Ações e atributos para Azure Key Vault condições abac (versão prévia)

Este artigo descreve as ações, atributos e operadores com suporte que você pode usar em condições em Azure atribuições de função para Azure Key Vault. Para obter uma visão geral de como as condições de atribuição de função funcionam, consulte O que é Azure controle de acesso baseado em atributo (Azure ABAC)?. Para obter a lista de ações de dados Key Vault que uma permissão específica afeta, consulte o Azure guia de operações do RBAC para Key Vault plano de dados.

Visão geral

Azure ABAC para Key Vault se baseia em Azure RBAC adicionando condições a atribuições de função. Azure avalia cada condição em runtime em relação aos atributos do recurso que está sendo acessado ou à solicitação de entrada e permite ou nega a solicitação com base em operadores de comparação.

Os benefícios de usar condições de atribuição de função para Key Vault são:

• Acesso mais refinado a segredos. Restrinja uma entidade de segurança a segredos cujos nomes correspondem a um padrão específico (por exemplo, app-* ou team-prod-*), ou a cofres de chaves específicos pelo nome do cofre.
• Menos atribuições de função a serem gerenciadas. Use uma única atribuição de função fechada por condição para um grupo de segurança em vez de muitas atribuições individuais que modelam as mesmas permissões. O ABAC ajuda você a dimensionar o gerenciamento de funções– ele não concede permissões que uma atribuição de função ainda não concede.
• Estende o RBAC Azure existente. Camadas ABAC sobre suas atribuições de função existentes. Você não precisa substituir o RBAC para usá-lo.

Nesta versão prévia, o ABAC para Key Vault se aplica apenas a ações de dados secretas e dá suporte a dois atributos: o nome do cofre e o nome do segredo. Ações de dados importantes, ações de dados de certificado, atributos baseados em marca, atributos de token e condições internas Key Vault ABAC em qualquer função não estão incluídas.

Para usar condições ABAC, o modelo de permissão do cofre de chaves deve ser definido como Azure RBAC. Para obter informações em segundo plano, consulte Azure rbac vs. políticas de acesso e preparar para Key Vault API versão 2026-02-01 e posterior.

Formato da condição

As condições usam o seguinte formato geral:

@Resource[<ResourceType>:<AttributeName>] <Operator> '<Value>'

A versão da condição deve ser definida como 2.0. Para obter a gramática completa, consulte Azure formato de condição de atribuição de função e sintaxe.

Operadores suportados

Azure Key Vault condições ABAC dão suporte a todos os operadores de comparação de cadeia de caracteres definidos no formato de condição ABAC Azure. Para obter a lista completa de operadores e seu comportamento, consulte operadores de comparação de cadeia de caracteres.

ações de Azure Key Vault

Você pode aplicar condições ABAC às seguintes ações de dados secretos Key Vault. Cada subseção descreve a ação, o DataAction subjacente, a fonte de atributo que ele avalia (Recurso ou Solicitação) e uma condição de exemplo.

Obter segredo

Ler metadados secretos

Definir segredo

Atualizar segredo

Excluir segredo

Segredo de backup

Restaurar segredo

Recuperar segredo

Limpar segredo

Fontes de atributo

Os atributos descrevem as propriedades avaliadas no momento da solicitação. Os atributos de recurso descrevem o recurso que está sendo acessado. Os atributos de solicitação descrevem a solicitação de entrada quando o recurso pode ainda não existir (por exemplo, durante setSecret ou restore).

Nome do cofre

Use esse atributo para definir o escopo do acesso a cofres de chaves cujos nomes correspondem a um determinado padrão. Quando você aplica uma condição no escopo da assinatura ou do grupo de recursos, Azure avalia o nome do cofre para cada cofre que a entidade de segurança tenta acessar.

Condições de exemplo:

@Resource[Microsoft.KeyVault/vaults:name] StringStartsWith 'prod-'
@Resource[Microsoft.KeyVault/vaults:name] StringEquals 'sample-vault'
@Resource[Microsoft.KeyVault/vaults:name] StringLike 'team-*-prod'

Nome do segredo (Recurso)

Use esse atributo quando o segredo já existir no momento da avaliação.

Condições de exemplo:

@Resource[Microsoft.KeyVault/vaults/secrets:name] StringStartsWith 'test-app'
@Resource[Microsoft.KeyVault/vaults/secrets:name] StringLike 'api-key-*'

Nome do segredo (Solicitação)

Use esse atributo quando o segredo ainda não existir no momento da avaliação, como durante a criação ou restauração.

Condições de exemplo:

@Request[Microsoft.KeyVault/vaults/secrets:name] StringStartsWith 'app-'
@Request[Microsoft.KeyVault/vaults/secrets:name] StringLike 'config-*'

Funções que dão suporte a condições abac

Você pode aplicar condições ABAC a qualquer função que inclua Key Vault segredodataActions. As funções que contêm apenas ações do plano de controle (como Proprietário ou Administrador de Política) não dão suporte a condições abac porque Azure avalia as condições exclusivamente em operações de plano de dados. Nesta versão prévia, nenhuma função interna inclui uma condição ABAC de Key Vault pré-atribuída– você cria a condição ao criar a atribuição de função.

As funções internas a seguir incluem ações de dados secretos e dão suporte a condições ABAC nesta versão prévia. Para obter as definições de função e as IDs completas, consulte Azure funções internas para operações de plano de dados Key Vault.

Exemplos de condição

Os exemplos a seguir mostram padrões ABAC comuns para segredos Key Vault. Para obter mais informações sobre a sintaxe de condição, consulte Azure formato e sintaxe da condição de atribuição de função.

Exemplo: restringir o acesso de leitura a segredos com um prefixo de nome

Permitir que uma entidade de segurança leia somente os segredos cujos nomes começam com test-app:

• Função: Usuário de Segredos do Key Vault
• Escopo: recurso do cofre de chaves
• Condição:

(
  !(ActionMatches{'Microsoft.KeyVault/vaults/secrets/getSecret/action'})
  OR
  (
    @Resource[Microsoft.KeyVault/vaults/secrets:name] StringStartsWith 'test-app'
  )
)

Comportamento:

• Permitido: Leitura test-app-secret1.
• Negado (ForbiddenByRbac): Leitura test-db-password.

Exemplo: restringir o acesso a segredos em cofres específicos por prefixo de nome do cofre

Permitir que uma entidade de segurança leia segredos somente em cofres cujos nomes começam com kv-prod:

• Função: Usuário de Segredos do Key Vault
• Escopo: Assinatura
• Condição:

@Resource[Microsoft.KeyVault/vaults:name] StringStartsWith 'kv-prod'

Comportamento:

• Permitido: acesso a kv-prod-1.
• Negado: Acesso a test-kv.

Exemplo: restringir segredos recém-criados a um prefixo de nome

Permitir que uma entidade de segurança crie segredos somente quando o nome do segredo começar com app-. Como o segredo ainda não existe no momento da avaliação, use o atributo Request:

• Função: Oficial de Segredos do Key Vault
• Escopo: recurso do cofre de chaves
• Condição:

(
  !(ActionMatches{'Microsoft.KeyVault/vaults/secrets/setSecret/action'})
  OR
  (
    @Request[Microsoft.KeyVault/vaults/secrets:name] StringStartsWith 'app-'
  )
)

Exemplo: combinar condições de nome de cofre e segredo

Restrinja uma entidade de segurança para ler somente os segredos que começam em api- cofres cujos nomes começam com kv-prod:

• Função: Usuário de Segredos do Key Vault
• Escopo: Assinatura
• Condição:

(
  !(ActionMatches{'Microsoft.KeyVault/vaults/secrets/getSecret/action'})
  OR
  (
    @Resource[Microsoft.KeyVault/vaults:name] StringStartsWith 'kv-prod'
    AND
    @Resource[Microsoft.KeyVault/vaults/secrets:name] StringStartsWith 'api-'
  )
)

Conteúdo relacionado

• Adicionar condições de atribuição de função para Key Vault segredos usando CLI do Azure (versão prévia)
• Adicionar condições de atribuição de função para Key Vault segredos usando Azure PowerShell (versão prévia)
• O que é o ABAC do Azure (controle de acesso baseado em atributo do Azure)?
• Sintaxe e formato da condição de atribuição de função do Azure
• Fornecer acesso a chaves, certificados e segredos do Key Vault com o RBAC do Azure
• Solucionar problemas de condições de atribuição de função do Azure
• Solucionar problemas de acesso ao Key Vault
• Preparar para Key Vault API versão 2026-02-01 e posterior