Die Nordlicht Reisen GmbH will das Dateiarchiv mit den Verträgen und Fotos (rund 40 TB, Annahme der Aufgabe) mit einem eigenen Schlüssel verschlüsseln, den die Datenschutzbeauftragte kontrolliert. Das Buchungsportal braucht Zugangsdaten für die Datenbank und für den Zahlungsdienstleister, die Portale brauchen TLS-Zertifikate, und die Partnerschnittstelle verlangt Zertifikate auf beiden Seiten. Die Prüfung nennt das: eine Lösung empfehlen, die Geheimnisse, Zertifikate und Schlüssel verwaltet. Hier lernen Sie, welcher Azure-Dienst zu welcher Anforderung passt und woran Sie das erkennen.
Vorwissen. Was Key Vault ist, steht in „AZ-900 kompakt", Lektion 2.7. Wie eine App mit Managed Identity Geheimnisse liest, Rollen statt Zugriffsrichtlinien vergibt und Löschschutz einschaltet, lehrt K3 in Lektion 3.3.2; Schlüsselversionen, Rotation, Ablaufereignisse und TLS-Material zeigt K3 in Lektion 3.3.7. Das wird hier nicht wiederholt. Neu ist die Entscheidung: Standard, Premium oder Managed HSM, wie viele Tresore, wer stellt Zertifikate aus.
Die Anforderung
Alle Zahlen sind Annahmen der Aufgabe, nichts davon ist gemessen.
| Anforderung | Quelle | Messgröße (Annahme) |
|---|---|---|
| Archiv mit eigenem Schlüssel verschlüsseln | Datenschutzbeauftragte | Schlüssel im Hardware-Sicherheitsmodul (HSM), Rotation spätestens alle zwei Jahre |
| Daten und Schlüssel bleiben in der EU | Datenschutz | Region germanywestcentral |
| Portal und Partnerschnittstelle brauchen TLS-Zertifikate | Betrieb | etwa 6 öffentliche Namen; keines darf unbemerkt ablaufen |
| Zugangsdaten für Zahlungsdienstleister und Partnerverträge | Entwicklung | etwa 40 Geheimnisse, vom Portal mit Managed Identity gelesen |
| Keine eigene Schlüsselhoheit gegenüber dem Cloud-Anbieter verlangt | Geschäftsführung | kein Einzelmandanten-Zwang |
| Betrieb mit zwei Personen im Schlüsselteam | IT-Leitung | wenig Verwaltungsaufwand |
Die letzten beiden Zeilen entscheiden mit. Wer sie ändert, kommt zu einer anderen Empfehlung; das ist beabsichtigt. Karten werden nicht gespeichert (Zahlung nur über den Dienstleister), damit entfällt jede Pflicht zu Zahlungs-HSMs.