Pianificare Azure RBAC come modello di controllo di accesso predefinito in Key Vault

L'API Azure Key Vault versione 2026-02-01 e successive modifica il modello di controllo di accesso predefinito per i nuovi insiemi di credenziali in Controllo degli accessi in base al ruolo di Azure RBAC, in modo coerente con l'esperienza del portale di Azure. Sia il Controllo degli accessi in base al ruolo di Azure che i criteri di accesso restano completamente supportati. La versione 2026-02-01 dell'API è disponibile nelle aree Azure pubbliche, Azure gestite da 21Vianet e Azure per enti pubblici.

Questo articolo è incentrato sul comportamento di controllo di accesso per insiemi di credenziali delle chiavi nuovi ed esistenti. Per indicazioni sul ritiro dell'API del piano di controllo e su come aggiornare applicazioni, script, modelli, SDK, interfaccia della riga di comando di Azure e Azure PowerShell, vedere Aggiornare la versione dell'API Azure Key Vault usata.

Nuovo comportamento di creazione della Key Vault: Quando si crea un nuovo Key Vault con versione API 2026-02-01 o versione successiva, il modello di controllo di accesso predefinito è RBAC di Azure (enableRbacAuthorization = true). Questa impostazione predefinita si applica solo alle operazioni di creazione . Per usare i criteri di accesso per i nuovi insiemi di credenziali, impostare enableRbacAuthorization su false al momento della creazione.
Comportamento degli insiemi di chiavi esistenti: Gli insiemi di chiavi esistenti mantengono il modello di controllo di accesso corrente, a meno che non si modifichi enableRbacAuthorization in modo esplicito. L'uso della versione API 2026-02-01 o successiva per aggiornare un insieme di credenziali non modifica automaticamente il controllo di accesso. Gli insiemi di credenziali in cui enableRbacAuthorization è null (da versioni precedenti dell'API) continuano a utilizzare i criteri di accesso.

Importante

Tutte le versioni dell'API del piano di controllo di Key Vault precedenti a 2026-02-01 saranno ritirate il 27 febbraio 2027. Questo ritiro è separato dalla migrazione del controllo di accesso. Per l'elenco di controllo dell'aggiornamento della versione dell'API, vedere Aggiornare la versione dell'API Azure Key Vault usata.

Importante

Eseguire l'aggiornamento a interfaccia della riga di comando di Azure 2.90.0 o versione successiva o Azure PowerShell 16.3.0 o versione successiva, che supportano l'API versione 2026-02-01 e successive. L'uso delle versioni api precedenti al 2026-02-01 verrà sospeso dopo il 27 febbraio 2027.

È consigliabile eseguire la migrazione degli insiemi di credenziali che attualmente usano i criteri di accesso al Controllo degli accessi in base al ruolo di Azure per migliorare la sicurezza. Per ulteriori informazioni sui motivi per cui il controllo degli accessi in base al ruolo di Azure è consigliato, vedere Controllo degli accessi in base al ruolo di Azure (Azure RBAC) rispetto ai criteri di accesso. Per una guida dettagliata passo passo alla migrazione, vedere Eseguire la migrazione ad Azure RBAC dai criteri di accesso.

Cosa devi fare

Se si conosce già il modello di controllo di accesso del vault, passare a determinare i passaggi successivi. In caso contrario, controllare prima la configurazione corrente .

Usare questo articolo per decidere come configurare il controllo di accesso:

Se si creano nuovi vault con la versione dell'API 2026-02-01 o successiva, scegliere se accettare il valore predefinito di Azure RBAC o definire esplicitamente i criteri di accesso.
Se si aggiornano insiemi di credenziali esistenti con la versione 2026-02-01 dell'API o versioni successive, tenere presente che l'aggiornamento della versione dell'API non modifica automaticamente il controllo di accesso.
Per eseguire la migrazione degli insiemi di credenziali esistenti dai criteri di accesso al controllo degli accessi in base al ruolo di Azure (Azure RBAC), usa l'apposita guida alla migrazione.

Importante

Per modificare la proprietà enableRbacAuthorization per un vault di chiavi, è necessario disporre dell'autorizzazione Microsoft.KeyVault/vaults/write (inclusa nei ruoli come Collaboratore e Proprietario). Il portale di Azure richiede inoltre Microsoft.Authorization/roleAssignments/write (inclusi nei ruoli come Proprietario e Amministratore accesso utenti) per garantire che tu possa assegnare i ruoli RBAC di Key Vault dopo la modifica ed evitare di rimanere bloccato. Per ulteriori informazioni, vedere Abilitare le autorizzazioni Azure RBAC su Key Vault.

Controllare la configurazione corrente

Controllare se la configurazione di accesso all'insieme di credenziali delle chiavi è impostata sul controllo degli accessi in base al ruolo di Azure o su criteri di accesso. Controllare questa configurazione tramite i comandi di interfaccia della riga di comando di Azure o PowerShell.

Dopo aver controllato la configurazione:

Se gli insiemi di credenziali usano RBAC di Azure (enableRbacAuthorization = true), passare a insiemi di credenziali che usano RBAC di Azure.
Se gli insiemi di credenziali usano criteri di accesso (legacy) (enableRbacAuthorization = false o null), passare a Insiemi di credenziali che usano criteri di accesso.

Controllare un singolo insieme di credenziali

interfaccia della riga di comando di Azure
PowerShell

Usare il comando az keyvault show per recuperare i dettagli del key vault:

az keyvault show --name <vault-name> --resource-group <resource-group>

Controllare la proprietà Abilitato per l'autorizzazione di controllo degli accessi in base al ruolo (enableRbacAuthorization) per l'insieme di credenziali delle chiavi.

Usare il cmdlet Get-AzKeyVault per ottenere dettagli del vault:

Get-AzKeyVault -ResourceGroupName $resourceGroupName -VaultName $keyVaultName

Controllare la proprietà Abilitato per l'autorizzazione di controllo degli accessi in base al ruolo (enableRbacAuthorization) per l'insieme di credenziali delle chiavi.

Controllare più insiemi di credenziali per gruppo di risorse

interfaccia della riga di comando di Azure
PowerShell

Usare il comando az keyvault list per elencare tutti i Key Vault in un gruppo di risorse e controllare lo stato di autorizzazione RBAC:

# List all key vaults in the resource group and check Azure RBAC status
az keyvault list --resource-group <resource-group> --query "[].{name:name, rbacEnabled:properties.enableRbacAuthorization}" --output table

Creare la funzione seguente in PowerShell:

function Get-KeyVaultsFromResourceGroup {
    # Get all key vaults in the specified resource group (basic information)
    $keyVaults = Get-AzKeyVault -ResourceGroupName $resourceGroupName

    # Iterate through each key vault by name and fetch full properties
    foreach ($keyVault in $keyVaults) {
        $keyVaultName = $keyVault.VaultName

        # Get the full key vault properties
        $keyVaultDetails = Get-AzKeyVault -ResourceGroupName $resourceGroupName -VaultName $keyVaultName

        # Access the 'EnableRbacAuthorization' property
        $enabledForRbac = $keyVaultDetails.EnableRbacAuthorization

        # Output key vault status based on the 'EnableRbacAuthorization' property
        if ($enabledForRbac -eq $true) {
            Write-Output "${keyVaultName}: RBAC is enabled"
        } else {
            Write-Output "${keyVaultName}: Access Policies are enabled (enableRbacAuthorization is false or null)"
        }
    }
}

Assegnare al gruppo di risorse il nome per cui si vuole eseguire la funzione:
```
$resourceGroupName = "<resource-group>"
```
Chiamare la funzione Get-KeyVaultsFromResourceGroup per vedere per quali insiemi di credenziali nel gruppo di risorse del passaggio 2 sono abilitati i criteri di accesso e per quali è abilitato il controllo degli accessi in base al ruolo di Azure.

Controllare più insiemi di credenziali nella sottoscrizione

interfaccia della riga di comando di Azure
PowerShell

Usare il comando az keyvault list per elencare tutti i vault nella sottoscrizione e controllare il loro stato di autorizzazione RBAC:

# List all key vaults in the subscription and check Azure RBAC status
az keyvault list --query "[].{name:name, rbacEnabled:properties.enableRbacAuthorization}" --output table

Creare la funzione seguente in PowerShell:

function Get-KeyVaultsFromSubscription {
    # Get all key vaults in the subscription (basic information)
    $keyVaults = Get-AzKeyVault

    # Iterate through each key vault by name and fetch full properties
    foreach ($keyVault in $keyVaults) {
        $keyVaultName = $keyVault.VaultName
        $resourceGroupName = $keyVault.ResourceGroupName

        # Get the full key vault properties
        $keyVaultDetails = Get-AzKeyVault -ResourceGroupName $resourceGroupName -VaultName $keyVaultName

        # Access the 'EnableRbacAuthorization' property
        $enabledForRbac = $keyVaultDetails.EnableRbacAuthorization

        # Output key vault status based on the 'EnableRbacAuthorization' property
        if ($enabledForRbac -eq $true) {
            Write-Output "${keyVaultName}: RBAC is enabled"
        } else {
            Write-Output "${keyVaultName}: Access Policies are enabled (enableRbacAuthorization is false or null)"
        }
    }
}

Chiamare la funzione Get-KeyVaultsFromSubscription per vedere per quali insiemi di credenziali nella sottoscrizione sono abilitati i criteri di accesso rispetto al controllo degli accessi in base al ruolo di Azure. A seconda del numero di insiemi di credenziali nella sottoscrizione, l'esecuzione della funzione potrebbe richiedere più di 10 minuti.

Determinare i passaggi successivi

In base al modello di controllo di accesso corrente, seguire le indicazioni appropriate riportate di seguito.

Mantenere gli aggiornamenti della versione dell'API separati dalla migrazione del controllo di accesso

Se le applicazioni, gli script, i modelli o gli SDK usano una versione dell'API del piano di controllo precedente a 2026-02-01, aggiornateli indipendentemente dal fatto che i key vault usino Azure RBAC o criteri di accesso. Questo aggiornamento della versione dell'API è distinto dalla migrazione dai criteri di accesso ad Azure RBAC. Per indicazioni sull'identificazione e l'aggiornamento delle versioni api usate da applicazioni, script, modelli e SDK, vedere Aggiornare la versione dell'API Azure Key Vault usata.

Insiemi di credenziali che usano RBAC di Azure

Se gli insiemi di credenziali delle chiavi usano già RBAC di Azure, non è necessario modificare il controllo di accesso. I nuovi insiemi di credenziali delle chiavi creati con la versione dell'API 2026-02-01 o successiva usano anche Azure RBAC per impostazione predefinita, a meno che non si imposti esplicitamente enableRbacAuthorization su false.

Insiemi di credenziali che usano criteri di accesso

Se i Key Vault usano criteri di accesso (legacy) (enableRbacAuthorization = false o null), decidere se si desidera migrare all'accesso basato sui ruoli (scelta consigliata) o continuare a usare i criteri di accesso. Per altre informazioni sui modelli di controllo di accesso, vedere Use Azure RBAC for managing access to Key Vault and Azure Key Vault best practices.

Scegliere il percorso:

Azure controllo degli accessi in base al ruolo (scelta consigliata): Migrare a Azure controllo degli accessi in base al ruolo per una maggiore sicurezza.
Criteri di accesso (legacy): continuare a usare i criteri di accesso impostando enableRbacAuthorization su false quando si creano nuovi insiemi di credenziali.

Eseguire la migrazione ad Azure RBAC (consigliato)

Usare questa opportunità per migliorare la postura di sicurezza eseguendo la migrazione dai criteri di accesso dell'insieme di credenziali al Controllo degli accessi in base al ruolo di Azure. Per la procedura di migrazione, vedere Eseguire la migrazione al controllo degli accessi in base al ruolo di Azure dai criteri di accesso.

Continuare a usare i criteri di accesso

I criteri di accesso rimangono un modello di controllo di accesso completamente supportato.

Insiemi di credenziali esistenti: gli insiemi di credenziali che usano già i criteri di accesso continuano a usare i criteri di accesso, a meno che non lo si modifichi esplicitamente enableRbacAuthorization.
Nuovi insiemi di credenziali: quando si creano nuovi insiemi di credenziali con versione 2026-02-01 api o successiva, è necessario impostare enableRbacAuthorization in modo esplicito su false per usare i criteri di accesso, come descritto nelle sezioni seguenti.

Scegliere uno dei metodi seguenti in base allo scenario:

Utilizzare i modelli ARM, Bicep, Terraform
Utilizzo dei comandi Create Key Vault
Uso dei comandi Crea risorsa

Utilizzo di template ARM, Bicep, Terraform

Quando si creano nuovi insiemi di chiavi usando l'API versione 2026-02-01 o successiva, impostare enableRbacAuthorization su false in tutti i modelli ARM, Bicep, Terraform di Key Vault e nelle chiamate API REST per utilizzare le politiche di accesso (legacy).

Uso dei comandi Crea Key Vault

Quando si creano nuovi insiemi di credenziali delle chiavi con l'API versione 2026-02-01 o successiva, è necessario specificare la configurazione dei criteri di accesso per evitare di usare automaticamente il Controllo degli accessi in base al ruolo di Azure.

Aggiornare i moduli interfaccia della riga di comando di Azure o PowerShell alla versione più recente.

interfaccia della riga di comando di Azure
PowerShell

Aggiornare interfaccia della riga di comando di Azure alla versione più recente. Per altre informazioni, vedere Come aggiornare il interfaccia della riga di comando di Azure.

Usare il comando appropriato per creare un Key Vault con criteri di controllo degli accessi:

interfaccia della riga di comando di Azure
PowerShell

Usare il comando az keyvault create e impostare --enable-rbac-authorization false:

az keyvault create --name "testCreateTutorial" --resource-group "testResourceGroup" --enable-rbac-authorization false

Usare il cmdlet New-AzKeyVault e impostare -DisableRbacAuthorization:

New-AzKeyVault -Name "testCreateTutorial" -ResourceGroupName "testResourceGroup" -Location "EastUS" -DisableRbacAuthorization

Uso dei comandi Crea risorsa

Quando si creano nuovi insiemi di credenziali delle chiavi usando l'API versione 2026-02-01 o successiva, impostare enableRbacAuthorization su false per usare i criteri di accesso (legacy). Se non si specifica questa proprietà, l'impostazione predefinita è true (Controllo degli accessi in base al ruolo di Azure).

interfaccia della riga di comando di Azure
PowerShell

Usare il comando az resource create e impostare "enableRbacAuthorization": false e --api-version "2026-02-01":

az resource create --resource-group $resourceGroup --name $vaultName --resource-type "Microsoft.KeyVault/vaults" --location $location --api-version "2026-02-01" --properties "{\"sku\": { \"family\": \"A\", \"name\": \"standard\" }, \"tenantId\": \"$tenantID\",\"enableRbacAuthorization\": false, \"accessPolicies\": []}"

Usare il cmdlet New-AzResource e impostare enableRbacAuthorization = $false e -ApiVersion "2026-02-01":

New-AzResource `
    -ResourceGroupName $resourceGroupName `
    -ResourceType "Microsoft.KeyVault/vaults" `
    -ResourceName $keyVaultName `
    -Location $location `
    -ApiVersion "2026-02-01" `
    -Properties @{
        sku = @{ family = "A"; name = "standard" }
        tenantId = $TenantId
        enableRbacAuthorization = $false
        accessPolicies = @()}

Passaggi successivi

Commenti e suggerimenti

Questa pagina è stata utile?

Ultimo aggiornamento: 2026-09-18

Pianificare Azure RBAC come modello di controllo di accesso predefinito in Key Vault

Cosa devi fare

Controllare la configurazione corrente

Controllare un singolo insieme di credenziali

Controllare più insiemi di credenziali per gruppo di risorse

Controllare più insiemi di credenziali nella sottoscrizione

Determinare i passaggi successivi

Mantenere gli aggiornamenti della versione dell'API separati dalla migrazione del controllo di accesso

Insiemi di credenziali che usano RBAC di Azure

Insiemi di credenziali che usano criteri di accesso

Eseguire la migrazione ad Azure RBAC (consigliato)

Continuare a usare i criteri di accesso

Utilizzo di template ARM, Bicep, Terraform

Uso dei comandi Crea Key Vault

Uso dei comandi Crea risorsa

Passaggi successivi

Commenti e suggerimenti

Risorse aggiuntive