Automatización de alertas de caducidad de Azure Key Vault mediante notificaciones por correo electrónico

Optimice la gestión de caducidad de Key Vault con automatización

Imagínese despertarse con un correo electrónico que le garantiza que siempre estará al tanto de que sus activos críticos de Azure Key Vault están a punto de caducar. 📨 Anticiparse a los secretos, claves y certificados que caducan es vital para realizar operaciones sin problemas y evitar interrupciones en el servicio.

Este artículo se centra en cómo puede usar un runbook de PowerShell en una cuenta de Azure Automation para enviar por correo electrónico automáticamente un informe diario o periódico de los elementos de Key Vault que están a punto de caducar. Combina la eficiencia de las secuencias de comandos con la conveniencia de las notificaciones proactivas, lo que garantiza que esté siempre informado.

A todos nos ha pasado: verificar manualmente las fechas de vencimiento en múltiples Key Vaults puede ser tedioso y propenso a errores. Con el proceso de automatización descrito, puede ahorrar tiempo, minimizar riesgos y mantener prácticas de seguridad sólidas sin esfuerzo.

En las siguientes secciones, descubrirá un enfoque paso a paso para configurar esta automatización, completo con ejemplos reales y mejores prácticas para notificaciones por correo electrónico confiables. ¡Profundicemos y simplifiquemos su viaje de monitoreo de Azure Key Vault! 🚀

Automatización de notificaciones de caducidad de Key Vault

El script de PowerShell proporcionado está diseñado para agilizar el proceso de identificación y notificación de secretos, claves y certificados de Azure Key Vault que se acercan a su fecha de vencimiento. Se comienza aprovechando la Get-AzSuscripción comando para recuperar una lista de todas las suscripciones de Azure asociadas con su cuenta. Esto garantiza que la solución funcione en varias suscripciones y se adapte a escenarios en los que una empresa gestiona recursos en varias regiones o cuentas. Por ejemplo, si su organización tiene suscripciones independientes para desarrollo, pruebas y producción, este script las cubre todas de manera eficiente. 🚀

Una vez que se recuperan las suscripciones, el script establece el contexto de cada una usando Conjunto-AzContext. Esto garantiza que las llamadas API posteriores se ejecuten dentro del alcance de la suscripción activa. El siguiente paso consiste en recuperar todos los Key Vaults de la suscripción con Obtener-AzKeyVault. Este comando es crucial porque permite que el script se adapte dinámicamente a los cambios en los recursos de Key Vault, como la adición de nuevos almacenes o el cambio de nombre de los existentes. La flexibilidad para descubrir recursos reduce automáticamente la intervención manual y ahorra a los administradores un tiempo valioso.

Dentro de cada Key Vault, el script recupera secretos, claves y certificados mediante comandos específicos, como Get-AzKeyVaultSecret, Obtener-AzKeyVaultKey, y Obtenga el certificado AzKeyVault. Luego procesa cada artículo para determinar su estado de vencimiento. Las funciones personalizadas Vencimiento del cheque y Obtener días restantes son parte integral de este proceso. Estas funciones validan las fechas de vencimiento, calculan cuántos días quedan y filtran los resultados para incluir solo los artículos que vencen dentro de los siete días. Por ejemplo, un certificado SSL que vence en un entorno de producción se puede identificar de antemano, evitando posibles tiempos de inactividad o interrupciones en el servicio. 🛡️

Los resultados se compilan en una matriz, que se transforma en un informe estructurado. Este informe se puede enviar por correo electrónico utilizando Enviar mensaje de correo para PowerShell o una biblioteca SMTP para Python. El diseño modular del script y el uso de mejores prácticas, como el manejo de excepciones y el descubrimiento dinámico, lo hacen robusto y reutilizable. Al automatizar las notificaciones, las organizaciones pueden reducir los riesgos operativos y mantener el cumplimiento de los estándares internos y externos. Este proceso no solo mejora la eficiencia sino que también brinda tranquilidad, asegurando que ningún recurso crítico se pase por alto sin darse cuenta.

# Import necessary modules
Import-Module Az.Accounts
Import-Module Az.KeyVault
Import-Module Az.Automation
# Initialize a collection for expiration details
$expirationDetails = @()
# Get all subscriptions
$subscriptions = Get-AzSubscription
# Loop through each subscription
foreach ($subscription in $subscriptions) {
    Set-AzContext -SubscriptionId $subscription.Id
    $keyVaults = Get-AzKeyVault
    foreach ($keyVault in $keyVaults) {
        $secrets = Get-AzKeyVaultSecret -VaultName $keyVault.VaultName
        foreach ($secret in $secrets) {
            $expirationDate = $secret.Expires
            if ($expirationDate -and ($expirationDate - (Get-Date)).Days -le 7) {
                $expirationDetails += [PSCustomObject]@{
                    SubscriptionName = $subscription.Name
                    VaultName = $keyVault.VaultName
                    SecretName = $secret.Name
                    ExpirationDate = $expirationDate
                }
            }
        }
    }
}
# Send email using SendGrid or SMTP
$emailBody = $expirationDetails | ConvertTo-Html -Fragment
Send-MailMessage -To "your.email@example.com" -From "automation@example.com" -Subject "Key Vault Expirations" -Body $emailBody -SmtpServer "smtp.example.com"

import os
from azure.identity import DefaultAzureCredential
from azure.mgmt.keyvault import KeyVaultManagementClient
from azure.keyvault.secrets import SecretClient
from datetime import datetime, timedelta
import smtplib
from email.mime.text import MIMEText
# Authentication and setup
credential = DefaultAzureCredential()
subscription_id = os.getenv("AZURE_SUBSCRIPTION_ID")
kv_client = KeyVaultManagementClient(credential, subscription_id)
key_vaults = kv_client.vaults.list()
# Initialize email content
email_body = ""
for vault in key_vaults:
    vault_url = f"https://{vault.name}.vault.azure.net"
    secret_client = SecretClient(vault_url=vault_url, credential=credential)
    secrets = secret_client.list_properties_of_secrets()
    for secret in secrets:
        if secret.expires_on:
            remaining_days = (secret.expires_on - datetime.now()).days
            if 0 <= remaining_days <= 7:
                email_body += f"Vault: {vault.name}, Secret: {secret.name}, Expires in: {remaining_days} days\n"
# Send email
msg = MIMEText(email_body)
msg['Subject'] = "Expiring Azure Key Vault Secrets"
msg['From'] = "automation@example.com"
msg['To'] = "your.email@example.com"
with smtplib.SMTP('smtp.example.com', 587) as server:
    server.starttls()
    server.login("automation@example.com", "password")
    server.send_message(msg)

Mejora de la automatización de Azure con sistemas de notificación sólidos

Las cuentas de Azure Automation son una herramienta poderosa para administrar y monitorear los recursos de la nube de manera efectiva. Una capacidad menos explorada es la integración de notificaciones para actualizaciones críticas, como los secretos de Key Vault que caducan. Al aprovechar la automatización, las empresas pueden abordar proactivamente estos vencimientos, reduciendo riesgos como fallas de certificados o violaciones de seguridad. Agregar una capa de notificación garantiza operaciones fluidas, especialmente cuando se manejan credenciales confidenciales almacenadas en múltiples Bóvedas de claves.

Un aspecto importante de la implementación de esta solución implica identificar mecanismos óptimos de entrega de notificaciones. Si bien el correo electrónico es el medio más común, la integración con plataformas de mensajería como Microsoft Teams o Slack puede mejorar aún más la visibilidad. Por ejemplo, las notificaciones diarias sobre secretos que caducan en un canal compartido de Teams garantizan que varias partes interesadas estén informadas. De manera similar, el uso de herramientas como Power Automate puede ayudar a enrutar mensajes de forma dinámica según la gravedad del problema. 🚀

Por último, la seguridad y la escalabilidad son fundamentales a la hora de diseñar dichos sistemas. Los controles de acceso deben implementarse estrictamente para evitar la ejecución no autorizada de scripts de automatización. El uso de identidades administradas en Azure simplifica la autenticación y al mismo tiempo garantiza una exposición mínima de las credenciales. Además, habilitar el registro y la supervisión en su cuenta de automatización proporciona una manera confiable de auditar y solucionar problemas de los sistemas de notificación. La combinación de estas prácticas hace que la automatización no sea sólo una conveniencia sino una estrategia sólida para mantener la excelencia operativa. 🔒