie standardmäßige Azure Methoden für die Zugriffssteuerung in Ihrem Speicherkonto, um Ihre Protokolle zu sichern, indem Sie einschränken, wer darauf zugreifen kann.
  • Löschen Sie Protokolle, die im Speicherkonto nicht mehr aufbewahrt werden sollen.

Übersichtsinformationen zu Key Vault finden Sie unter What is Azure Key Vault?. Informationen dazu, wo Key Vault verfügbar ist, finden Sie auf der Preisseite. Informationen zur Verwendung von Azure Monitor für Key Vault.

Interpretieren Sie Ihre Key Vault-Protokolle

Wenn Sie die Protokollierung aktivieren, wird automatisch ein neuer Container namens insights-logs-auditevent für Ihr angegebenes Speicherkonto erstellt. Sie können dieses Speicherkonto zum Sammeln von Protokollen für mehrere Schlüsseltresore verwenden.

Einzelne Blobs werden als Text gespeichert, formatiert als JSON-Blob. Schauen wir uns einen Beispielprotokolleintrag an.

    {
        "records":
        [
            {
                "time": "2016-01-05T01:32:01.2691226Z",
                "resourceId": "/SUBSCRIPTIONS/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/RESOURCEGROUPS/CONTOSOGROUP/PROVIDERS/MICROSOFT.KEYVAULT/VAULTS/CONTOSOKEYVAULT",
                "operationName": "VaultGet",
                "operationVersion": "2015-06-01",
                "category": "AuditEvent",
                "resultType": "Success",
                "resultSignature": "OK",
                "resultDescription": "",
                "durationMs": "78",
                "callerIpAddress": "104.40.82.76",
                "correlationId": "",
                "identity": {"claim":{"http://schemas.microsoft.com/identity/claims/objectidentifier":"d9da5048-2737-4770-bd64-XXXXXXXXXXXX","http://schemas.xmlsoap.org/ws/2005/05/identity/claims/upn":"live.com#username@outlook.com","appid":"00001111-aaaa-2222-bbbb-3333cccc4444"}},
                "properties": {"clientInfo":"azure-resource-manager/2.0","requestUri":"https://control-prod-wus.vaultcore.azure.net/subscriptions/361da5d4-a47a-4c79-afdd-XXXXXXXXXXXX/resourcegroups/contosoresourcegroup/providers/Microsoft.KeyVault/vaults/contosokeyvault?api-version=2015-06-01","id":"https://contosokeyvault.vault.azure.net/","httpStatusCode":200}
            }
        ]
    }

In der folgenden Tabelle sind die Feldnamen und Beschreibungen aufgeführt:

Feldname BESCHREIBUNG
Zeit Datum und Uhrzeit (UTC).
resourceId Azure Resource Manager Ressourcen-ID. Bei Key Vault-Protokollen ist es immer die Key Vault-Ressource-ID.
operationName Name des Vorgangs, wie in der folgenden Tabelle beschrieben
operationVersion Die vom Client angeforderte REST-API-Version.
Kategorie Der Typ des Ergebnisses. Bei Key Vault Protokollen ist AuditEvent der einzelne verfügbare Wert.
ErgebnisTyp Das Ergebnis der REST-API-Anforderung.
resultSignature HTTP-Status
resultDescription Zusätzliche Beschreibung zum Ergebnis, falls verfügbar.
durationMs Verarbeitungsdauer der REST-API-Anforderung in Millisekunden. Die Zeit enthält nicht die Netzwerklatenz, sodass die Zeit, die Sie auf der Clientseite messen, dieses Mal nicht übereinstimmt.
callerIpAddress Die IP-Adresse des Clients, der die Anforderung gestellt hat.
correlationId Eine optionale GUID, die der Client übergeben kann, um clientseitige Protokolle mit dienstseitigen Protokollen (Key Vault) zu korrelieren.
Identität Identität des Tokens, das in der REST-API-Anforderung angegeben wurde. In der Regel ein "Benutzer", ein "Dienstprinzipal" oder die Kombination "user+appId", z. B. wenn die Anforderung von einem Azure PowerShell Cmdlet stammt.
Eigenschaften Informationen, die je nach Vorgang (operationName) variieren. In den meisten Fällen enthält dieses Feld Clientinformationen (vom Client übergebene Zeichenfolge „useragent“), den genauen REST-API-Anforderungs-URI und den HTTP-Statuscode. Wenn ein Objekt als Ergebnis einer Anforderung (z. B. KeyCreate oder VaultGet) zurückgegeben wird, enthält es außerdem den Schlüssel-URI (als id), den Tresor-URI oder den URI des Geheimnisses.

Die Werte des OperationName-Felds befinden sich im ObjectVerb-Format . Beispiel:

  • Alle Schlüsseltresorvorgänge verfügen über das Format Vault<action>, z. B. VaultGet und VaultCreate.
  • Alle Schlüsselvorgänge haben das Key<action>-Format, wie z.B. KeySign und KeyList.
  • Alle geheimen Vorgänge weisen das Secret<action>-Format auf, wie SecretGet und SecretListVersions.

In der folgenden Tabelle sind die OperationName-Werte und die entsprechenden REST-API-Befehle aufgeführt:

Tabelle mit Vorgangsnamen

operationName REST-API-Befehl
Authentifizierung Authentifizieren über Microsoft Entra-Endpunkt
VaultGet Abrufen von Informationen über einen Schlüsseltresor
VaultPut Erstellen oder Aktualisieren eines Key Vaults
VaultDelete Löschen eines Schlüsseltresors
VaultPatch Erstellen oder Aktualisieren eines Schlüsseltresors
VaultRecover Wiederherstellen eines gelöschten Tresors
VaultAccessPolicyChangedEventGridNotification Das Ereignis „Tresorzugriffsrichtlinie geändert“ wurde veröffentlicht. Es wird unabhängig davon protokolliert, ob ein Event Grid-Abonnement vorhanden ist.

Verwenden Sie Azure Monitor Protokolle

Sie können die Key Vault Lösung in Azure Monitor Protokollen verwenden, um Key Vault AuditEvent Protokolle zu überprüfen. In Azure Monitor Protokollen verwenden Sie Protokollabfragen, um Daten zu analysieren und die benötigten Informationen abzurufen.

Weitere Informationen, einschließlich der Einrichtung, finden Sie unter Azure Key Vault in Azure Monitor.

Informationen zum Analysieren von Protokollen finden Sie unter Beispiel-Kusto-Protokollabfragen

Nächste Schritte

  • Last updated on