Acties en kenmerken voor Azure Key Vault ABAC-voorwaarden (preview)

In dit artikel worden de ondersteunde acties, kenmerken en operators beschreven die u kunt gebruiken in voorwaarden voor Azure roltoewijzingen voor Azure Key Vault. Zie Wat is Azure op kenmerken gebaseerd toegangsbeheer (Azure ABAC)) voor een overzicht van hoe voorwaarden voor roltoewijzing werken. Zie de Azure RBAC voor Key Vault bewerkingshandleiding voor gegevensvlakken voor de lijst met Key Vault gegevensacties die van invloed zijn op een specifieke machtiging.

Overview

Azure ABAC voor Key Vault bouwt voort op Azure RBAC door voorwaarden toe te voegen aan roltoewijzingen. Azure evalueert elke voorwaarde tijdens runtime op basis van de kenmerken van de resource die wordt geopend of de binnenkomende aanvraag, en staat de aanvraag toe of weigert deze op basis van vergelijkingsoperators.

De voordelen van het gebruik van voorwaarden voor roltoewijzing voor Key Vault zijn:

• Verfijnde toegang tot geheimen. Beperk een principal tot geheimen waarvan de namen overeenkomen met een specifiek patroon (bijvoorbeeld app-* of team-prod-*) of aan specifieke sleutelkluizen op kluisnaam.
• Minder roltoewijzingen om te beheren. Gebruik één voorwaardegebonden roltoewijzing voor een beveiligingsgroep in plaats van veel afzonderlijke toewijzingen die dezelfde machtigingen modelleren. ABAC helpt u bij het schalen van rolbeheer. Het verleent geen machtigingen die een roltoewijzing nog niet verleent.
• Breidt bestaande Azure RBAC uit. ABAC-lagen boven op uw bestaande roltoewijzingen. U hoeft RBAC niet te vervangen om deze te gebruiken.

In deze preview is ABAC voor Key Vault alleen van toepassing op geheime gegevensacties en ondersteunt twee kenmerken: de kluisnaam en de geheime naam. Belangrijke gegevensacties, certificaatgegevensacties, kenmerken op basis van tags, tokenkenmerken en ingebouwde Key Vault ABAC-voorwaarden voor een rol zijn niet opgenomen.

Als u ABAC-voorwaarden wilt gebruiken, moet het machtigingsmodel van de sleutelkluis worden ingesteld op Azure RBAC. Zie voor achtergrond Azure RBAC versus toegangsbeleid en Voorbereiden op Key Vault API-versie 2026-02-01 en hoger.

Opmaak van voorwaarde

Voorwaarden gebruiken de volgende algemene indeling:

@Resource[<ResourceType>:<AttributeName>] <Operator> '<Value>'

De voorwaardeversie moet worden ingesteld op 2.0. Zie Azure indeling en syntaxis voor de voorwaarde voor roltoewijzingen voor de volledige grammatica.

Ondersteunde operators

Azure Key Vault ABAC-voorwaarden ondersteunen alle tekenreeksvergelijkingsoperatoren die zijn gedefinieerd in de indeling van de ABAC-voorwaarde Azure. Zie Vergelijkingsoperatoren voor tekenreeksen voor de volledige lijst met operators en hun gedrag.

Azure Key Vault acties

U kunt ABAC-voorwaarden toepassen op de volgende Key Vault geheime gegevensacties. Elke subsectie beschrijft de actie, de onderliggende DataAction, de kenmerkbron die wordt geëvalueerd (resource of aanvraag) en een voorbeeldvoorwaarde.

Geheim ophalen

Geheime metagegevens lezen

Geheim instellen

Geheim bijwerken

Geheim verwijderen

Back-upgeheim

Geheim herstellen

Geheim herstellen

Geheim leegmaken

Kenmerkbronnen

Kenmerken beschrijven eigenschappen die op aanvraag zijn geëvalueerd. Resourcekenmerken beschrijven de resource die wordt geopend. Aanvraagkenmerken beschrijven de binnenkomende aanvraag wanneer de resource mogelijk nog niet bestaat (bijvoorbeeld tijdens setSecret of restore).

Kluisnaam

Gebruik dit kenmerk om toegang te krijgen tot sleutelkluizen waarvan de namen overeenkomen met een bepaald patroon. Wanneer u een voorwaarde toepast op abonnements- of resourcegroepsbereik, evalueert Azure de kluisnaam voor elke kluis waartoe de principal toegang probeert te krijgen.

Voorbeeldvoorwaarden:

@Resource[Microsoft.KeyVault/vaults:name] StringStartsWith 'prod-'
@Resource[Microsoft.KeyVault/vaults:name] StringEquals 'sample-vault'
@Resource[Microsoft.KeyVault/vaults:name] StringLike 'team-*-prod'

Geheime naam (resource)

Gebruik dit kenmerk wanneer het geheim al bestaat tijdens de evaluatie.

Voorbeeldvoorwaarden:

@Resource[Microsoft.KeyVault/vaults/secrets:name] StringStartsWith 'test-app'
@Resource[Microsoft.KeyVault/vaults/secrets:name] StringLike 'api-key-*'

Geheime naam (aanvraag)

Gebruik dit kenmerk wanneer het geheim mogelijk nog niet bestaat tijdens de evaluatie, zoals tijdens het maken of herstellen.

Voorbeeldvoorwaarden:

@Request[Microsoft.KeyVault/vaults/secrets:name] StringStartsWith 'app-'
@Request[Microsoft.KeyVault/vaults/secrets:name] StringLike 'config-*'

Rollen die ABAC-voorwaarden ondersteunen

U kunt ABAC-voorwaarden toepassen op elke rol die Key Vault geheim dataActionsbevat. Rollen die alleen besturingsvlakacties (zoals Eigenaar of Beleidsbeheerder) bevatten, bieden geen ondersteuning voor ABAC-voorwaarden, omdat Azure voorwaarden exclusief evalueert voor bewerkingen op het gegevensvlak. In deze preview bevat geen ingebouwde rol een vooraf toegewezen Key Vault ABAC-voorwaarde: u ontwerpt de voorwaarde wanneer u de roltoewijzing maakt.

De volgende ingebouwde rollen omvatten geheime gegevensacties en ondersteunen ABAC-voorwaarden in deze preview. Zie Azure ingebouwde rollen voor Key Vault gegevensvlakbewerkingen voor de volledige roldefinities en id's.

Voorbeelden van voorwaarden

In de volgende voorbeelden ziet u algemene ABAC-patronen voor Key Vault geheimen. Zie Azure indeling en syntaxis voor roltoewijzingen voor meer informatie over de syntaxis van de voorwaarde.

Voorbeeld: Leestoegang tot geheimen beperken met een naamvoorvoegsel

Sta een principal toe om alleen geheimen te lezen waarvan de namen beginnen met test-app:

• Role: Key Vault Secrets Gebruiker
• Bereik: Key Vault-resource
• Voorwaarde:

(
  !(ActionMatches{'Microsoft.KeyVault/vaults/secrets/getSecret/action'})
  OR
  (
    @Resource[Microsoft.KeyVault/vaults/secrets:name] StringStartsWith 'test-app'
  )
)

Gedrag:

• Toegestaan: lezen test-app-secret1.
• Geweigerd (ForbiddenByRbac): Lezen test-db-password.

Voorbeeld: Toegang tot geheimen in specifieke kluizen beperken op naamvoorvoegsel van kluis

Sta een principal toe om geheimen alleen te lezen in kluizen waarvan de namen beginnen met kv-prod:

• Role: Key Vault Secrets Gebruiker
• Bereik: Abonnement
• Voorwaarde:

@Resource[Microsoft.KeyVault/vaults:name] StringStartsWith 'kv-prod'

Gedrag:

• Toegestaan: toegang tot kv-prod-1.
• Geweigerd: toegang tot test-kv.

Voorbeeld: Nieuw gemaakte geheimen beperken tot een naamvoorvoegsel

Sta een principal toe om alleen geheimen te maken wanneer de geheime naam begint met app-. Omdat het geheim nog niet bestaat tijdens de evaluatie, gebruikt u het kenmerk Aanvraag:

• Rol: Key Vault Geheimen officer
• Bereik: Key Vault-resource
• Voorwaarde:

(
  !(ActionMatches{'Microsoft.KeyVault/vaults/secrets/setSecret/action'})
  OR
  (
    @Request[Microsoft.KeyVault/vaults/secrets:name] StringStartsWith 'app-'
  )
)

Voorbeeld: Voorwaarden voor kluis- en geheime naam combineren

Beperk een principal tot alleen-lezen geheimen die beginnen in api- kluizen waarvan de namen beginnen met kv-prod:

• Role: Key Vault Secrets Gebruiker
• Bereik: Abonnement
• Voorwaarde:

(
  !(ActionMatches{'Microsoft.KeyVault/vaults/secrets/getSecret/action'})
  OR
  (
    @Resource[Microsoft.KeyVault/vaults:name] StringStartsWith 'kv-prod'
    AND
    @Resource[Microsoft.KeyVault/vaults/secrets:name] StringStartsWith 'api-'
  )
)

Verwante onderwerpen

• Voorwaarden voor roltoewijzing toevoegen voor Key Vault geheimen met behulp van Azure CLI (preview)
• Voorwaarden voor roltoewijzing toevoegen voor Key Vault geheimen met behulp van Azure PowerShell (preview)
• Wat is op kenmerken gebaseerd toegangsbeheer van Azure (Azure ABAC)?
• Indeling en syntaxis van voorwaarden voor Azure-roltoewijzing
• Toegang bieden tot Key Vault-sleutels, -certificaten en -geheimen met Azure RBAC
• Problemen met Azure-roltoewijzingsvoorwaarden oplossen
• Toegangsproblemen met Key Vault oplossen
• Voorbereiden op Key Vault API-versie 2026-02-01 en hoger