Ações e atributos para as condições ABAC do Azure Key Vault (pré-visualização)

Este artigo descreve as ações, atributos e operadores suportados que pode usar em condições de atribuição de papéis no Azure para o Azure Key Vault. Para uma visão geral de como funcionam as condições de atribuição de papéis, consulte O que é o controlo de acesso baseado em atributos no Azure (Azure ABAC). Para a lista de ações de dados do Key Vault afetadas por uma permissão específica, consulte o guia de operações do Azure RBAC for Key Vault data plane.

Overview

O Azure ABAC for Key Vault baseia-se no Azure RBAC adicionando condições às atribuições de papéis. O Azure avalia cada condição em tempo de execução em função dos atributos do recurso acedido ou do pedido recebido, e permite ou recusa o pedido com base nos operadores de comparação.

Os benefícios de utilizar condições de atribuição de funções para o Key Vault são:

• Acesso mais detalhado a segredos. Restringa um principal a segredos cujos nomes correspondam a um padrão específico (por exemplo, app-* ou team-prod-*), ou a cofres de chave específicos pelo nome do cofre.
• Menos atribuições de funções para gerir. Use uma única atribuição de funções restringida por condição para um grupo de segurança em vez de muitas atribuições individuais que modelam as mesmas permissões. O ABAC ajuda-te a escalar a gestão de funções – não concede permissões que uma atribuição de função já não conceda.
• Estende o Azure RBAC existente. ABAC sobrepõe-se às tuas funções já existentes. Não precisa de substituir o RBAC para o usar.

Nesta pré-visualização, o ABAC para Key Vault aplica-se apenas a ações de dados secretos e suporta dois atributos: o nome do cofre e o nome secreto. Ações de dados chave, ações de dados de certificado, atributos baseados em etiquetas, atributos de token e condições ABAC incorporadas do Key Vault em qualquer função não estão incluídas.

Para usar as condições ABAC, o modelo de permissões do cofre de chaves deve estar definido para Azure RBAC. Para contextualizar, consulte Azure RBAC vs. políticas de acesso e Prepare for Key Vault API versão 2026-02-01 e posteriores.

Formato da condição

As condições utilizam o seguinte formato geral:

@Resource[<ResourceType>:<AttributeName>] <Operator> '<Value>'

A versão da condição deve ser definida para 2.0. Para a gramática completa, veja Azure Role assignment condition format and syntax.

Operadores suportados

As condições ABAC do Azure Key Vault suportam todos os operadores de comparação de strings definidos no formato de condição Azure ABAC. Para a lista completa de operadores e o seu comportamento, veja Operadores de comparação de cordas.

Azure Key Vault actions

Pode aplicar condições ABAC às seguintes ações de dados secretos do Key Vault. Cada subsecção descreve a ação, a DataAction subjacente, a fonte do atributo que avalia (Recurso ou Pedido) e uma condição de exemplo.

Obtenha segredo

Leia metadados secretos

Definir segredo

Atualizar segredo

Excluir segredo

Segredo de backup

Restaurar segredo

Recuperar segredo

Segredo da purga

Fontes de atributos

Os atributos descrevem propriedades avaliadas no momento do pedido. Atributos de recurso descrevem o recurso a ser acedido. Os atributos do pedido descrevem o pedido recebido quando o recurso pode ainda não existir (por exemplo, durante setSecret ou restore).

Nome do Vault

Use este atributo para obter acesso a cofres-chave cujos nomes correspondam a um determinado padrão. Quando aplica uma condição no âmbito de subscrição ou grupo de recursos, o Azure avalia o nome do cofre para cada cofre que o principal tenta aceder.

Condições de exemplo:

@Resource[Microsoft.KeyVault/vaults:name] StringStartsWith 'prod-'
@Resource[Microsoft.KeyVault/vaults:name] StringEquals 'sample-vault'
@Resource[Microsoft.KeyVault/vaults:name] StringLike 'team-*-prod'

Nome secreto (Recurso)

Use este atributo quando o segredo já existir na altura da avaliação.

Condições de exemplo:

@Resource[Microsoft.KeyVault/vaults/secrets:name] StringStartsWith 'test-app'
@Resource[Microsoft.KeyVault/vaults/secrets:name] StringLike 'api-key-*'

Nome secreto (Pedido)

Use este atributo quando o segredo ainda não exista na altura da avaliação, como durante a criação ou restauração.

Condições de exemplo:

@Request[Microsoft.KeyVault/vaults/secrets:name] StringStartsWith 'app-'
@Request[Microsoft.KeyVault/vaults/secrets:name] StringLike 'config-*'

Funções que apoiam as condições ABAC

Podes aplicar condições ABAC a qualquer função que inclua o Key Vault secretdataActions. Funções que contêm apenas ações no plano de controlo (como Proprietário ou Administrador de Políticas) não suportam condições ABAC porque o Azure avalia as condições exclusivamente com base nas operações no plano de dados. Nesta pré-visualização, nenhum papel incorporado inclui uma condição ABAC pré-atribuída no Key Vault – você cria a condição ao criar a atribuição do papel.

Os seguintes papéis incorporados incluem ações secretas de dados e suporte a condições ABAC nesta pré-visualização. Para as definições completas de papéis e IDs, veja Azure built-in roles para operações no Key Vault data plane.

Exemplos de condição

Os exemplos seguintes mostram padrões ABAC comuns para segredos do Key Vault. Para mais informações sobre a sintaxe das condições, veja Azure role assignment condition format and syntax.

Exemplo: Restringir o acesso de leitura a segredos com prefixo de nome

Permitir que um principal leia apenas segredos cujos nomes começam com test-app:

• Função: Utilizador de Segredos do Key Vault
• Âmbito: Recurso do cofre-chave
• Condição:

(
  !(ActionMatches{'Microsoft.KeyVault/vaults/secrets/getSecret/action'})
  OR
  (
    @Resource[Microsoft.KeyVault/vaults/secrets:name] StringStartsWith 'test-app'
  )
)

Comportamento:

• Permitido: Leitura test-app-secret1.
• Negado (ForbiddenByRbac): Leitura test-db-password.

Exemplo: Restringir o acesso a segredos em cofres específicos pelo prefixo do nome do cofre

Permitir que um principal leia segredos apenas em cofres cujos nomes comecem por kv-prod:

• Função: Utilizador de Segredos do Key Vault
• Âmbito: Subscrição
• Condição:

@Resource[Microsoft.KeyVault/vaults:name] StringStartsWith 'kv-prod'

Comportamento:

• Permitido: Acesso a kv-prod-1.
• Negado: Acesso a test-kv.

Exemplo: Restringir segredos recém-criados a um prefixo de nome

Permitir que um principal crie segredos apenas quando o nome do segredo começar por app-. Como o segredo ainda não existe na altura da avaliação, use o atributo Request:

• Função: Oficial de Segredos Key Vault
• Âmbito: Recurso do cofre-chave
• Condição:

(
  !(ActionMatches{'Microsoft.KeyVault/vaults/secrets/setSecret/action'})
  OR
  (
    @Request[Microsoft.KeyVault/vaults/secrets:name] StringStartsWith 'app-'
  )
)

Exemplo: Combinar condições de cofre e nome secreto

Restringa um principal a ler apenas segredos que começam por api- em cofres cujos nomes começam por kv-prod:

• Função: Utilizador de Segredos do Key Vault
• Âmbito: Subscrição
• Condição:

(
  !(ActionMatches{'Microsoft.KeyVault/vaults/secrets/getSecret/action'})
  OR
  (
    @Resource[Microsoft.KeyVault/vaults:name] StringStartsWith 'kv-prod'
    AND
    @Resource[Microsoft.KeyVault/vaults/secrets:name] StringStartsWith 'api-'
  )
)

Conteúdo relacionado

• Adicionar condições de atribuição de funções para segredos do Key Vault usando CLI do Azure (pré-visualização)
• Adicionar condições de atribuição de role para Key Vault secrets usando Azure PowerShell (prévisualização)
• O que é o controle de acesso baseado em atributos do Azure (Azure ABAC)?
• Formato e sintaxe das condições de atribuição de funções do Azure
• Fornecer acesso às chaves, certificados e segredos do Key Vault com o Azure RBAC
• Solucionar problemas de condições de atribuição de função do Azure
• Resolver problemas de acesso ao Key Vault
• Prepare-se para a versão 2026-02-02-01 da API Key Vault e posteriores