Akcje i atrybuty warunków Azure Key Vault ABAC (wersja zapoznawcza)

W tym artykule opisano obsługiwane akcje, atrybuty i operatory, których można używać w warunkach dotyczących przypisań ról Azure dla Azure Key Vault. Aby zapoznać się z omówieniem sposobu działania warunków przypisywania ról, zobacz Co to jest Azure kontrola dostępu oparta na atrybutach (Azure ABAC)?. Aby zapoznać się z listą akcji Key Vault danych, na które ma wpływ określone uprawnienie, zobacz przewodnik Azure RBAC dla Key Vault operacji płaszczyzny danych.

Overview

Azure abAC dla Key Vault opiera się na Azure kontroli dostępu opartej na rolach przez dodanie warunków do przypisań ról. Azure ocenia każdy warunek w czasie wykonywania względem atrybutów zasobu, do którego uzyskuje się dostęp, lub żądań przychodzących, oraz zezwala na żądanie lub odrzuca je na podstawie operatorów porównania.

Korzyści wynikające z używania warunków przypisania ról dla Key Vault to:

• Bardziej precyzyjny dostęp do wpisów tajnych. Ogranicz podmiot zabezpieczeń do wpisów tajnych, app-* których nazwy pasują do określonego wzorca (na przykład lub team-prod-*), lub do określonych magazynów kluczy według nazwy magazynu.
• Mniejsza liczba przypisań ról do zarządzania. Użyj pojedynczego przypisania roli z bramą warunku dla grupy zabezpieczeń zamiast wielu pojedynczych przypisań, które modeluje te same uprawnienia. Funkcja ABAC ułatwia skalowanie zarządzania rolami — nie udziela uprawnień, których przypisanie roli jeszcze nie udziela.
• Rozszerza istniejącą Azure kontrolę dostępu opartą na rolach. Warstwy ABAC na podstawie istniejących przypisań ról. Nie musisz zastępować kontroli dostępu opartej na rolach, aby jej używać.

W tej wersji zapoznawczej funkcja ABAC dla Key Vault ma zastosowanie tylko do akcji tajnych danych i obsługuje dwa atrybuty: nazwę magazynu i nazwę wpisu tajnego. Kluczowe akcje danych, akcje danych certyfikatu, atrybuty oparte na tagach, atrybuty tokenu i wbudowane Key Vault warunki ABAC dla żadnej roli nie są uwzględniane.

Aby można było używać warunków ABAC, model uprawnień magazynu kluczy musi być ustawiony na Azure kontroli dostępu opartej na rolach. Aby uzyskać podstawowe informacje, zobacz Azure RBAC a zasady dostępu i Przygotowanie do Key Vault API w wersji 2026-02-01 i nowszych.

Format warunkowy

Warunki używają następującego ogólnego formatu:

@Resource[<ResourceType>:<AttributeName>] <Operator> '<Value>'

Wersja warunku musi być ustawiona na 2.0. Aby uzyskać pełną gramatykę, zobacz Azure format i składnię warunku przypisania roli.

Obsługiwane operatory

Azure Key Vault warunki ABAC obsługują wszystkie operatory porównania ciągów zdefiniowane w Azure formacie warunku ABAC. Aby uzyskać pełną listę operatorów i ich zachowanie, zobacz Operatory porównania ciągów.

Azure Key Vault akcje

Warunki abAC można zastosować do następujących Key Vault tajnych akcji danych. Każda podsekcja opisuje akcję, podstawową akcję DataAction, źródło atrybutu, które ocenia (zasób lub żądanie) i przykładowy warunek.

Pobierz sekret

Odczytywanie metadanych wpisów tajnych

Ustawianie wpisu tajnego

Aktualizowanie wpisu tajnego

Usuń tajny

Wpis tajny kopii zapasowej

Przywracanie tajemnicy

Odzyskiwanie wpisu tajnego

Przeczyszczanie wpisu tajnego

Źródła atrybutów

Atrybuty opisują właściwości oceniane w momencie żądania. Atrybuty zasobów opisują używany zasób. Atrybuty żądania opisują żądanie przychodzące, gdy zasób może jeszcze nie istnieć (na przykład podczas setSecret lub restore).

Nazwa skarbca

Użyj tego atrybutu, aby ograniczyć zakres dostępu do magazynów kluczy, których nazwy pasują do danego wzorca. W przypadku zastosowania warunku w zakresie subskrypcji lub grupy zasobów Azure ocenia nazwę magazynu dla każdego magazynu, do którego podmiot zabezpieczeń próbuje uzyskać dostęp.

Przykładowe warunki:

@Resource[Microsoft.KeyVault/vaults:name] StringStartsWith 'prod-'
@Resource[Microsoft.KeyVault/vaults:name] StringEquals 'sample-vault'
@Resource[Microsoft.KeyVault/vaults:name] StringLike 'team-*-prod'

Nazwa wpisu tajnego (zasób)

Użyj tego atrybutu, gdy wpis tajny już istnieje w czasie oceny.

Przykładowe warunki:

@Resource[Microsoft.KeyVault/vaults/secrets:name] StringStartsWith 'test-app'
@Resource[Microsoft.KeyVault/vaults/secrets:name] StringLike 'api-key-*'

Nazwa wpisu tajnego (żądanie)

Użyj tego atrybutu, gdy wpis tajny może jeszcze nie istnieć w czasie oceny, na przykład podczas tworzenia lub przywracania.

Przykładowe warunki:

@Request[Microsoft.KeyVault/vaults/secrets:name] StringStartsWith 'app-'
@Request[Microsoft.KeyVault/vaults/secrets:name] StringLike 'config-*'

Role, które obsługują warunki ABAC

Warunki abAC można zastosować do dowolnej roli, która zawiera Key Vault wpis tajny dataActions. Role, które zawierają tylko akcje płaszczyzny sterowania (takie jak właściciel lub administrator zasad), nie obsługują warunków ABAC, ponieważ Azure ocenia warunki wyłącznie na operacjach płaszczyzny danych. W tej wersji zapoznawczej żadna wbudowana rola nie zawiera wstępnie przydzielonego Key Vault warunku ABAC — warunek jest tworzony podczas tworzenia przypisania roli.

Następujące wbudowane role obejmują akcje tajnych danych i obsługują warunki ABAC w tej wersji zapoznawczej. Aby zapoznać się z pełnymi definicjami ról i identyfikatorami, zobacz Azure wbudowane role dla operacji Key Vault płaszczyzny danych.

Przykłady warunków

W poniższych przykładach przedstawiono typowe wzorce ABAC dla Key Vault wpisów tajnych. Aby uzyskać więcej informacji na temat składni warunku, zobacz Azure format i składnię warunku przypisania roli.

Przykład: ograniczanie dostępu do odczytu do wpisów tajnych przy użyciu prefiksu nazwy

Zezwalaj podmiotowi zabezpieczeń na odczytywanie tylko wpisów tajnych, których nazwy zaczynają się od test-app:

• Role: użytkownik tajnych danych Key Vault
• Zakres: zasób magazynu kluczy
• Warunek:

(
  !(ActionMatches{'Microsoft.KeyVault/vaults/secrets/getSecret/action'})
  OR
  (
    @Resource[Microsoft.KeyVault/vaults/secrets:name] StringStartsWith 'test-app'
  )
)

Zachowanie:

• Dozwolone: odczyt test-app-secret1.
• Odmowa (ForbiddenByRbac): czytanie test-db-password.

Przykład: Ograniczanie dostępu do wpisów tajnych w określonych magazynach według prefiksu nazwy magazynu

Zezwalaj podmiotowi zabezpieczeń na odczytywanie wpisów tajnych tylko w magazynach, których nazwy zaczynają się od kv-prod:

• Role: użytkownik tajnych danych Key Vault
• Zakres: Subskrypcja
• Warunek:

@Resource[Microsoft.KeyVault/vaults:name] StringStartsWith 'kv-prod'

Zachowanie:

• Dozwolone: dostęp do kv-prod-1elementu .
• Odmowa: dostęp do test-kvelementu .

Przykład: Ograniczanie nowo utworzonych wpisów tajnych do prefiksu nazwy

Zezwalaj podmiotowi zabezpieczeń na tworzenie wpisów tajnych tylko wtedy, gdy nazwa wpisu tajnego zaczyna się od app-. Ponieważ wpis tajny jeszcze nie istnieje w czasie oceny, użyj atrybutu Request:

• Rola: Key Vault Secrets Officer
• Zakres: zasób magazynu kluczy
• Warunek:

(
  !(ActionMatches{'Microsoft.KeyVault/vaults/secrets/setSecret/action'})
  OR
  (
    @Request[Microsoft.KeyVault/vaults/secrets:name] StringStartsWith 'app-'
  )
)

Przykład: łączenie warunków nazwy magazynu i wpisu tajnego

Ogranicz podmiot zabezpieczeń do odczytu tylko wpisów tajnych rozpoczynających się od api- w magazynach, których nazwy zaczynają się od kv-prod:

• Role: użytkownik tajnych danych Key Vault
• Zakres: Subskrypcja
• Warunek:

(
  !(ActionMatches{'Microsoft.KeyVault/vaults/secrets/getSecret/action'})
  OR
  (
    @Resource[Microsoft.KeyVault/vaults:name] StringStartsWith 'kv-prod'
    AND
    @Resource[Microsoft.KeyVault/vaults/secrets:name] StringStartsWith 'api-'
  )
)

Treści powiązane

• Dodawanie warunków przypisania ról dla wpisów tajnych Key Vault przy użyciu Azure CLI (wersja zapoznawcza)
• Dodawanie warunków przypisywania ról dla wpisów tajnych Key Vault przy użyciu Azure PowerShell (wersja zapoznawcza)
• Co to jest kontrola dostępu oparta na atrybutach platformy Azure (Azure ABAC)?
• Format i składnia warunków przypisania roli platformy Azure
• Zapewnienie dostępu do kluczy, certyfikatów i sekretów w usłudze Key Vault za pomocą Azure RBAC
• Rozwiązywanie problemów z warunkami przypisywania ról platformy Azure
• Rozwiązywanie problemów z dostępem do usługi Key Vault
• Przygotowanie do Key Vault API w wersji 2026-02-01 lub nowszej