Aktionen und Attribute für Azure Key Vault ABAC-Bedingungen (Vorschau)

In diesem Artikel werden die unterstützten Aktionen, Attribute und Operatoren beschrieben, die Sie unter Bedingungen für Azure Rollenzuweisungen für Azure Key Vault verwenden können. Eine Übersicht darüber, wie Rollenzuweisungsbedingungen funktionieren, finden Sie unter Was ist Azure attributbasierte Zugriffssteuerung (Azure ABAC)?. Eine Liste der Key Vault Datenaktionen, die sich auf eine bestimmte Berechtigung auswirken, finden Sie im Leitfaden zum Azure RBAC für Key Vault Datenebenenvorgänge.

Übersicht

Azure ABAC für Key Vault baut auf Azure RBAC auf, indem Bedingungen zu Rollenzuweisungen hinzugefügt werden. Azure wertet jede Bedingung zur Laufzeit anhand der Attribute der Ressource, auf die zugegriffen wird, oder die eingehende Anforderung aus, und ermöglicht oder verweigert die Anforderung basierend auf Vergleichsoperatoren.

Die Vorteile der Verwendung von Rollenzuweisungsbedingungen für Key Vault sind:

• Feinerer Zugriff auf geheime Schlüssel. Beschränken Sie einen Prinzipal auf Geheimschlüssel, deren Namen einem bestimmten Muster (z. B app-*team-prod-*. ) oder bestimmten Schlüsseltresorn nach Tresornamen entsprechen.
• Weniger Rollenzuweisungen, die verwaltet werden sollen. Verwenden Sie eine einzelne bedingungsorientierte Rollenzuweisung für eine Sicherheitsgruppe anstelle vieler einzelner Zuordnungen, die dieselben Berechtigungen modellieren. ABAC hilft Ihnen beim Skalieren der Rollenverwaltung – sie gewährt keine Berechtigungen, die eine Rollenzuweisung noch nicht gewährt.
• Erweitert vorhandene Azure RBAC. ABAC-Ebenen über Ihren vorhandenen Rollenzuweisungen. Sie müssen RBAC nicht ersetzen, um es zu verwenden.

In dieser Vorschau gilt ABAC für Key Vault nur für geheime Datenaktionen und unterstützt zwei Attribute: den Tresornamen und den geheimen Namen. Wichtige Datenaktionen, Zertifikatdatenaktionen, tagbasierte Attribute, Tokenattribute und integrierte Key Vault ABAC-Bedingungen für jede Rolle sind nicht enthalten.

Um ABAC-Bedingungen zu verwenden, muss das Berechtigungsmodell des Schlüsseltresors auf Azure RBAC festgelegt werden. Hintergrundinformationen finden Sie unter Azure RBAC im Vergleich zu Zugriffsrichtlinien und vorbereiten auf Key Vault API Version 2026-02-01 und höher.

Bedingungsformat

Bedingungen verwenden das folgende allgemeine Format:

@Resource[<ResourceType>:<AttributeName>] <Operator> '<Value>'

Die Bedingungsversion muss auf 2.0. Die vollständige Grammatik finden Sie unter Azure Rollenzuweisungsbedingungsformat und -syntax.

Unterstützte Operatoren

Azure Key Vault ABAC-Bedingungen unterstützen alle im Azure ABAC-Bedingungsformat definierten Zeichenfolgenvergleichsoperatoren. Eine vollständige Liste der Operatoren und deren Verhalten finden Sie unter Zeichenfolgenvergleichsoperatoren.

aktionen Azure Key Vault

Sie können ABAC-Bedingungen auf die folgenden Key Vault geheimen Datenaktionen anwenden. Jeder Unterabschnitt beschreibt die Aktion, die zugrunde liegende DataAction, die Attributquelle, die sie auswertet (Ressource oder Anforderung) und eine Beispielbedingung.

Geheimen Schlüssel abrufen

Lesen geheimer Metadaten

Geheimen Schlüssel festlegen

Geheimen Schlüssel aktualisieren

Geheimnis löschen

Geheimer Sicherungsschlüssel

Geheimen Schlüssel wiederherstellen

Geheimen Schlüssel wiederherstellen

Geheimer Schlüssel löschen

Attributquellen

Attribute beschreiben Eigenschaften, die zur Anforderungszeit ausgewertet werden. Ressourcenattribute beschreiben den Zugriff auf die Ressource. Anforderungsattribute beschreiben die eingehende Anforderung, wenn die Ressource möglicherweise noch nicht vorhanden ist (z. B. während setSecret oder restore).

Name des Vaults

Verwenden Sie dieses Attribut, um den Zugriff auf Schlüsseltresor zu beschränken, deren Namen einem bestimmten Muster entsprechen. Wenn Sie eine Bedingung im Abonnement- oder Ressourcengruppenbereich anwenden, wertet Azure den Tresornamen für jeden Tresor aus, auf den der Prinzipal zugegriffen werden soll.

Beispielbedingungen:

@Resource[Microsoft.KeyVault/vaults:name] StringStartsWith 'prod-'
@Resource[Microsoft.KeyVault/vaults:name] StringEquals 'sample-vault'
@Resource[Microsoft.KeyVault/vaults:name] StringLike 'team-*-prod'

Geheimer Name (Ressource)

Verwenden Sie dieses Attribut, wenn der geheime Schlüssel zur Auswertungszeit bereits vorhanden ist.

Beispielbedingungen:

@Resource[Microsoft.KeyVault/vaults/secrets:name] StringStartsWith 'test-app'
@Resource[Microsoft.KeyVault/vaults/secrets:name] StringLike 'api-key-*'

Geheimer Name (Anforderung)

Verwenden Sie dieses Attribut, wenn der geheime Schlüssel möglicherweise zur Auswertungszeit noch nicht vorhanden ist, z. B. während der Erstellung oder Wiederherstellung.

Beispielbedingungen:

@Request[Microsoft.KeyVault/vaults/secrets:name] StringStartsWith 'app-'
@Request[Microsoft.KeyVault/vaults/secrets:name] StringLike 'config-*'

Rollen, die ABAC-Bedingungen unterstützen

Sie können ABAC-Bedingungen auf jede Rolle anwenden, die Key Vault geheimen Schlüssel dataActionsenthält. Rollen, die nur Steuerungsebenenaktionen (z. B. Besitzer oder Richtlinienadministrator) enthalten, unterstützen keine ABAC-Bedingungen, da Azure Bedingungen ausschließlich für Datenebenenvorgänge auswertet. In dieser Vorschau enthält keine integrierte Rolle eine vordefinierte Key Vault ABAC-Bedingung . Sie erstellen die Bedingung, wenn Sie die Rollenzuweisung erstellen.

Die folgenden integrierten Rollen umfassen geheime Datenaktionen und unterstützen ABAC-Bedingungen in dieser Vorschau. Die vollständigen Rollendefinitionen und IDs finden Sie unter Azure integrierten Rollen für Key Vault Datenebenenvorgänge.

Bedingungsbeispiele

Die folgenden Beispiele zeigen allgemeine ABAC-Muster für Key Vault geheimen Schlüssel. Weitere Informationen zur Bedingungssyntax finden Sie unter Azure Rollenzuweisungsbedingungsformat und -syntax.

Beispiel: Einschränken des Lesezugriffs auf geheime Schlüssel mit einem Namenspräfix

Zulassen, dass ein Prinzipal nur geheime Schlüssel liest, deren Namen mit test-app:

• Rolle: Key Vault-Geheimnisbenutzer
• Bereich: Schlüsseltresorressource
• Bedingung:

(
  !(ActionMatches{'Microsoft.KeyVault/vaults/secrets/getSecret/action'})
  OR
  (
    @Resource[Microsoft.KeyVault/vaults/secrets:name] StringStartsWith 'test-app'
  )
)

Verhalten:

• Zulässig: Lesen test-app-secret1.
• Verweigert (ForbiddenByRbac): Lesen test-db-password.

Beispiel: Einschränken des Zugriffs auf geheime Schlüssel in bestimmten Tresoren anhand des Präfixes des Tresornamens

Zulassen, dass ein Prinzipal geheime Schlüssel nur in Tresoren liest, deren Namen mit kv-prod:

• Rolle: Key Vault-Geheimnisbenutzer
• Bereich: Abonnement
• Bedingung:

@Resource[Microsoft.KeyVault/vaults:name] StringStartsWith 'kv-prod'

Verhalten:

• Zulässig: Zugriff auf kv-prod-1.
• Verweigert: Zugriff auf test-kv.

Beispiel: Einschränken neu erstellter geheimer Schlüssel auf ein Namenspräfix

Zulassen, dass ein Prinzipal geheime Schlüssel nur erstellt, wenn der geheime Name mit app-. Da der geheime Schlüssel zur Auswertungszeit noch nicht vorhanden ist, verwenden Sie das Attribut "Request":

• Rolle: Key Vault Secrets Officer
• Bereich: Schlüsseltresorressource
• Bedingung:

(
  !(ActionMatches{'Microsoft.KeyVault/vaults/secrets/setSecret/action'})
  OR
  (
    @Request[Microsoft.KeyVault/vaults/secrets:name] StringStartsWith 'app-'
  )
)

Beispiel: Kombinieren von Tresor- und geheimen Namensbedingungen

Beschränken Sie einen Prinzipal auf schreibgeschützte Geheimschlüssel, die mit api- Tresoren beginnen, deren Namen mit kv-prod:

• Rolle: Key Vault-Geheimnisbenutzer
• Bereich: Abonnement
• Bedingung:

(
  !(ActionMatches{'Microsoft.KeyVault/vaults/secrets/getSecret/action'})
  OR
  (
    @Resource[Microsoft.KeyVault/vaults:name] StringStartsWith 'kv-prod'
    AND
    @Resource[Microsoft.KeyVault/vaults/secrets:name] StringStartsWith 'api-'
  )
)

Verwandte Inhalte

• Hinzufügen von Rollenzuweisungsbedingungen für Key Vault geheime Schlüssel mithilfe von Azure CLI (Vorschau)
• Hinzufügen von Rollenzuweisungsbedingungen für Key Vault geheimen Schlüssel mithilfe von Azure PowerShell (Vorschau)
• Was ist die attributbasierte Zugriffssteuerung (Azure Attribute-Based Access Control, Azure ABAC) in Azure?
• Format und Syntax von Azure-Rollenzuweisungsbedingungen
• Gewähren des Zugriffs auf Azure Key Vault-Schlüssel, Zertifikate und Geheimnisse mit Azure RBAC
• Behandeln von Problemen mit Azure-Rollenzuweisungsbedingungen
• Probleme beim Zugriff auf Key Vault beheben
• Vorbereiten auf Key Vault API Version 2026-02-01 und höher