Versehentlich managed HSM Key erstellt - mit hohen stündlichen Kosten - wie bekomme ich den wieder weg?

Hallo Peter,

Bitte beachten Sie: Wenn Sie einen verwalteten HSM Azure Key Vault mit aktiviertem Löschschutz für einen bestimmten Zeitraum (7 bis 90 Tage) erstellt haben, verbleibt dieser im Status „vorläufig gelöscht“ und kann erst nach Ablauf der Aufbewahrungsfrist endgültig gelöscht werden. Während dieser Zeit werden Ihnen die Kosten für den verwalteten HSM Azure Key Vault weiterhin in Rechnung gestellt. Nach Ablauf der Aufbewahrungsfrist wird der verwaltete HSM automatisch gelöscht.

Im folgenden Screenshot sehen Sie, wie der Löschschutz aktiviert wurde: Gehen Sie zu „Schlüsseltresore“ → Wählen Sie den erstellten Schlüsseltresor aus → Unter „Einstellungen“ wählen Sie „Eigenschaften“ → Unter „Löschschutz“ finden Sie die folgende Option zum Aktivieren des Löschschutzes:

Löschschutz aktivieren (obligatorische Aufbewahrungsfrist für gelöschte Tresore und Tresorobjekte erzwingen)

Die Funktion „Vorläufiges Löschen“ von verwalteten HSMs ermöglicht die Wiederherstellung gelöschter HSMs und Schlüssel. Diese Funktion bietet insbesondere folgende Sicherheitsvorkehrungen:

• Nach dem Löschen eines HSM oder Schlüssels bleibt dieser für einen konfigurierbaren Zeitraum von 7 bis 90 Kalendertagen wiederherstellbar. Sie können die Aufbewahrungsdauer beim Erstellen eines HSM festlegen. Wird kein Wert angegeben, gilt die Standardaufbewahrungsdauer von 90 Tagen. Dieser Zeitraum gibt Benutzern ausreichend Zeit, ein versehentliches Löschen eines Schlüssels oder HSM zu bemerken und zu reagieren.
• Um einen Schlüssel endgültig zu löschen, sind zwei Schritte erforderlich. Zuerst muss der Schlüssel gelöscht werden, wodurch er in den Status „Vorläufig gelöscht“ versetzt wird. Anschließend muss der Schlüssel im Status „Vorläufig gelöscht“ endgültig gelöscht werden. Für die endgültige Löschung ist die Rolle „Verwalteter HSM-Kryptobeauftragter“ erforderlich. Diese zusätzlichen Sicherheitsvorkehrungen reduzieren das Risiko, dass ein Benutzer versehentlich oder böswillig einen Schlüssel oder ein HSM löscht.

Verhalten bei vorläufigem Löschen

Vorläufiges Löschen kann für verwaltete HSM-Ressourcen nicht deaktiviert werden.

Als gelöscht markierte Ressourcen werden für einen festgelegten Zeitraum aufbewahrt. Es gibt auch einen Mechanismus zur Wiederherstellung gelöschter HSMs oder Schlüssel, sodass Sie Löschvorgänge rückgängig machen können.

Die Standardaufbewahrungsdauer beträgt 90 Tage. Beim Erstellen einer HSM-Ressource können Sie das Aufbewahrungsintervall auf einen Wert zwischen 7 und 90 Tagen festlegen. Die Aufbewahrungsrichtlinie für den Löschschutz verwendet dasselbe Intervall. Nach der Festlegung der Aufbewahrungsrichtlinie kann diese nicht mehr geändert werden.

Sie können den Namen einer vorläufig gelöschten HSM-Ressource erst wiederverwenden, nachdem die Aufbewahrungsdauer abgelaufen ist und die HSM-Ressource endgültig gelöscht wurde.

Löschschutz

Der Löschschutz ist eine optionale Funktion und standardmäßig deaktiviert. Sie können ihn über die Azure CLI oder PowerShell aktivieren.

Wenn der Löschschutz aktiviert ist, können HSMs und Schlüssel im Status „Gelöscht“ erst nach Ablauf der Aufbewahrungsfrist endgültig gelöscht werden. Vorläufig gelöschte HSMs und Schlüssel können weiterhin wiederhergestellt werden, wodurch die Gültigkeit der Aufbewahrungsrichtlinie gewährleistet wird.

Die Standardaufbewahrungsfrist beträgt 90 Tage. Sie können das Aufbewahrungsintervall beim Erstellen eines HSM auf einen Wert zwischen 7 und 90 Tagen festlegen. Das Aufbewahrungsintervall kann nur beim Erstellen eines HSM festgelegt und später nicht mehr geändert werden.

Abrechnungshinweise

Managed HSM ist ein Dienst für einen einzelnen Mandanten. Bei der Erstellung eines Managed HSM reserviert der Dienst die Ihrem HSM zugewiesenen Ressourcen. Diese Ressourcen bleiben auch dann reserviert, wenn sich das HSM im gelöschten Zustand befindet. Die Abrechnung des HSM erfolgt auch im gelöschten Zustand.

Verwaltete HSMs (CLI)

• So prüfen Sie den Status des Vorlösch- und Löschschutzes für ein verwaltetes HSM:
• az keyvault show --subscription {ABONNEMENT-ID} -g {RESSOURCENGRUPPE} --hsm-name {HSM-NAME}
• So löschen Sie ein vorläufig gelöschtes HSM endgültig:
• az keyvault purge --subscription {ABONNEMENT-ID} --hsm-name {HSM-NAME} --location {STANDORT}
• Dieser Vorgang löscht Ihr HSM endgültig.

Hilfreiche Referenzdokumente:

Azure Key Vault Managed HSM soft-delete | Microsoft Learn

Azure Key Vault recovery overview | Microsoft Learn

Azure Key Vault Managed HSM recovery overview | Microsoft Learn

Sobald Sie die verwalteten HSM-Schlüsseltresore endgültig gelöscht haben, werden keine weiteren Gebühren berechnet.

Sie können dies überprüfen, indem Sie zu „Schlüsseltresore“ → „Gelöschte Tresore verwalten“ gehen und prüfen, ob der gelöschte Schlüsseltresor „StephansTopSecret“ in der Schlüsseltresorliste angezeigt wird (siehe Screenshot unten).

Bitte beachten Sie, dass die Abrechnung gestoppt wird, wenn bei Ihnen die gleichen Einstellungen wie im obigen Screenshot angezeigt werden.

Ich hoffe, diese Informationen waren hilfreich. Bei weiteren Fragen können Sie sich gerne an mich wenden.

Bitte entschuldigen Sie die Grammatikfehler; ich habe aus dem Englischen übersetzt.

Please note, that I already know this document - and - as I said: There is not soft-deleted keyvault anymore - but it it still billed!

Thanks. with the ressourcetype you listed, it returns "Unsupported resource type: managedHsm"

When I just run it without the ressourcetype, here is he result

... but it still goes on billing each hour ...

Peter Melden Sie sich bitte, falls Sie weitere Fragen haben!

Peter Wir möchten uns erkundigen, ob die oben genannten Informationen hilfreich waren. Sollten Sie weitere Fragen haben, lassen Sie es uns bitte wissen.