Kontrola dostępu do certyfikatu

Usługa Key Vault zarządza kontrolą dostępu dla certyfikatów na poziomie magazynu kluczy. Zasady kontroli dostępu dla certyfikatów różnią się od zasad kontroli dostępu dla kluczy i sekretów w tym samym magazynie kluczy. Można utworzyć jeden lub więcej magazynów do przechowywania certyfikatów, aby zachować segmentację odpowiednią dla scenariusza i zarządzanie certyfikatami.

Dostęp do magazynu kluczy jest kontrolowany za pomocą dwóch interfejsów: płaszczyzny sterowania i płaszczyzny danych. Obie płaszczyzny używają identyfikatora Entra firmy Microsoft do uwierzytelniania. W przypadku autoryzacji można użyć kontroli dostępu opartej na rolach platformy Azure (zalecanej) lub zasad dostępu usługi Key Vault (starsza wersja). Aby uzyskać więcej informacji na temat pojęć związanych z uwierzytelnianiem i autoryzacją, zobacz Uwierzytelnianie w usłudze Azure Key Vault.

Uprawnienia certyfikatu

Podczas konfigurowania certyfikatów używaj następujących uprawnień dla poszczególnych podmiotów. Te uprawnienia ściśle odzwierciedlają operacje dozwolone w obiekcie certyfikatu:

  • Uprawnienia do operacji zarządzania certyfikatami

    • get: Pobierz bieżącą wersję certyfikatu lub dowolną wersję certyfikatu
    • lista: Wyświetlanie listy bieżących certyfikatów lub wersji certyfikatu
    • update: Aktualizowanie certyfikatu
    • create: Tworzenie certyfikatu usługi Key Vault
    • import: Importowanie materiału certyfikatu do certyfikatu Key Vault
    • delete: Usuwanie certyfikatu, jego zasad i wszystkich jego wersji
    • odzyskiwanie: Odzyskiwanie usuniętego certyfikatu
    • kopia zapasowa: Utwórz kopię certyfikatu w magazynie kluczy
    • przywróć: Przywróć zapisany certyfikat do magazynu kluczy
    • managecontacts: Zarządzanie kontaktami certyfikatów usługi Key Vault
    • manageissuers: Zarządzanie urzędami certyfikacji/wystawcami usługi Key Vault
    • getissuers: Pobierz organy/wystawców certyfikatu
    • listissuers: Wyświetlanie listy urzędów/wystawców certyfikatu
    • setissuers: tworzenie lub aktualizowanie urzędów/wystawców certyfikatu usługi Key Vault
    • deleteissuers: Usuwanie urzędów/wystawców certyfikatu usługi Key Vault

  • Uprawnienia do operacji uprzywilejowanych

    • przeczyszczanie: Przeczyszczanie (trwałe usuwanie) usuniętego certyfikatu

Aby uzyskać więcej informacji, zobacz Operacje certyfikatów w dokumentacji interfejsu API REST usługi Key Vault.

Udzielanie dostępu do certyfikatów

Dostęp do certyfikatów można udzielić przy użyciu kontroli dostępu opartej na rolach (Role-Based Access Control) w usłudze Azure (zalecane) lub zasad dostępu w usłudze Key Vault (starsza wersja).

Kontrola dostępu oparta na rolach platformy Azure zapewnia centralne zarządzanie dostępem i umożliwia ustawianie uprawnień na różnych poziomach hierarchii. W przypadku operacji certyfikatów użyj jednej z następujących wbudowanych ról:

Role Description
Key Vault Administrator Wykonaj wszystkie operacje warstwy danych w magazynie kluczy i w wszystkich w nim obiektach.
Oficer certyfikatów usługi Key Vault Wykonaj dowolne akcje dotyczące certyfikatów magazynu kluczy, z wyjątkiem zarządzania uprawnieniami.
Użytkownik certyfikatu usługi Key Vault Odczytywanie całej zawartości certyfikatu, w tym części tajnej i klucza.
Czytelnik Key Vault Odczytywanie metadanych magazynów kluczy oraz ich certyfikatów, kluczy i tajemnic. Nie można odczytać wartości poufnych.

Aby uzyskać szczegółowe informacje na temat przypisywania ról, zobacz Zapewnianie dostępu do kluczy, certyfikatów i wpisów tajnych usługi Key Vault przy użyciu kontroli dostępu opartej na rolach platformy Azure.

Korzystanie z zasad dostępu (starsza wersja)

Aby przypisać zasady dostępu, zobacz Przypisywanie zasad dostępu usługi Key Vault. Aby uzyskać informacje na temat ustanawiania uprawnień przez interfejs API REST, zobacz Repozytoria — aktualizowanie zasad dostępu.

Troubleshoot

Może zostać wyświetlony błąd spowodowany brakującymi zasadami dostępu lub przypisaniem roli. Na przykład: Error type : Access denied or user is unauthorized to create certificate.

Aby rozwiązać ten błąd:

  • Jeśli używasz kontroli dostępu opartej na rolach platformy Azure, sprawdź, czy podmiot główny ma rolę z certificates/create uprawnieniami (takimi jak Key Vault Certificates Officer).
  • W przypadku korzystania z zasad dostępu, dodaj uprawnienie certificates/create do polityki dostępu.

Aby uzyskać więcej wskazówek dotyczących rozwiązywania problemów, zobacz Rozwiązywanie problemów z dostępem do usługi Azure Key Vault.

Dalsze kroki

  • Ostatnia aktualizacja o