Azure RBAC als Standardmodell für die Zugriffssteuerung in Key Vault planen

API-Version 2026-02-01 und höher von Azure Key Vault ändern das Standardmodell für die Zugriffssteuerung für neue Tresore in Azure RBAC und sorgen so für Konsistenz mit der Benutzeroberfläche des Azure-Portals. Sowohl Azure RBAC- als auch Zugriffsrichtlinien bleiben vollständig unterstützt. Die API-Version 2026-02-01 ist in öffentlichen Azure-Regionen, dem von 21Vianet betriebenen Azure und Azure Government verfügbar.

Dieser Artikel befasst sich mit dem Verhalten der Zugriffssteuerung für neue und vorhandene Schlüsseltresore. Anleitungen zum Deaktivieren der Steuerelementebenen-API und zum Aktualisieren von Anwendungen, Skripts, Vorlagen, SDKs, Azure CLI und Azure PowerShell finden Sie unter Aktualisieren der verwendeten Azure Key Vault API-Version.

Neues Verhalten der Schlüsseltresorerstellung: Wenn Sie einen neuen Tresor mit API-Version 2026-02-01 oder höher erstellen, wird das Standardzugriffssteuerungsmodell Azure RBAC (enableRbacAuthorization = true). Diese Standardeinstellung gilt nur für Erstellungsvorgänge . Um Zugriffsrichtlinien für neue Tresore zu verwenden, setzen Sie enableRbacAuthorization bei der Erstellung auf false.
Vorhandenes Schlüsseltresorverhalten: Vorhandene Tresore behalten ihr aktuelles Zugriffssteuerungsmodell bei, es sei denn, Sie ändern enableRbacAuthorizationexplizit. Die Verwendung der API-Version 2026-02-01 oder höher zum Aktualisieren eines Tresors ändert nicht automatisch die Zugriffssteuerung. Tresore, in denen enableRbacAuthorizationnull ist (aus älteren API-Versionen), verwenden weiterhin Zugriffsrichtlinien.

Von Bedeutung

Alle API-Versionen der Key Vault-Steuerungsebene vor 2026-02-01 werden am 27. Februar 2027 außer Betrieb genommen. Diese Außerbetriebnahme ist von der Migration der Zugriffskontrolle getrennt. Die Prüfliste für API-Versionsupdates finden Sie unter Aktualisieren der verwendeten Azure Key Vault API-Version.

Von Bedeutung

Aktualisieren Sie auf Azure CLI 2.90.0 oder höher oder Azure PowerShell 16.3.0 oder höher, die API Version 2026-02-01 und höher unterstützen. Die Verwendung von API-Versionen vor 2026-02-01 wird nach dem 27. Februar 2027 ausgesetzt.

Wir empfehlen Ihnen, Schlüsseltresore, die derzeit Zugriffsrichtlinien verwenden, aus Sicherheitsgründen zu Azure RBAC zu migrieren. Weitere Informationen dazu, warum Azure RBAC empfohlen wird, finden Sie unter Azure rollenbasierte Zugriffssteuerung (Azure RBAC) im Vergleich zu Zugriffsrichtlinien. Schritt-für-Schritt-Migrationsanleitungen finden Sie unter Migrieren zu Azure RBAC von Zugriffsrichtlinien.

Was Sie jetzt tun müssen

Wenn Sie das Zugriffskontrollmodell Ihres Tresors bereits kennen, fahren Sie mit Bestimmen Sie Ihre nächsten Schritte fort. Überprüfen Sie andernfalls zuerst Ihre aktuelle Konfiguration .

Verwenden Sie diesen Artikel, um zu entscheiden, wie die Zugriffssteuerung konfiguriert werden soll:

Wenn Sie neue Tresore mit API-Version 2026-02-01 oder höher erstellen, entscheiden Sie, ob Sie die Azure RBAC-Standardeinstellung akzeptieren oder explizit Zugriffsrichtlinien festlegen möchten.
Wenn Sie vorhandene Tresore mit API-Version 2026-02-01 oder höher aktualisieren, sollten Sie wissen, dass das API-Versionsupdate nicht automatisch die Zugriffssteuerung ändert.
Wenn Sie vorhandene Tresore von Zugriffsrichtlinien zu Azure RBAC migrieren möchten, verwenden Sie den entsprechenden Migrationsleitfaden.

Von Bedeutung

Um die enableRbacAuthorization-Eigenschaft eines Schlüsseltresors zu ändern, müssen Sie über die Berechtigung Microsoft.KeyVault/vaults/write verfügen, die typischerweise in Rollen für Mitwirkende und Eigentümer enthalten ist. Das Azure-Portal erfordert zusätzlich Microsoft.Authorization/roleAssignments/write (enthalten in Rollen wie Besitzer und Benutzerzugriffsadministrator), um sicherzustellen, dass Sie nach der Änderung Key Vault RBAC-Rollen zuweisen können und eine Sperrung vermieden wird. Weitere Informationen finden Sie unter Enable Azure RBAC-Berechtigungen für Key Vault.

Überprüfen Der aktuellen Konfiguration

Überprüfen Sie, ob die Zugriffskonfiguration Ihres Vaults auf Azure RBAC oder auf Zugriffsrichtlinien festgelegt ist. Überprüfen Sie diese Konfiguration über die Befehle Azure CLI oder PowerShell.

Nach überprüfung der Konfiguration:

Wenn Ihre Tresore Azure RBAC (enableRbacAuthorization = true) verwenden, wechseln Sie zu Tresoren, die Azure RBAC verwenden.
Wenn Ihre Tresore Zugriffsrichtlinien (Legacy) (enableRbacAuthorization = false oder null) verwenden, wechseln Sie zu Tresoren, die Zugriffsrichtlinien verwenden.

Verwenden Sie den Befehl "az keyvault show" zum Abrufen von Tresordetails:

az keyvault show --name <vault-name> --resource-group <resource-group>

Überprüfen Sie die Eigenschaft „Enabled for RBAC Authorization“ (enableRbacAuthorization) für das Key Vault.

Verwenden Sie das Cmdlet "Get-AzKeyVault ", um Tresordetails abzurufen:

Get-AzKeyVault -ResourceGroupName $resourceGroupName -VaultName $keyVaultName

Überprüfen Sie die Eigenschaft „Enabled for RBAC Authorization“ (enableRbacAuthorization) für das Key Vault.

Mehrere Vaults nach Ressourcengruppe prüfen

Azure CLI
PowerShell

Verwenden Sie den Befehl "az keyvault list ", um alle Tresore in einer Ressourcengruppe auflisten und deren RBAC-Autorisierungsstatus zu überprüfen:

# List all key vaults in the resource group and check Azure RBAC status
az keyvault list --resource-group <resource-group> --query "[].{name:name, rbacEnabled:properties.enableRbacAuthorization}" --output table

Erstellen Sie die folgende Funktion in PowerShell:

function Get-KeyVaultsFromResourceGroup {
    # Get all key vaults in the specified resource group (basic information)
    $keyVaults = Get-AzKeyVault -ResourceGroupName $resourceGroupName

    # Iterate through each key vault by name and fetch full properties
    foreach ($keyVault in $keyVaults) {
        $keyVaultName = $keyVault.VaultName

        # Get the full key vault properties
        $keyVaultDetails = Get-AzKeyVault -ResourceGroupName $resourceGroupName -VaultName $keyVaultName

        # Access the 'EnableRbacAuthorization' property
        $enabledForRbac = $keyVaultDetails.EnableRbacAuthorization

        # Output key vault status based on the 'EnableRbacAuthorization' property
        if ($enabledForRbac -eq $true) {
            Write-Output "${keyVaultName}: RBAC is enabled"
        } else {
            Write-Output "${keyVaultName}: Access Policies are enabled (enableRbacAuthorization is false or null)"
        }
    }
}

Benennen Sie die Ressourcengruppe, für die Sie Ihre Funktion ausführen möchten:
```
$resourceGroupName = "<resource-group>"
```
Rufen Sie die Funktion Get-KeyVaultsFromResourceGroup auf, um zu sehen, für welche Vaults in der Ressourcengruppe aus Schritt 2 die Zugriffsrichtlinien und Azure RBAC aktiviert sind.

Überprüfen mehrerer Tresore in Ihrem Abonnement

Azure CLI
PowerShell

Verwenden Sie den Befehl az keyvault list, um alle Tresore in Ihrem Abonnement aufzulisten und deren RBAC-Autorisierungsstatus zu überprüfen.

# List all key vaults in the subscription and check Azure RBAC status
az keyvault list --query "[].{name:name, rbacEnabled:properties.enableRbacAuthorization}" --output table

Erstellen Sie die folgende Funktion in PowerShell:

function Get-KeyVaultsFromSubscription {
    # Get all key vaults in the subscription (basic information)
    $keyVaults = Get-AzKeyVault

    # Iterate through each key vault by name and fetch full properties
    foreach ($keyVault in $keyVaults) {
        $keyVaultName = $keyVault.VaultName
        $resourceGroupName = $keyVault.ResourceGroupName

        # Get the full key vault properties
        $keyVaultDetails = Get-AzKeyVault -ResourceGroupName $resourceGroupName -VaultName $keyVaultName

        # Access the 'EnableRbacAuthorization' property
        $enabledForRbac = $keyVaultDetails.EnableRbacAuthorization

        # Output key vault status based on the 'EnableRbacAuthorization' property
        if ($enabledForRbac -eq $true) {
            Write-Output "${keyVaultName}: RBAC is enabled"
        } else {
            Write-Output "${keyVaultName}: Access Policies are enabled (enableRbacAuthorization is false or null)"
        }
    }
}

Rufen Sie die Funktion Get-KeyVaultsFromSubscription auf, um zu sehen, für welche Vaults im Abonnement die Zugriffsrichtlinien gegenüber Azure RBAC aktiviert sind. Je nach Anzahl der Tresore in Ihrem Abonnement dauert die Ausführung der Funktion möglicherweise mehr als 10 Minuten.

Bestimmen Sie die nächsten Schritte

Befolgen Sie auf der Grundlage Ihres aktuellen Zugriffssteuerungsmodells die unten aufgeführten Anleitungen.

Trennen von API-Versionsupdates von der Migration der Zugriffssteuerung

Wenn Ihre Anwendungen, Skripts, Vorlagen oder SDKs eine API-Version der Kontrollebene vor 2026-02-01 verwenden, aktualisieren Sie sie unabhängig davon, ob Ihre Schlüsseltresore Azure RBAC oder Zugriffsrichtlinien verwenden. Dieses API-Versionsupdate unterscheidet sich von der Migration von Zugriffsrichtlinien zu Azure RBAC. Anleitungen zum Identifizieren und Aktualisieren der API-Versionen, die von Ihren Anwendungen, Skripts, Vorlagen und SDKs verwendet werden, finden Sie unter Aktualisieren der verwendeten Azure Key Vault API-Version.

Tresore, die Azure RBAC verwenden

Wenn Ihre Schlüsseltresor bereits Azure RBAC verwenden, müssen Sie die Zugriffssteuerung nicht ändern. Neue Schlüsseltresore, die mit API-Version 2026-02-01 oder höher erstellt wurden, verwenden ebenfalls standardmäßig Azure RBAC, es sei denn, Sie setzen enableRbacAuthorization explizit auf false.

Tresore, die Zugriffsrichtlinien verwenden

Wenn Ihre Schlüsselbund-Zugriffsrichtlinien (Legacy) (enableRbacAuthorization = false oder null) verwenden, entscheiden Sie, ob Sie zum rollenbasierten Zugriff (empfohlen) migrieren oder weiterhin Zugriffsrichtlinien verwenden möchten. Weitere Informationen zu Zugriffssteuerungsmodellen finden Sie unter Use Azure RBAC for managing access to Key Vault and Azure Key Vault best practices.

Wählen Sie Ihren Pfad aus:

Azure RBAC (empfohlen): Migrieren Sie zu Azure RBAC für verbesserte Sicherheit.
Zugriffsrichtlinien (Legacy):Fahren Sie fort, Zugriffsrichtlinien zu verwenden, indem Sie beim Erstellen neuer Tresore enableRbacAuthorization auf false festlegen.

Migrieren zu Azure RBAC (empfohlen)

Verwenden Sie diese Gelegenheit, um Ihren Sicherheitsstatus zu erhöhen, indem Sie von Tresorzugriffsrichtlinien zu Azure RBAC migrieren. Informationen zum Migrationsverfahren finden Sie unter Migrieren zu Azure RBAC von Zugriffsrichtlinien.

Weiterhin Zugriffsrichtlinien verwenden

Zugriffsrichtlinien bleiben ein vollständig unterstütztes Zugriffssteuerungsmodell.

Bestehende Tresore: Tresore, die bereits Zugriffsrichtlinien verwenden, verwenden diese weiterhin, sofern Sie dies nicht ausdrücklich enableRbacAuthorization ändern.
Neue Tresore: Wenn Sie neue Tresore mit API-Version 2026-02-01 oder höher erstellen, müssen Sie enableRbacAuthorization explizit auf false festlegen, um Zugriffsrichtlinien zu verwenden, wie in den folgenden Abschnitten beschrieben.

Wählen Sie eine der folgenden Methoden basierend auf Ihrem Szenario aus:

Verwendung von ARM-, Bicep- und Terraform-Vorlagen
Verwenden von Create Key Vault-Befehlen
Verwenden von Befehlen "Ressource erstellen"

Verwenden von ARM-, Bicep- und Terraform-Vorlagen

Wenn Sie neue Schlüsseltresore mit API-Version 2026-02-01 oder höher erstellen, setzen Sie enableRbacAuthorization für alle ARM-, Bicep- und Terraform-Vorlagen für Schlüsseltresore sowie für alle false-Aufrufe auf , damit Zugriffsrichtlinien (bestehend) verwendet werden.

Verwenden von Befehlen zum Erstellen eines Key Vaults

Wenn Sie neue Schlüsseltresore unter Verwendung von API-Version 2026-02-01 oder höher erstellen, müssen Sie die Konfiguration der Zugriffsrichtlinien angeben, um zu vermeiden, dass Azure RBAC als Standard verwendet wird.

Aktualisieren Sie die Azure CLI- oder PowerShell-Module auf die neueste Version.

Azure CLI
PowerShell

Aktualisieren Sie Azure CLI auf die neueste Version. Weitere Informationen finden Sie unter How to update the Azure CLI.

Verwenden Sie den entsprechenden Befehl, um einen Schlüsseltresor mit Zugriffsrichtlinien zu erstellen:

Azure CLI
PowerShell

Verwenden Sie den Befehl "az keyvault erstellen " und legen Sie folgendes fest --enable-rbac-authorization false:

az keyvault create --name "testCreateTutorial" --resource-group "testResourceGroup" --enable-rbac-authorization false

Verwenden Sie das Cmdlet New-AzKeyVault und legen Sie wie folgt fest -DisableRbacAuthorization:

New-AzKeyVault -Name "testCreateTutorial" -ResourceGroupName "testResourceGroup" -Location "EastUS" -DisableRbacAuthorization

Verwenden von Befehlen "Ressource erstellen"

Wenn Sie neue Key Vaults mithilfe der API-Version 2026-02-01 oder höher erstellen, setzen Sie enableRbacAuthorization auf false, um Zugriffsrichtlinien (Legacy) zu verwenden. Wenn Sie diese Eigenschaft nicht angeben, wird standardmäßig true (Azure RBAC) festgelegt.

Azure CLI
PowerShell

Verwenden Sie den Befehl az resource create und setzen Sie "enableRbacAuthorization": false und --api-version "2026-02-01":

az resource create --resource-group $resourceGroup --name $vaultName --resource-type "Microsoft.KeyVault/vaults" --location $location --api-version "2026-02-01" --properties "{\"sku\": { \"family\": \"A\", \"name\": \"standard\" }, \"tenantId\": \"$tenantID\",\"enableRbacAuthorization\": false, \"accessPolicies\": []}"

Verwenden Sie das Cmdlet "New-AzResource" und legen Sie enableRbacAuthorization = $false und -ApiVersion "2026-02-01" fest:

New-AzResource `
    -ResourceGroupName $resourceGroupName `
    -ResourceType "Microsoft.KeyVault/vaults" `
    -ResourceName $keyVaultName `
    -Location $location `
    -ApiVersion "2026-02-01" `
    -Properties @{
        sku = @{ family = "A"; name = "standard" }
        tenantId = $TenantId
        enableRbacAuthorization = $false
        accessPolicies = @()}

Nächste Schritte

Feedback

War diese Seite hilfreich?

Zuletzt aktualisiert um 2026-09-24

Azure RBAC als Standardmodell für die Zugriffssteuerung in Key Vault planen

Was Sie jetzt tun müssen

Überprüfen Der aktuellen Konfiguration

Überprüfen eines einzelnen Vaults

Mehrere Vaults nach Ressourcengruppe prüfen

Überprüfen mehrerer Tresore in Ihrem Abonnement

Bestimmen Sie die nächsten Schritte

Trennen von API-Versionsupdates von der Migration der Zugriffssteuerung

Tresore, die Azure RBAC verwenden

Tresore, die Zugriffsrichtlinien verwenden

Migrieren zu Azure RBAC (empfohlen)

Weiterhin Zugriffsrichtlinien verwenden

Verwenden von ARM-, Bicep- und Terraform-Vorlagen

Verwenden von Befehlen zum Erstellen eines Key Vaults

Verwenden von Befehlen "Ressource erstellen"

Nächste Schritte

Feedback

Zusätzliche Ressourcen