Åtgärder och attribut för Azure Key Vault ABAC-villkor (förhandsversion)

Den här artikeln beskriver de åtgärder, attribut och operatorer som stöds och som du kan använda under villkor för Azure rolltilldelningar för Azure Key Vault. En översikt över hur rolltilldelningsvillkor fungerar finns i Vad är Azure attributbaserad åtkomstkontroll (Azure ABAC)?. En lista över Key Vault dataåtgärder som en specifik behörighet påverkar finns i åtgärdsguiden Azure RBAC for Key Vault dataplan.

Overview

Azure ABAC för Key Vault bygger på Azure RBAC genom att lägga till villkor i rolltilldelningar. Azure utvärderar varje villkor vid körning mot attributen för den resurs som används eller den inkommande begäran, och tillåter eller nekar antingen begäran baserat på jämförelseoperatorer.

Fördelarna med att använda rolltilldelningsvillkor för Key Vault är:

• Finare åtkomst till hemligheter. Begränsa ett huvudnamn till hemligheter vars namn matchar ett specifikt mönster (till exempel app-* eller team-prod-*), eller till specifika nyckelvalv efter valvnamn.
• Färre rolltilldelningar att hantera. Använd en enda villkorsgrindad rolltilldelning för en säkerhetsgrupp i stället för många enskilda tilldelningar som modellerar samma behörigheter. ABAC hjälper dig att skala rollhantering – det beviljar inte behörigheter som en rolltilldelning inte redan beviljar.
• Utökar befintliga Azure RBAC. ABAC-lager ovanpå dina befintliga rolltilldelningar. Du behöver inte ersätta RBAC för att använda den.

I den här förhandsversionen gäller ABAC för Key Vault endast för hemliga dataåtgärder och stöder två attribut: valvnamnet och det hemliga namnet. Viktiga dataåtgärder, certifikatdataåtgärder, taggbaserade attribut, tokenattribut och inbyggda Key Vault ABAC-villkor för någon roll ingår inte.

Om du vill använda ABAC-villkor måste nyckelvalvets behörighetsmodell anges till Azure RBAC. Bakgrund finns i Azure RBAC jämfört med åtkomstprinciper och Förbereda för Key Vault API-version 2026-02-01 och senare.

Villkorsformat

Villkor använder följande allmänna format:

@Resource[<ResourceType>:<AttributeName>] <Operator> '<Value>'

Villkorsversionen måste vara inställd på 2.0. Fullständig grammatik finns i Azure villkorsformat och syntax för rolltilldelning.

Operatorer som stöds

Azure Key Vault ABAC-villkor stöder alla strängjämförelseoperatorer som definierats i Azure ABAC-villkorsformat. En fullständig lista över operatorer och deras beteende finns i Strängjämförelseoperatorer.

Azure Key Vault åtgärder

Du kan tillämpa ABAC-villkor på följande Key Vault hemliga dataåtgärder. Varje underavsnitt beskriver åtgärden, den underliggande DataAction, attributkällan som utvärderas (resurs eller begäran) och ett exempelvillkor.

Hämta hemlighet

Läsa hemliga metadata

Ange hemlighet

Uppdatera hemlighet

Ta bort hemlighet

Säkerhetskopieringshemlighet

Återställ hemlighet

Återställa hemlighet

Rensa hemlighet

Attributkällor

Attribut beskriver egenskaper som utvärderas vid begärandetillfället. Resursattribut beskriver resursen som används. Begärandeattribut beskriver den inkommande begäran när resursen kanske ännu inte finns (till exempel under setSecret eller restore).

Valvnamn

Använd det här attributet för att begränsa åtkomsten till nyckelvalv vars namn matchar ett visst mönster. När du tillämpar ett villkor i prenumerations- eller resursgruppsomfång utvärderar Azure valvnamnet för varje valv som huvudnamnet försöker komma åt.

Exempelvillkor:

@Resource[Microsoft.KeyVault/vaults:name] StringStartsWith 'prod-'
@Resource[Microsoft.KeyVault/vaults:name] StringEquals 'sample-vault'
@Resource[Microsoft.KeyVault/vaults:name] StringLike 'team-*-prod'

Hemligt namn (resurs)

Använd det här attributet när hemligheten redan finns vid utvärderingstillfället.

Exempelvillkor:

@Resource[Microsoft.KeyVault/vaults/secrets:name] StringStartsWith 'test-app'
@Resource[Microsoft.KeyVault/vaults/secrets:name] StringLike 'api-key-*'

Hemligt namn (begäran)

Använd det här attributet när hemligheten kanske inte finns vid utvärderingstillfället, till exempel under skapandet eller återställningen.

Exempelvillkor:

@Request[Microsoft.KeyVault/vaults/secrets:name] StringStartsWith 'app-'
@Request[Microsoft.KeyVault/vaults/secrets:name] StringLike 'config-*'

Roller som stöder ABAC-villkor

Du kan tillämpa ABAC-villkor på alla roller som innehåller Key Vault hemlighet dataActions. Roller som endast innehåller kontrollplansåtgärder (till exempel ägare eller principadministratör) stöder inte ABAC-villkor eftersom Azure utvärderar villkor exklusivt för dataplansåtgärder. I den här förhandsversionen innehåller ingen inbyggd roll en förtilldelad Key Vault ABAC-villkor – du skapar villkoret när du skapar rolltilldelningen.

Följande inbyggda roller omfattar hemliga dataåtgärder och stöd för ABAC-villkor i den här förhandsversionen. Fullständiga rolldefinitioner och ID:er finns i Azure inbyggda roller för Key Vault dataplansåtgärder.

Villkorsexempel

I följande exempel visas vanliga ABAC-mönster för Key Vault hemligheter. Mer information om villkorssyntaxen finns i Azure format och syntax för rolltilldelningsvillkor.

Exempel: Begränsa läsåtkomst till hemligheter med ett namnprefix

Tillåt att ett huvudnamn endast kan läsa hemligheter vars namn börjar med test-app:

• Role: Key Vault-sekretessanvändare
• Omfång: Key Vault-resurs
• Villkor:

(
  !(ActionMatches{'Microsoft.KeyVault/vaults/secrets/getSecret/action'})
  OR
  (
    @Resource[Microsoft.KeyVault/vaults/secrets:name] StringStartsWith 'test-app'
  )
)

Beteende:

• Tillåten: Läser test-app-secret1.
• Nekad (ForbiddenByRbac): Läser test-db-password.

Exempel: Begränsa åtkomsten till hemligheter i specifika valv efter valvnamnprefix

Tillåt att ett huvudnamn endast läser hemligheter i valv vars namn börjar med kv-prod:

• Role: Key Vault-sekretessanvändare
• Omfång: Prenumeration
• Villkor:

@Resource[Microsoft.KeyVault/vaults:name] StringStartsWith 'kv-prod'

Beteende:

• Tillåten: Åtkomst till kv-prod-1.
• Nekad: Åtkomst till test-kv.

Exempel: Begränsa nyligen skapade hemligheter till ett namnprefix

Tillåt endast att ett huvudnamn skapar hemligheter när det hemliga namnet börjar med app-. Eftersom hemligheten ännu inte finns vid utvärderingstillfället använder du attributet Begäran:

• Roll: Key Vault Hemlighetsansvarig
• Omfång: Key Vault-resurs
• Villkor:

(
  !(ActionMatches{'Microsoft.KeyVault/vaults/secrets/setSecret/action'})
  OR
  (
    @Request[Microsoft.KeyVault/vaults/secrets:name] StringStartsWith 'app-'
  )
)

Exempel: Kombinera villkor för valv och hemligt namn

Begränsa ett huvudnamn till skrivskyddade hemligheter som börjar med api- i valv vars namn börjar med kv-prod:

• Role: Key Vault-sekretessanvändare
• Omfång: Prenumeration
• Villkor:

(
  !(ActionMatches{'Microsoft.KeyVault/vaults/secrets/getSecret/action'})
  OR
  (
    @Resource[Microsoft.KeyVault/vaults:name] StringStartsWith 'kv-prod'
    AND
    @Resource[Microsoft.KeyVault/vaults/secrets:name] StringStartsWith 'api-'
  )
)

Relaterat innehåll

• Lägga till rolltilldelningsvillkor för Key Vault hemligheter med hjälp av Azure CLI (förhandsversion)
• Lägga till rolltilldelningsvillkor för Key Vault hemligheter med hjälp av Azure PowerShell (förhandsversion)
• Vad är azure-attributbaserad åtkomstkontroll (Azure ABAC)?
• Villkorsformat och syntax för Azure-rolltilldelning
• Ge åtkomst till Key Vault-nycklar, certifikat och hemligheter med Azure RBAC
• Felsöka villkor för Rolltilldelning i Azure
• Felsöka problem med åtkomst till nyckelvalv
• Förbereda för Key Vault API-version 2026-02-01 och senare