Planera för Azure RBAC som standardmodell för åtkomstkontroll i Key Vault

Azure Key Vault API-versionen 2026-02-01 och senare ändrar standardmodellen för åtkomstkontroll för nya nyckelvalv till Azure RBAC, i enlighet med upplevelsen i Azure-portalen. Både Azure RBAC- och åtkomstprinciper stöds fortfarande fullt ut. API-versionen 2026-02-01 är tillgänglig i offentliga Azure regioner, Azure som drivs av 21Vianet och Azure Government.

Den här artikeln fokuserar på åtkomstkontrollbeteende för nya och befintliga nyckelvalv. Information om hur du tar bort API:et för kontrollplanet och hur du uppdaterar program, skript, mallar, SDK:er, Azure CLI och Azure PowerShell finns i Uppdatera den Azure Key Vault API-version som du använder.

Nyt beteende för att skapa nyckelvalv: När du skapar ett nytt valv med API-versionen 2026-02-01 eller senare är standardmodellen för åtkomstkontroll Azure RBAC (enableRbacAuthorization = true). Det här standardvärdet gäller endast för att skapa åtgärder. Om du vill använda åtkomstprinciper för nya valv anger du enableRbacAuthorization till false vid skapandetillfället.
Befintligt nyckelvalvsbeteende: Befintliga valv behåller sin aktuella åtkomstkontrollmodell om du inte uttryckligen ändrar enableRbacAuthorization. Om du använder API-versionen 2026-02-01 eller senare för att uppdatera ett valv ändras inte åtkomstkontrollen automatiskt. Valv där enableRbacAuthorization är null (från äldre API-versioner) fortsätter att använda åtkomstprinciper.

Viktigt!

Alla API-versioner av Key Vault-kontrollplans-API:et före 2026-02-01 dras tillbaka den 27 februari 2027. Den här tillbakadragningen är separat från migrering av åtkomstkontroll. Information om checklista för API-versionuppdatering finns i Uppdatera den Azure Key Vault API-version som du använder.

Viktigt!

Uppgradera till Azure CLI 2.90.0 eller senare eller Azure PowerShell 16.3.0 eller senare, som stöder API-version 2026-02-01 och senare. Användning av API-versioner tidigare än 2026-02-01 kommer att avbrytas efter den 27 februari 2027.

Vi uppmuntrar dig att migrera nyckelvalv som för närvarande använder åtkomstprinciper till Azure RBAC för förbättrad säkerhet. Mer information om varför Azure RBAC rekommenderas finns i Azure rollbaserad åtkomstkontroll (Azure RBAC) jämfört med åtkomstprinciper. Stegvisa migreringsvägledning finns i Migrera till Azure RBAC från åtkomstprinciper.

Vad du behöver göra

Om du redan känner till ditt valvs åtkomstkontrollmodell går du vidare till Bestäm nästa steg. Annars kontrollerar du den aktuella konfigurationen först.

Använd den här artikeln för att bestämma hur åtkomstkontroll ska konfigureras:

Om du skapar nya valv med API-version 2026-02-01 eller senare bestämmer du om du vill acceptera Azure RBAC-standard eller uttryckligen ange åtkomstprinciper.
Om du uppdaterar befintliga valv med API-version 2026-02-01 eller senare bör du förstå att API-versionsuppdateringen inte automatiskt ändrar åtkomstkontroll.
Om du vill migrera befintliga valv från åtkomstprinciper till Azure RBAC använder du den dedikerade migreringsguiden.

Viktigt!

Om du vill ändra egenskapen enableRbacAuthorization för ett nyckelvalv måste du ha behörigheten Microsoft.KeyVault/vaults/write (ingår i roller som Deltagare och Ägare). Azure-portalen kräver dessutom Microsoft.Authorization/roleAssignments/write (ingår i roller som Ägare och Administratör för användaråtkomst) för att säkerställa att du kan tilldela Key Vault RBAC-roller efter ändringen och undvika utelåsning. Mer information finns i Enable Azure RBAC-behörigheter för Key Vault.

Kontrollera din aktuella konfiguration

Kontrollera om valvets åtkomstkonfiguration är inställd på Azure RBAC- eller åtkomstprinciper. Kontrollera den här konfigurationen via kommandona Azure CLI eller PowerShell.

När du har kontrollerat konfigurationen:

Om dina valv använder Azure RBAC (enableRbacAuthorization = true) går du till Valv som använder Azure RBAC.
Om dina valv använder åtkomstprinciper (äldre) (enableRbacAuthorization = false eller null), går du till Valv som använder åtkomstprinciper.

Använd kommandot az keyvault show för att hämta valvinformation:

az keyvault show --name <vault-name> --resource-group <resource-group>

Kontrollera egenskapen Aktiverad för RBAC-auktorisering (enableRbacAuthorization) för nyckelvalvet.

Använd cmdleten Get-AzKeyVault för att hämta valvinformation:

Get-AzKeyVault -ResourceGroupName $resourceGroupName -VaultName $keyVaultName

Kontrollera egenskapen Aktiverad för RBAC-auktorisering (enableRbacAuthorization) för nyckelvalvet.

Kontrollera flera valv per resursgrupp

Azure CLI
PowerShell

Använd kommandot az keyvault list för att visa alla valv i en resursgrupp och kontrollera deras RBAC-auktoriseringsstatus:

# List all key vaults in the resource group and check Azure RBAC status
az keyvault list --resource-group <resource-group> --query "[].{name:name, rbacEnabled:properties.enableRbacAuthorization}" --output table

Skapa följande funktion i PowerShell:

function Get-KeyVaultsFromResourceGroup {
    # Get all key vaults in the specified resource group (basic information)
    $keyVaults = Get-AzKeyVault -ResourceGroupName $resourceGroupName

    # Iterate through each key vault by name and fetch full properties
    foreach ($keyVault in $keyVaults) {
        $keyVaultName = $keyVault.VaultName

        # Get the full key vault properties
        $keyVaultDetails = Get-AzKeyVault -ResourceGroupName $resourceGroupName -VaultName $keyVaultName

        # Access the 'EnableRbacAuthorization' property
        $enabledForRbac = $keyVaultDetails.EnableRbacAuthorization

        # Output key vault status based on the 'EnableRbacAuthorization' property
        if ($enabledForRbac -eq $true) {
            Write-Output "${keyVaultName}: RBAC is enabled"
        } else {
            Write-Output "${keyVaultName}: Access Policies are enabled (enableRbacAuthorization is false or null)"
        }
    }
}

Namnge den resursgrupp som du vill köra funktionen för:
```
$resourceGroupName = "<resource-group>"
```
Anropa funktionen Get-KeyVaultsFromResourceGroup för att se vilka valv i resursgruppen från steg 2 som har åtkomstprinciper jämfört med Azure RBAC aktiverat.

Kontrollera flera valv i din prenumeration

Azure CLI
PowerShell

Använd kommandot az keyvault list för att visa alla valv i din prenumeration och kontrollera deras RBAC-auktoriseringsstatus:

# List all key vaults in the subscription and check Azure RBAC status
az keyvault list --query "[].{name:name, rbacEnabled:properties.enableRbacAuthorization}" --output table

Skapa följande funktion i PowerShell:

function Get-KeyVaultsFromSubscription {
    # Get all key vaults in the subscription (basic information)
    $keyVaults = Get-AzKeyVault

    # Iterate through each key vault by name and fetch full properties
    foreach ($keyVault in $keyVaults) {
        $keyVaultName = $keyVault.VaultName
        $resourceGroupName = $keyVault.ResourceGroupName

        # Get the full key vault properties
        $keyVaultDetails = Get-AzKeyVault -ResourceGroupName $resourceGroupName -VaultName $keyVaultName

        # Access the 'EnableRbacAuthorization' property
        $enabledForRbac = $keyVaultDetails.EnableRbacAuthorization

        # Output key vault status based on the 'EnableRbacAuthorization' property
        if ($enabledForRbac -eq $true) {
            Write-Output "${keyVaultName}: RBAC is enabled"
        } else {
            Write-Output "${keyVaultName}: Access Policies are enabled (enableRbacAuthorization is false or null)"
        }
    }
}

Anropa funktionen Get-KeyVaultsFromSubscription för att se vilka valv i prenumerationen som har antingen åtkomstprinciper eller Azure RBAC aktiverat. Beroende på antalet valv i din prenumeration kan det ta mer än 10 minuter att köra funktionen.

Fastställ nästa steg

Följ lämplig vägledning nedan baserat på din aktuella åtkomstkontrollmodell.

Hålla UPPDATERINGAR av API-version åtskilda från migrering av åtkomstkontroll

Om dina program, skript, mallar eller SDK:er använder en API-version för kontrollplanet före 2026-02-01uppdaterar du dem oavsett om dina nyckelvalv använder Azure RBAC- eller åtkomstprinciper. Den här UPPDATERINGEN av API-versionen är skild från migrering från åtkomstprinciper till Azure RBAC. Information om hur du identifierar och uppdaterar DE API-versioner som används av dina program, skript, mallar och SDK:er finns i Uppdatera den Azure Key Vault API-version som du använder.

Valv som använder Azure RBAC

Om dina nyckelvalv redan använder Azure RBAC behöver du inte ändra åtkomstkontroll. Nya nyckelvalv som skapats med API-versionen 2026-02-01 eller senare använder också Azure RBAC som standard om du inte uttryckligen anger enableRbacAuthorization till false.

Valv som använder åtkomstprinciper

Om dina nyckelvalv använder åtkomstprinciper (äldre) (enableRbacAuthorization = false eller null), bestämmer du om du vill migrera till rollbaserad åtkomst (rekommenderas) eller fortsätta använda åtkomstprinciper. Mer information om åtkomstkontrollmodeller finns i Använd Azure RBAC för att hantera åtkomst till Key Vault och Azure Key Vault bästa praxis.

Välj sökväg:

Azure RBAC (rekommenderas): Migrera till Azure RBAC för bättre säkerhet.
Åtkomstprinciper (äldre): Fortsätt att använda åtkomstprinciper genom att ange enableRbacAuthorization till false när du skapar nya valv.

Migrera till Azure RBAC (rekommenderas)

Använd den här möjligheten för att öka din säkerhetsstatus genom att migrera från principer för valvåtkomst till Azure RBAC. Information om migreringsproceduren finns i Migrera till Azure RBAC från åtkomstprinciper.

Fortsätt använda åtkomstprinciper

Åtkomstprinciper är fortfarande en åtkomstkontrollmodell som stöds fullt ut.

Befintliga valv: Valv som redan använder åtkomstprinciper fortsätter att använda åtkomstprinciper om du inte uttryckligen ändrar enableRbacAuthorization.
Nya nyckelvalv: När du skapar nya nyckelvalv med API-version 2026-02-01 eller senare, måste du uttryckligen ställa in enableRbacAuthorization på false för att använda åtkomstprinciper, så som beskrivs i följande avsnitt.

Välj någon av följande metoder baserat på ditt scenario:

Använda ARM, Bicep, Terraform-mallar
Använda kommandon för att skapa Key Vault
Använda kommandot Skapa resurs

Använda ARM-, Bicep- och Terraform-mallar

När du skapar nya nyckelvalv med hjälp av API-version 2026-02-01 eller senare anger du enableRbacAuthorization till false i alla Key Vault ARM, Bicep, Terraform-mallar och REST API anrop för att använda åtkomstprinciper (äldre).

Använda kommandon för att skapa Key Vault

När du skapar nya nyckelvalv med hjälp av API-version 2026-02-01 eller senare måste du ange konfiguration av åtkomstprinciper för att undvika att Azure RBAC blir standard.

Uppdatera Azure CLI- eller PowerShell-modulerna till den senaste versionen.

Azure CLI
PowerShell

Uppdatera Azure CLI till den senaste versionen. Mer information finns i Så här uppdaterar du Azure CLI.

Använd lämpligt kommando för att skapa ett nyckelvalv med åtkomstprinciper:

Azure CLI
PowerShell

Använd kommandot az keyvault create och ange --enable-rbac-authorization false:

az keyvault create --name "testCreateTutorial" --resource-group "testResourceGroup" --enable-rbac-authorization false

Använd cmdleten New-AzKeyVault och ange -DisableRbacAuthorization:

New-AzKeyVault -Name "testCreateTutorial" -ResourceGroupName "testResourceGroup" -Location "EastUS" -DisableRbacAuthorization

Använda kommandot Skapa resurs

När du skapar nya nyckelvalv med hjälp av API-version 2026-02-01 eller senare, ställ in enableRbacAuthorization på false för att använda legacy åtkomstprinciper. Om du inte anger den här egenskapen är den som standard true (Azure RBAC).

Azure CLI
PowerShell

Använd kommandot az resource create och ange "enableRbacAuthorization": false och --api-version "2026-02-01":

az resource create --resource-group $resourceGroup --name $vaultName --resource-type "Microsoft.KeyVault/vaults" --location $location --api-version "2026-02-01" --properties "{\"sku\": { \"family\": \"A\", \"name\": \"standard\" }, \"tenantId\": \"$tenantID\",\"enableRbacAuthorization\": false, \"accessPolicies\": []}"

Använd cmdleten New-AzResource och ange enableRbacAuthorization = $false samt -ApiVersion "2026-02-01":

New-AzResource `
    -ResourceGroupName $resourceGroupName `
    -ResourceType "Microsoft.KeyVault/vaults" `
    -ResourceName $keyVaultName `
    -Location $location `
    -ApiVersion "2026-02-01" `
    -Properties @{
        sku = @{ family = "A"; name = "standard" }
        tenantId = $TenantId
        enableRbacAuthorization = $false
        accessPolicies = @()}

Nästa steg

Feedback

Var den här sidan till hjälp?

Uppdaterades senast 2026-09-18

Planera för Azure RBAC som standardmodell för åtkomstkontroll i Key Vault

Vad du behöver göra

Kontrollera din aktuella konfiguration

Kontrollera ett enskilt valv

Kontrollera flera valv per resursgrupp

Kontrollera flera valv i din prenumeration

Fastställ nästa steg

Hålla UPPDATERINGAR av API-version åtskilda från migrering av åtkomstkontroll

Valv som använder Azure RBAC

Valv som använder åtkomstprinciper

Migrera till Azure RBAC (rekommenderas)

Fortsätt använda åtkomstprinciper

Använda ARM-, Bicep- och Terraform-mallar

Använda kommandon för att skapa Key Vault

Använda kommandot Skapa resurs

Nästa steg

Feedback

Ytterligare resurser