Azioni e attributi per Azure Key Vault condizioni del controllo degli accessi in base al ruolo (anteprima)

Questo articolo descrive le azioni, gli attributi e gli operatori supportati che è possibile usare in condizioni per le assegnazioni di ruolo Azure per Azure Key Vault. Per una panoramica del funzionamento delle condizioni di assegnazione dei ruoli, vedere Che cos'è Azure controllo degli accessi in base all'attributo (Azure ABAC)?. Per l'elenco di Key Vault azioni sui dati che influiscono su un'autorizzazione specifica, vedere il controllo degli accessi in base al ruolo Azure per Key Vault guida operativa del piano dati.

Overview

Azure controllo degli accessi in base al ruolo per Key Vault si basa su Azure controllo degli accessi in base al ruolo aggiungendo condizioni alle assegnazioni di ruolo. Azure valuta ogni condizione in fase di esecuzione rispetto agli attributi della risorsa a cui si accede o alla richiesta in ingresso e consente o nega la richiesta in base agli operatori di confronto.

I vantaggi dell'uso delle condizioni di assegnazione di ruolo per Key Vault sono:

• Accesso più dettagliato ai segreti. Limitare un'entità ai segreti i cui nomi corrispondono a un modello specifico (ad esempio, app-* o team-prod-*) o a insiemi di credenziali delle chiavi specifici in base al nome dell'insieme di credenziali.
• Meno assegnazioni di ruolo da gestire. Usare un'assegnazione di ruolo a condizione singola per un gruppo di sicurezza anziché molte assegnazioni singole che modellano le stesse autorizzazioni. Il controllo degli accessi in base al ruolo consente di ridimensionare la gestione dei ruoli: non concede autorizzazioni che un'assegnazione di ruolo non concede già.
• Estende il controllo degli accessi in base al ruolo di Azure esistente. Livelli di controllo degli accessi in base al ruolo sopra le assegnazioni di ruolo esistenti. Non è necessario sostituire il controllo degli accessi in base al ruolo per usarlo.

In questa anteprima, il controllo degli accessi in base al ruolo per Key Vault si applica solo alle azioni di dati segrete e supporta due attributi: il nome dell'insieme di credenziali e il nome del segreto. Le azioni chiave dei dati, le azioni dei dati del certificato, gli attributi basati su tag, gli attributi del token e le condizioni predefinite Key Vault controllo degli accessi in base al ruolo non sono incluse.

Per usare le condizioni del controllo degli accessi in base al ruolo, è necessario impostare il modello di autorizzazione dell'insieme di credenziali delle chiavi su Azure controllo degli accessi in base al ruolo. Per informazioni generali, vedere Azure controllo degli accessi in base al ruolo e Preparare l'API Key Vault versione 2026-02-01 e successive.

Formato della condizione

Le condizioni usano il formato generale seguente:

@Resource[<ResourceType>:<AttributeName>] <Operator> '<Value>'

La versione della condizione deve essere impostata su 2.0. Per la grammatica completa, vedere Azure formato e sintassi della condizione di assegnazione di ruolo.

Operatori supportati

Azure Key Vault condizioni del controllo degli accessi in base al ruolo supportano tutti gli operatori di confronto delle stringhe definiti nel formato di condizione ABAC Azure. Per l'elenco completo degli operatori e il relativo comportamento, vedere Operatori di confronto tra stringhe.

azioni Azure Key Vault

È possibile applicare le condizioni del controllo degli accessi in base al ruolo ai seguenti Key Vault azioni di dati segreti. Ogni sottosezione descrive l'azione, l'oggetto DataAction sottostante, l'origine dell'attributo valutata (Resource o Request) e una condizione di esempio.

Ottenere il segreto

Leggere i metadati dei segreti

Imposta segreto

Aggiornare il segreto

Eliminare un segreto

Segreto di backup

Ripristinare il segreto

Ripristinare il segreto

Ripulisci il segreto

Origini degli attributi

Gli attributi descrivono le proprietà valutate in fase di richiesta. Gli attributi delle risorse descrivono la risorsa a cui si accede. Gli attributi della richiesta di richiesta descrivono la richiesta in ingresso quando la risorsa potrebbe non esistere ancora (ad esempio, durante setSecret o restore).

Nome del vault

Usare questo attributo per definire l'ambito dell'accesso agli insiemi di credenziali delle chiavi i cui nomi corrispondono a un determinato modello. Quando si applica una condizione nell'ambito della sottoscrizione o del gruppo di risorse, Azure valuta il nome dell'insieme di credenziali per ogni insieme di credenziali a cui l'entità tenta di accedere.

Condizioni di esempio:

@Resource[Microsoft.KeyVault/vaults:name] StringStartsWith 'prod-'
@Resource[Microsoft.KeyVault/vaults:name] StringEquals 'sample-vault'
@Resource[Microsoft.KeyVault/vaults:name] StringLike 'team-*-prod'

Nome segreto (risorsa)

Usare questo attributo quando il segreto esiste già in fase di valutazione.

Condizioni di esempio:

@Resource[Microsoft.KeyVault/vaults/secrets:name] StringStartsWith 'test-app'
@Resource[Microsoft.KeyVault/vaults/secrets:name] StringLike 'api-key-*'

Nome segreto (richiesta)

Usare questo attributo quando il segreto potrebbe non esistere ancora in fase di valutazione, ad esempio durante la creazione o il ripristino.

Condizioni di esempio:

@Request[Microsoft.KeyVault/vaults/secrets:name] StringStartsWith 'app-'
@Request[Microsoft.KeyVault/vaults/secrets:name] StringLike 'config-*'

Ruoli che supportano le condizioni del controllo degli accessi in base al ruolo

È possibile applicare condizioni del controllo degli accessi in base al ruolo che includono Key Vault segreto dataActions. I ruoli che contengono solo azioni del piano di controllo (ad esempio Proprietario o Amministratore criteri) non supportano le condizioni del controllo degli accessi in base al ruolo perché Azure valuta le condizioni esclusivamente sulle operazioni del piano dati. In questa anteprima, nessun ruolo predefinito include una condizione preassegnata Key Vault controllo degli accessi in base al ruolo. La condizione viene creata quando si crea l'assegnazione di ruolo.

I ruoli predefiniti seguenti includono le azioni dei dati segreti e supportano le condizioni di controllo degli accessi in base al ruolo in questa anteprima. Per le definizioni e gli ID completi dei ruoli, vedere Azure ruoli predefiniti per le operazioni del piano dati Key Vault.

Esempi di condizioni

Negli esempi seguenti vengono illustrati i modelli di controllo degli accessi in base al ruolo comuni per i segreti di Key Vault. Per altre informazioni sulla sintassi della condizione, vedere Azure formato e sintassi della condizione di assegnazione di ruolo.

Esempio: Limitare l'accesso in lettura ai segreti con un prefisso del nome

Consentire a un'entità di leggere solo i segreti i cui nomi iniziano con test-app:

• Ruolo: Utente dei segreti di Key Vault
• Ambito: risorsa dell'insieme di credenziali delle chiavi
• Condizione:

(
  !(ActionMatches{'Microsoft.KeyVault/vaults/secrets/getSecret/action'})
  OR
  (
    @Resource[Microsoft.KeyVault/vaults/secrets:name] StringStartsWith 'test-app'
  )
)

Comportamento:

• Consentito: lettura test-app-secret1di .
• Negato (ForbiddenByRbac): lettura di test-db-password.

Esempio: Limitare l'accesso ai segreti in insiemi di credenziali specifici in base al prefisso del nome dell'insieme di credenziali

Consentire a un'entità di leggere i segreti solo negli insiemi di credenziali i cui nomi iniziano con kv-prod:

• Ruolo: Utente dei segreti di Key Vault
• Ambito: Sottoscrizione
• Condizione:

@Resource[Microsoft.KeyVault/vaults:name] StringStartsWith 'kv-prod'

Comportamento:

• Consentito: accesso a kv-prod-1.
• Negato: accesso a test-kv.

Esempio: Limitare i segreti appena creati a un prefisso del nome

Consentire a un'entità di creare segreti solo quando il nome del segreto inizia con app-. Poiché il segreto non esiste ancora in fase di valutazione, usare l'attributo Request:

• Ruolo: Key Vault Secret Officer
• Ambito: risorsa dell'insieme di credenziali delle chiavi
• Condizione:

(
  !(ActionMatches{'Microsoft.KeyVault/vaults/secrets/setSecret/action'})
  OR
  (
    @Request[Microsoft.KeyVault/vaults/secrets:name] StringStartsWith 'app-'
  )
)

Esempio: Combinare le condizioni dell'insieme di credenziali e del nome del segreto

Limitare un'entità per leggere solo i segreti che iniziano con api- negli insiemi di credenziali i cui nomi iniziano con kv-prod:

• Ruolo: Utente dei segreti di Key Vault
• Ambito: Sottoscrizione
• Condizione:

(
  !(ActionMatches{'Microsoft.KeyVault/vaults/secrets/getSecret/action'})
  OR
  (
    @Resource[Microsoft.KeyVault/vaults:name] StringStartsWith 'kv-prod'
    AND
    @Resource[Microsoft.KeyVault/vaults/secrets:name] StringStartsWith 'api-'
  )
)

Contenuti correlati

• Aggiungere condizioni di assegnazione di ruolo per i segreti Key Vault usando interfaccia della riga di comando di Azure (anteprima)
• Aggiungere condizioni di assegnazione di ruolo per i segreti Key Vault usando Azure PowerShell (anteprima)
• Che cos'è il controllo degli accessi basato su attributi di Azure (Azure ABAC)?
• Formato e sintassi della condizione di assegnazione dei ruoli di Azure
• Fornire l'accesso a chiavi, certificati e segreti di Key Vault con Azure RBAC
• Risolvere i problemi relativi alle condizioni di assegnazione dei ruoli di Azure
• Risolvere i problemi di accesso a Key Vault
• Prepararsi per Key Vault API versione 2026-02-01 e successive