Automatyzowanie alertów o wygaśnięciu usługi Azure Key Vault za pośrednictwem powiadomień e-mail

Usprawnij zarządzanie wygaśnięciem magazynu kluczy dzięki automatyzacji

Wyobraź sobie, że budzisz się i widzisz wiadomość e-mail, dzięki której zawsze wiesz, że Twoje krytyczne zasoby Azure Key Vault zbliżają się do wygaśnięcia. 📨 Wyprzedzanie wygasających sekretów, kluczy i certyfikatów ma kluczowe znaczenie dla płynnego działania i unikania przerw w świadczeniu usług.

W tym artykule skupiono się na tym, jak używać elementu Runbook programu PowerShell na koncie Azure Automation do automatycznego wysyłania pocztą e-mail dziennego lub okresowego raportu dotyczącego elementów Key Vault, które wkrótce wygasną. Łączy wydajność skryptów z wygodą proaktywnych powiadomień, dzięki czemu zawsze jesteś na bieżąco.

Wszyscy to widzieliśmy — ręczne sprawdzanie dat wygaśnięcia w wielu magazynach kluczy może być żmudne i podatne na błędy. Dzięki opisanemu procesowi automatyzacji możesz bez wysiłku zaoszczędzić czas, zminimalizować ryzyko i zachować solidne praktyki bezpieczeństwa.

W kolejnych sekcjach dowiesz się, jak krok po kroku skonfigurować tę automatyzację, wraz z realistycznymi przykładami i najlepszymi praktykami dotyczącymi niezawodnych powiadomień e-mail. Zagłębmy się w szczegóły i uprośćmy Twoją podróż do monitorowania Azure Key Vault! 🚀

Automatyzowanie powiadomień o wygaśnięciu Key Vault

Dostarczony skrypt programu PowerShell został zaprojektowany w celu usprawnienia procesu identyfikowania i raportowania wpisów tajnych, kluczy i certyfikatów Azure Key Vault, których data ważności jest bliska. Rozpoczyna się od wykorzystania Pobierz-AzSubskrypcję polecenie, aby pobrać listę wszystkich subskrypcji platformy Azure powiązanych z Twoim kontem. Dzięki temu rozwiązanie działa w ramach wielu subskrypcji, uwzględniając scenariusze, w których firma zarządza zasobami w kilku regionach lub kontach. Na przykład, jeśli Twoja organizacja ma osobne subskrypcje na rozwój, testowanie i produkcję, ten skrypt skutecznie obejmie je wszystkie. 🚀

Po pobraniu subskrypcji skrypt ustawia kontekst dla każdej z nich Ustaw AzContext. Dzięki temu w ramach aktywnej subskrypcji zostaną wykonane kolejne wywołania API. Następny krok polega na pobraniu wszystkich magazynów kluczy w ramach subskrypcji Pobierz AzKeyVault. To polecenie jest kluczowe, ponieważ pozwala skryptowi dynamicznie dostosowywać się do zmian w zasobach Key Vault, takich jak dodanie nowych repozytoriów lub zmiana nazw istniejących. Elastyczność wykrywania zasobów automatycznie ogranicza konieczność ręcznej interwencji i oszczędza cenny czas administratorów.

W każdym Key Vault skrypt pobiera wpisy tajne, klucze i certyfikaty za pomocą określonych poleceń, takich jak Pobierz AzKeyVaultSecret, Pobierz AzKeyVaultKey, I Pobierz certyfikat AzKeyVault. Następnie przetwarza każdy przedmiot, aby określić jego status ważności. Funkcje niestandardowe Sprawdź-Wygaśnięcie I Uzyskaj pozostałe dni są integralną częścią tego procesu. Funkcje te sprawdzają daty wygaśnięcia, obliczają liczbę pozostałych dni i filtrują wyniki tak, aby uwzględniały tylko produkty wygasające w ciągu siedmiu dni. Na przykład wygasający certyfikat SSL w środowisku produkcyjnym można zidentyfikować z wyprzedzeniem, co zapobiega potencjalnym przestojom lub zakłóceniom usług. 🛡️

Wyniki są kompilowane w tablicę, która jest przekształcana w ustrukturyzowany raport. Raport ten można przesłać e-mailem za pomocą Wyślij wiadomość e-mail dla PowerShell lub biblioteka SMTP dla Pythona. Modułowa konstrukcja skryptu i wykorzystanie najlepszych praktyk, takich jak obsługa wyjątków i dynamiczne wykrywanie, sprawiają, że jest on solidny i nadaje się do wielokrotnego użytku. Automatyzując powiadomienia, organizacje mogą zmniejszyć ryzyko operacyjne i zachować zgodność ze standardami wewnętrznymi i zewnętrznymi. Proces ten nie tylko poprawia wydajność, ale także zapewnia spokój ducha, dzięki czemu żaden krytyczny zasób nie zostanie przypadkowo przeoczony.

# Import necessary modules
Import-Module Az.Accounts
Import-Module Az.KeyVault
Import-Module Az.Automation
# Initialize a collection for expiration details
$expirationDetails = @()
# Get all subscriptions
$subscriptions = Get-AzSubscription
# Loop through each subscription
foreach ($subscription in $subscriptions) {
    Set-AzContext -SubscriptionId $subscription.Id
    $keyVaults = Get-AzKeyVault
    foreach ($keyVault in $keyVaults) {
        $secrets = Get-AzKeyVaultSecret -VaultName $keyVault.VaultName
        foreach ($secret in $secrets) {
            $expirationDate = $secret.Expires
            if ($expirationDate -and ($expirationDate - (Get-Date)).Days -le 7) {
                $expirationDetails += [PSCustomObject]@{
                    SubscriptionName = $subscription.Name
                    VaultName = $keyVault.VaultName
                    SecretName = $secret.Name
                    ExpirationDate = $expirationDate
                }
            }
        }
    }
}
# Send email using SendGrid or SMTP
$emailBody = $expirationDetails | ConvertTo-Html -Fragment
Send-MailMessage -To "your.email@example.com" -From "automation@example.com" -Subject "Key Vault Expirations" -Body $emailBody -SmtpServer "smtp.example.com"

import os
from azure.identity import DefaultAzureCredential
from azure.mgmt.keyvault import KeyVaultManagementClient
from azure.keyvault.secrets import SecretClient
from datetime import datetime, timedelta
import smtplib
from email.mime.text import MIMEText
# Authentication and setup
credential = DefaultAzureCredential()
subscription_id = os.getenv("AZURE_SUBSCRIPTION_ID")
kv_client = KeyVaultManagementClient(credential, subscription_id)
key_vaults = kv_client.vaults.list()
# Initialize email content
email_body = ""
for vault in key_vaults:
    vault_url = f"https://{vault.name}.vault.azure.net"
    secret_client = SecretClient(vault_url=vault_url, credential=credential)
    secrets = secret_client.list_properties_of_secrets()
    for secret in secrets:
        if secret.expires_on:
            remaining_days = (secret.expires_on - datetime.now()).days
            if 0 <= remaining_days <= 7:
                email_body += f"Vault: {vault.name}, Secret: {secret.name}, Expires in: {remaining_days} days\n"
# Send email
msg = MIMEText(email_body)
msg['Subject'] = "Expiring Azure Key Vault Secrets"
msg['From'] = "automation@example.com"
msg['To'] = "your.email@example.com"
with smtplib.SMTP('smtp.example.com', 587) as server:
    server.starttls()
    server.login("automation@example.com", "password")
    server.send_message(msg)

Ulepszanie automatyzacji platformy Azure dzięki niezawodnym systemom powiadomień

Konta Azure Automation to potężne narzędzie do skutecznego zarządzania zasobami w chmurze i monitorowania ich. Jedną z mniej zbadanych możliwości jest integrowanie powiadomień o aktualizacjach krytycznych, takich jak wygasanie wpisów tajnych Key Vault. Wykorzystując automatyzację, firmy mogą proaktywnie reagować na te wygaśnięcia, zmniejszając ryzyko, takie jak awarie certyfikatów lub naruszenia bezpieczeństwa. Dodanie warstwy powiadomień zapewnia bezproblemowe działanie, szczególnie w przypadku obsługi poufnych danych uwierzytelniających przechowywanych na wielu kontach Magazyny kluczy.

Istotnym aspektem wdrożenia tego rozwiązania jest określenie optymalnych mechanizmów dostarczania powiadomień. Chociaż poczta e-mail jest najpopularniejszym medium, integracja z platformami do przesyłania wiadomości, takimi jak Microsoft Teams lub Slack, może jeszcze bardziej poprawić widoczność. Na przykład codzienne powiadomienia o wygaśnięciu wpisów tajnych we współdzielonym kanale Teams zapewniają, że wielu interesariuszy zostanie poinformowanych. Podobnie korzystanie z narzędzi takich jak Power Automate może pomóc w dynamicznym kierowaniu komunikatów w zależności od wagi problemu. 🚀

Wreszcie, bezpieczeństwo i skalowalność mają kluczowe znaczenie przy projektowaniu takich systemów. Należy ściśle wdrożyć kontrolę dostępu, aby uniknąć nieuprawnionego wykonywania skryptów automatyzacji. Korzystanie z tożsamości zarządzanych na platformie Azure upraszcza uwierzytelnianie, zapewniając jednocześnie minimalny dostęp do poświadczeń. Ponadto włączenie rejestrowania i monitorowania na koncie usługi Automation zapewnia niezawodny sposób przeprowadzania audytu i rozwiązywania problemów z systemami powiadomień. Połączenie tych praktyk sprawia, że ​​automatyzacja jest nie tylko wygodą, ale solidną strategią utrzymania doskonałości operacyjnej. 🔒