Planeje Azure RBAC como o modelo de controle de acesso padrão no Key Vault

A API do Azure Key Vault versão 2026-02-01 e posteriores alteram o modelo de controle de acesso padrão para novos cofres para o Azure RBAC, em consonância com a experiência do portal do Azure. Tanto o Azure RBAC quanto as políticas de acesso permanecem totalmente suportados. A versão 2026-02-01 da API está disponível em regiões de Azure públicas, Azure operadas pela 21Vianet e Azure Governamental.

Este artigo se concentra no comportamento de controle de acesso para cofres de chaves novos e existentes. Para obter diretrizes sobre a desativação da API do painel de controle e como atualizar aplicativos, scripts, modelos, SDKs, CLI do Azure e Azure PowerShell, consulte Atualizar a versão da API Azure Key Vault que você usa.

Novo comportamento de criação de cofre de chaves: Quando você cria um novo cofre com a versão da API ou posterior, o modelo de controle de acesso padrão é Azure RBAC (2026-02-01). Esse padrão se aplica apenas à criação de operações. Para usar políticas de acesso para novos cofres, defina enableRbacAuthorization como false no momento da criação.
Comportamento do cofre de chaves existente: os cofres existentes mantêm o modelo de controle de acesso atual, a menos que você altere enableRbacAuthorizationexplicitamente. O uso da versão 2026-02-01 da API ou posterior para atualizar um cofre não altera automaticamente o controle de acesso. Os cofres de dados onde enableRbacAuthorization é null (de versões mais antigas da API) continuam a usar políticas de acesso.

Importante

Todas as versões da API do plano de controle do Key Vault anteriores a 2026-02-01 serão descontinuadas em 27 de fevereiro de 2027. Essa desativação é independente da migração do controle de acesso. Para obter a lista de verificação de atualização de versão da API, consulte Atualizar a versão da API Azure Key Vault que você usa.

Importante

Atualize para CLI do Azure 2.90.0 ou posterior ou Azure PowerShell 16.3.0 ou posterior, que dá suporte à API versão 2026-02-01 e posterior. O uso de versões de API anteriores a 2026-02-01 será suspenso após 27 de fevereiro de 2027.

Incentivamos você a migrar cofres de chaves que atualmente usam políticas de acesso para Azure RBAC para melhorar a segurança. Para obter mais informações sobre por que Azure RBAC é recomendado, consulte Azure controle de acesso baseado em função (Azure RBAC) versus políticas de acesso. Para obter diretrizes de migração passo a passo, consulte Migrar para Azure RBAC de políticas de acesso.

O que você precisa fazer

Se você já conhece o modelo de controle de acesso do cofre, vá para Determinar as próximas etapas. Caso contrário, verifique a configuração atual primeiro.

Use este artigo para decidir como o controle de acesso deve ser configurado:

Se você criar novos cofres com a versão 2026-02-01 da API ou posterior, decida se deseja usar o padrão RBAC do Azure ou definir explicitamente as políticas de acesso.
Se você atualizar os cofres existentes com a versão 2026-02-01 da API ou posterior, entenda que a atualização de versão da API não altera automaticamente o controle de acesso.
Se você quiser migrar cofres existentes de políticas de acesso para o Azure RBAC, use o guia de migração específico.

Importante

Para alterar a propriedade enableRbacAuthorization de um key vault, você deve ter a permissão Microsoft.KeyVault/vaults/write (incluída em funções como Colaborador e Proprietário). Além disso, o portal do Azure requer Microsoft.Authorization/roleAssignments/write (incluído em funções como Proprietário e Administrador de Acesso do Usuário) para garantir que você possa atribuir funções de RBAC do Key Vault após a alteração e evitar o bloqueio de conta. Para obter mais informações, consulte Habilitar permissões de RBAC do Azure no Key Vault.

Verificar sua configuração atual

Confira se a configuração de acesso do cofre está definida como RBAC do Azure ou políticas de acesso. Verifique essa configuração por meio dos comandos do CLI do Azure ou do PowerShell.

Depois de verificar sua configuração:

Se seus cofres usarem Azure RBAC (enableRbacAuthorization = true), acesse Cofres que usam Azure RBAC.
Se seus cofres usarem políticas de acesso (herdadas) (enableRbacAuthorization = false ou null), vá para Cofres que usam políticas de acesso.

Use o comando az keyvault show a fim de recuperar os detalhes do cofre:

az keyvault show --name <vault-name> --resource-group <resource-group>

Confira a propriedade Habilitado para Autorização RBAC (enableRbacAuthorization) do cofre de chaves.

Utilize o cmdlet Get-AzKeyVault para obter detalhes do cofre:

Get-AzKeyVault -ResourceGroupName $resourceGroupName -VaultName $keyVaultName

Confira a propriedade Habilitado para Autorização RBAC (enableRbacAuthorization) do cofre de chaves.

Verificar vários cofres por grupo de recursos

CLI do Azure
PowerShell

Use o comando az keyvault list a fim de listar todos os cofres em um grupo de recursos e conferir o status da autorização RBAC deles:

# List all key vaults in the resource group and check Azure RBAC status
az keyvault list --resource-group <resource-group> --query "[].{name:name, rbacEnabled:properties.enableRbacAuthorization}" --output table

Crie a seguinte função no PowerShell:

function Get-KeyVaultsFromResourceGroup {
    # Get all key vaults in the specified resource group (basic information)
    $keyVaults = Get-AzKeyVault -ResourceGroupName $resourceGroupName

    # Iterate through each key vault by name and fetch full properties
    foreach ($keyVault in $keyVaults) {
        $keyVaultName = $keyVault.VaultName

        # Get the full key vault properties
        $keyVaultDetails = Get-AzKeyVault -ResourceGroupName $resourceGroupName -VaultName $keyVaultName

        # Access the 'EnableRbacAuthorization' property
        $enabledForRbac = $keyVaultDetails.EnableRbacAuthorization

        # Output key vault status based on the 'EnableRbacAuthorization' property
        if ($enabledForRbac -eq $true) {
            Write-Output "${keyVaultName}: RBAC is enabled"
        } else {
            Write-Output "${keyVaultName}: Access Policies are enabled (enableRbacAuthorization is false or null)"
        }
    }
}

Nomeie o grupo de recursos para o qual você deseja executar sua função:
```
$resourceGroupName = "<resource-group>"
```
Chame a função Get-KeyVaultsFromResourceGroup a fim de ver quais cofres no grupo de recursos da etapa 2 têm as políticas de acesso contra aqueles que têm o recurso RBAC do Azure habilitado.

Verificar diversos cofres em sua assinatura

CLI do Azure
PowerShell

Use o comando az keyvault list a fim de listar todos os cofres na assinatura e conferir o status da autorização RBAC deles:

# List all key vaults in the subscription and check Azure RBAC status
az keyvault list --query "[].{name:name, rbacEnabled:properties.enableRbacAuthorization}" --output table

Crie a seguinte função no PowerShell:

function Get-KeyVaultsFromSubscription {
    # Get all key vaults in the subscription (basic information)
    $keyVaults = Get-AzKeyVault

    # Iterate through each key vault by name and fetch full properties
    foreach ($keyVault in $keyVaults) {
        $keyVaultName = $keyVault.VaultName
        $resourceGroupName = $keyVault.ResourceGroupName

        # Get the full key vault properties
        $keyVaultDetails = Get-AzKeyVault -ResourceGroupName $resourceGroupName -VaultName $keyVaultName

        # Access the 'EnableRbacAuthorization' property
        $enabledForRbac = $keyVaultDetails.EnableRbacAuthorization

        # Output key vault status based on the 'EnableRbacAuthorization' property
        if ($enabledForRbac -eq $true) {
            Write-Output "${keyVaultName}: RBAC is enabled"
        } else {
            Write-Output "${keyVaultName}: Access Policies are enabled (enableRbacAuthorization is false or null)"
        }
    }
}

Chame a função Get-KeyVaultsFromSubscription a fim de ver quais cofres na assinatura têm as políticas de acesso habilitadas contra o recurso RBAC do Azure. A função pode levar mais de 10 minutos para ser executada dependendo do número de cofres na assinatura.

Determinar suas próximas etapas

Com base no modelo de controle de acesso atual, siga as diretrizes apropriadas abaixo.

Manter as atualizações de versão da API separadas da migração de controle de acesso

Se seus aplicativos, scripts, modelos ou SDKs usarem uma versão da API do painel de controle antes2026-02-01, atualize-os independentemente de seus cofres de chaves usarem Azure RBAC ou políticas de acesso. Essa atualização de versão da API é separada da migração de políticas de acesso para Azure RBAC. Para obter diretrizes sobre como identificar e atualizar as versões de API usadas por seus aplicativos, scripts, modelos e SDKs, consulte Atualizar a versão da API Azure Key Vault que você usa.

Cofres que usam Azure RBAC

Se os cofres de chaves já usarem Azure RBAC, você não precisará alterar o controle de acesso. Os novos cofres de chaves criados com a versão 2026-02-01 da API ou posterior também usam Azure RBAC por padrão, a menos que você defina enableRbacAuthorization explicitamente como false.

Cofres que usam políticas de acesso

Se os cofres de chaves usarem políticas de acesso (herdadas) (enableRbacAuthorization = false ou null), decida se você deseja migrar para o acesso baseado em função (recomendado) ou continuar usando políticas de acesso. Para obter mais informações sobre modelos de controle de acesso, consulte Use Azure RBAC para gerenciar o acesso a Key Vault e Azure Key Vault práticas recomendadas.

Escolha seu caminho:

Azure RBAC (recomendado): Igrate para Azure RBAC para melhorar a segurança.
Políticas de acesso (herdadas): Continue usando políticas de acesso definindo enableRbacAuthorization como false ao criar novos cofres.

Migrar para Azure RBAC (recomendado)

Aproveite esta oportunidade para reforçar sua postura de segurança, migrando das políticas de acesso ao cofre para o RBAC do Azure. Para o procedimento de migração, consulte Migrar para o Azure RBAC a partir de políticas de acesso.

Continuar usando políticas de acesso

As políticas de acesso continuam sendo um modelo de controle de acesso totalmente suportado.

Cofres existentes: Os cofres que já usam políticas de acesso continuam usando políticas de acesso, a menos que você altere explicitamente enableRbacAuthorization
Novos cofres: Ao criar novos cofres com a versão 2026-02-01 da API ou posterior, você deve definir explicitamente enableRbacAuthorization como false para usar políticas de acesso, conforme descrito nas seções a seguir.

Escolha um dos seguintes métodos com base em seu cenário:

Usando templates ARM, Bicep, Terraform
Usando comandos de criação do Key Vault
Usando comandos de Criar Recurso

Usando modelos ARM, Bicep, Terraform

Quando for criar novos cofres de chaves usando a versão 2026-02-01 da API ou posterior, defina enableRbacAuthorization como false em todos os modelos do Key Vault ARM, Bicep, Terraform e nas chamadas à API REST para usar as políticas de acesso (legado).

Uso de comandos para Criar Cofre de Chaves

Ao criar novos cofres de chaves usando a versão 2026-02-01 da API ou posterior, é necessário especificar a configuração das políticas de acesso para evitar que o padrão seja o RBAC do Azure.

Atualize os módulos do CLI do Azure ou do PowerShell para a versão mais recente.

CLI do Azure
PowerShell

Atualize CLI do Azure para a versão mais recente. Para obter mais informações, consulte Como atualizar o CLI do Azure.

Use o comando apropriado para criar um cofre de chaves com políticas de acesso:

CLI do Azure
PowerShell

Use o comando az keyvault create e defina --enable-rbac-authorization false:

az keyvault create --name "testCreateTutorial" --resource-group "testResourceGroup" --enable-rbac-authorization false

Use o cmdlet New-AzKeyVault e defina -DisableRbacAuthorization:

New-AzKeyVault -Name "testCreateTutorial" -ResourceGroupName "testResourceGroup" -Location "EastUS" -DisableRbacAuthorization

Usando os comandos de Criar Recurso

Ao criar novos cofres de chaves usando a API versão 2026-02-01 ou posterior, defina enableRbacAuthorization para false, para usar políticas de acesso (legado). Se você não especificar essa propriedade, o padrão será true (Azure RBAC).

CLI do Azure
PowerShell

Use o comando az resource create e configure "enableRbacAuthorization": false e --api-version "2026-02-01":

az resource create --resource-group $resourceGroup --name $vaultName --resource-type "Microsoft.KeyVault/vaults" --location $location --api-version "2026-02-01" --properties "{\"sku\": { \"family\": \"A\", \"name\": \"standard\" }, \"tenantId\": \"$tenantID\",\"enableRbacAuthorization\": false, \"accessPolicies\": []}"

Use o cmdlet New-AzResource e defina enableRbacAuthorization = $false e -ApiVersion "2026-02-01":

New-AzResource `
    -ResourceGroupName $resourceGroupName `
    -ResourceType "Microsoft.KeyVault/vaults" `
    -ResourceName $keyVaultName `
    -Location $location `
    -ApiVersion "2026-02-01" `
    -Properties @{
        sku = @{ family = "A"; name = "standard" }
        tenantId = $TenantId
        enableRbacAuthorization = $false
        accessPolicies = @()}

Próximas etapas

Comentários

Esta página foi útil?

Última atualização em 2026-09-18

Planeje Azure RBAC como o modelo de controle de acesso padrão no Key Vault

O que você precisa fazer

Verificar sua configuração atual

Verificar um único cofre

Verificar vários cofres por grupo de recursos

Verificar diversos cofres em sua assinatura

Determinar suas próximas etapas

Manter as atualizações de versão da API separadas da migração de controle de acesso

Cofres que usam Azure RBAC

Cofres que usam políticas de acesso

Migrar para Azure RBAC (recomendado)

Continuar usando políticas de acesso

Usando modelos ARM, Bicep, Terraform

Uso de comandos para Criar Cofre de Chaves

Usando os comandos de Criar Recurso

Próximas etapas

Comentários

Recursos adicionais