AZIAM-004: Auditoría de directivas de acceso de Azure Key Vault
- Plataforma
- Entra ID / M365
- Categoría
- Azure IAM & Resource Security
- Severidad
- High
- Pilar de Zero Trust
- Identity (peso 3)
- Fixtures de referencia
- 4
- Cobertura de ramas
- Observada: los fixtures prueban los veredictos que ejercitan
- Procedencia
- baseline
Qué comprueba
Azure Key Vault almacena claves criptográficas, secretos y certificados críticos para la seguridad de las aplicaciones y la protección de datos. Unas directivas de acceso demasiado permisivas pueden exponer secretos a usuarios o entidades de servicio no autorizados, lo que conduce al robo de credenciales o a filtraciones de datos. Deben auditarse tanto el modelo de directiva de acceso como el de autorización RBAC para verificar el cumplimiento del privilegio mínimo.
Valor recomendado
Use Azure RBAC para el control de acceso a Key Vault; restrinja los permisos Get/List/Set a las entidades de seguridad mínimas necesarias
Remediación
Revise todas las directivas de acceso o asignaciones RBAC de Key Vault y elimine cualquier entidad de seguridad con permisos innecesarios, como Purge o derechos completos de gestión de claves. Migre del modelo heredado de directiva de acceso a la autorización basada en Azure RBAC para lograr un control y una auditabilidad más granulares. Habilite el registro de Key Vault en un área de trabajo de Log Analytics y configure alertas para patrones de acceso sospechosos.
Veredictos probados con fixtures
Cada veredicto de esta tabla está probado por un fixture de referencia en la suite de pruebas que valida el módulo. La tabla se deriva de la última ejecución en verde; no puede editarse a mano.
| Escenario | Veredicto esperado |
|---|---|
| clean | PASS |
| known-bad | FAIL |
| no-data | Not Assessed |
| partial-collection | Not Assessed |
Mapeos a marcos de referencia
- NIST SP 800-53
- AC-6, SC-12
- CIS Azure
- 8.5