Azure Key Vault ABAC 条件のアクションと属性 (プレビュー)

この記事では、Azure Key Vaultのロールの割り当てAzure条件で使用できる、サポートされるアクション、属性、および演算子について説明します。 ロールの割り当て条件のしくみの概要については、「属性ベースのアクセス制御 (AZURE ABAC) Azureとは」を参照してください。 特定のアクセス許可が影響を受けるKey Vaultデータ アクションの一覧については、データ プレーン操作ガイドのAzure RBAC Key Vault参照してください。

概要

ロールの割り当てに条件を追加して、Azure RBAC 上に構築Key Vaultの ABAC をAzureします。 Azureは、実行時にアクセスされるリソースまたは受信要求の属性に対して各条件を評価し、比較演算子に基づいて要求を許可または拒否します。

Key Vaultにロールの割り当て条件を使用する利点は次のとおりです。

• シークレットへのきめ細かいアクセス。 プリンシパルを、名前が特定のパターン ( app-* や team-prod-*など) に一致するシークレットに制限するか、コンテナー名で特定のキー コンテナーに制限します。
• 管理するロールの割り当てが少なくなります。 同じアクセス許可をモデル化する多数の個別の割り当てではなく、セキュリティ グループに対して単一の条件ゲート ロールの割り当てを使用します。 ABAC は、ロール管理をスケーリングするのに役立ちます。ロールの割り当てでまだ付与されていないアクセス許可は付与されません。
• 既存のAzure RBAC を拡張します。 ABAC レイヤーは、既存のロールの割り当ての上に配置されます。 RBAC を使用するために RBAC を置き換える必要はありません。

このプレビューでは、Key Vaultの ABAC はシークレット データ アクションにのみ適用され、コンテナー名とシークレット名という 2 つの属性がサポートされています。 キー データ アクション、証明書データ アクション、タグベースの属性、トークン属性、および組み込みのKey Vault ABAC 条件は、どのロールにも含まれません。

ABAC 条件を使用するには、キー コンテナーのアクセス許可モデルを RBAC Azure設定する必要があります。 背景については、「AZURE RBAC とアクセス ポリシー」および「Key Vault API バージョン 2026-02-01 以降の準備」を参照してください。

条件の形式

条件には、次の一般的な形式が使用されます。

@Resource[<ResourceType>:<AttributeName>] <Operator> '<Value>'

条件バージョンは 2.0に設定する必要があります。 完全な文法については、ロールの割り当て条件Azure形式と構文に関するページを参照してください。

サポートされている演算子

ABAC 条件Azure Key Vault、Azure ABAC 条件形式で定義されているすべての文字列比較演算子がサポートされます。 演算子とその動作の完全な一覧については、「 文字列比較演算子」を参照してください。

Azure Key Vaultアクション

ABAC 条件は、次のKey Vaultシークレット データ アクションに適用できます。 各サブセクションでは、アクション、基になる DataAction、評価する属性ソース (リソースまたは要求)、および条件の例について説明します。

シークレットを取得する

シークレット メタデータの読み取り

シークレットを設定する

シークレットを更新する

シークレットを削除する

バックアップ シークレット

シークレットの復元

シークレットを回復する

シークレットの消去

属性ソース

属性は、要求時に評価されるプロパティを表します。 リソース属性は、アクセスされるリソースを表します。 要求属性は、リソースがまだ存在しない場合 (たとえば、 setSecret 中や restore中) に受信要求を記述します。

コンテナー名

この属性を使用して、名前が特定のパターンと一致するキー コンテナーへのアクセスのスコープを設定します。 サブスクリプションまたはリソース グループスコープで条件を適用すると、Azureは、プリンシパルがアクセスを試みるすべてのコンテナーのコンテナー名を評価します。

条件の例:

@Resource[Microsoft.KeyVault/vaults:name] StringStartsWith 'prod-'
@Resource[Microsoft.KeyVault/vaults:name] StringEquals 'sample-vault'
@Resource[Microsoft.KeyVault/vaults:name] StringLike 'team-*-prod'

シークレット名 (リソース)

この属性は、評価時にシークレットが既に存在する場合に使用します。

条件の例:

@Resource[Microsoft.KeyVault/vaults/secrets:name] StringStartsWith 'test-app'
@Resource[Microsoft.KeyVault/vaults/secrets:name] StringLike 'api-key-*'

シークレット名 (要求)

この属性は、作成時や復元中など、評価時にシークレットがまだ存在しない可能性がある場合に使用します。

条件の例:

@Request[Microsoft.KeyVault/vaults/secrets:name] StringStartsWith 'app-'
@Request[Microsoft.KeyVault/vaults/secrets:name] StringLike 'config-*'

ABAC 条件をサポートするロール

KEY VAULTシークレット dataActionsを含む任意のロールに ABAC 条件を適用できます。 コントロール プレーン アクション (所有者やポリシー管理者など) のみを含むロールでは、Azureはデータ プレーン操作でのみ条件を評価するため、ABAC 条件はサポートされません。 このプレビューでは、ABAC 条件Key Vault事前割り当て済みのロールは組み込みロールに含めず、ロールの割り当てを作成するときに条件を作成します。

次の組み込みロールには、シークレット データ アクションが含まれており、このプレビューでは ABAC 条件がサポートされています。 完全なロール定義と ID については、Key Vaultデータ プレーン操作の組み込みロールAzure参照してください。

条件の例

次の例は、Key Vault シークレットの一般的な ABAC パターンを示しています。 条件構文の詳細については、ロールの割り当て条件の形式と構文Azure参照してください。

例: 名前プレフィックスを持つシークレットへの読み取りアクセスを制限する

プリンシパルが、 test-appで始まる名前のシークレットのみを読み取ることを許可します。

• ロール: Key Vault シークレット ユーザー
• スコープ: Key Vault リソース
• 条件:

(
  !(ActionMatches{'Microsoft.KeyVault/vaults/secrets/getSecret/action'})
  OR
  (
    @Resource[Microsoft.KeyVault/vaults/secrets:name] StringStartsWith 'test-app'
  )
)

動作:

• 許可: test-app-secret1の読み取り。
• 拒否 (ForbiddenByRbac): test-db-passwordの読み取り。

例: コンテナー名プレフィックスによって特定のコンテナー内のシークレットへのアクセスを制限する

名前が kv-prod で始まるコンテナー内でのみ、プリンシパルにシークレットの読み取りを許可します。

• ロール: Key Vault シークレット ユーザー
• スコープ: サブスクリプション
• 条件:

@Resource[Microsoft.KeyVault/vaults:name] StringStartsWith 'kv-prod'

動作:

• 許可: kv-prod-1へのアクセス。
• 拒否: test-kvへのアクセス。

例: 新しく作成されたシークレットを名前プレフィックスに制限する

プリンシパルにシークレットの作成を許可するのは、シークレット名が app- で始まる場合のみです。 評価時にシークレットがまだ存在しないため、Request 属性を使用します。

• ロール: Key Vault シークレット オフィサー
• スコープ: Key Vault リソース
• 条件:

(
  !(ActionMatches{'Microsoft.KeyVault/vaults/secrets/setSecret/action'})
  OR
  (
    @Request[Microsoft.KeyVault/vaults/secrets:name] StringStartsWith 'app-'
  )
)

例: コンテナーとシークレット名の条件を結合する

名前が api- で始まるコンテナー内のkv-prodで始まるシークレットのみを読み取るプリンシパルを制限します。

• ロール: Key Vault シークレット ユーザー
• スコープ: サブスクリプション
• 条件:

(
  !(ActionMatches{'Microsoft.KeyVault/vaults/secrets/getSecret/action'})
  OR
  (
    @Resource[Microsoft.KeyVault/vaults:name] StringStartsWith 'kv-prod'
    AND
    @Resource[Microsoft.KeyVault/vaults/secrets:name] StringStartsWith 'api-'
  )
)

関連するコンテンツ

• Azure CLIを使用してKey Vault シークレットのロール割り当て条件を追加する (プレビュー)
• Azure PowerShellを使用してKey Vault シークレットのロール割り当て条件を追加する (プレビュー)
• Azure の属性ベースのアクセス制御 (Azure ABAC) とは何ですか?
• Azure のロールの割り当て条件の形式と構文
• Azure RBAC を使用して Key Vault のキー、証明書、シークレットへのアクセスを提供する
• Azure ロール割り当ての条件のトラブルシューティング
• Key Vault アクセスの問題のトラブルシューティング
• Key Vault API バージョン 2026-02-01 以降の準備