Een Key Vault-toegangsbeleid toewijzen (verouderd)
Artikel
Belangrijk
Wanneer u het machtigingsmodel voor toegangsbeleid gebruikt, kan een gebruiker met de Contributor, Key Vault Contributorof een andere rol die machtigingen voor het beheervlak van de sleutelkluis bevat Microsoft.KeyVault/vaults/write , zichzelf gegevensvlaktoegang verlenen door een Key Vault-toegangsbeleid in te stellen. Om onbevoegde toegang en beheer van uw sleutelkluizen, sleutels, geheimen en certificaten te voorkomen, is het essentieel om de roltoegang van inzenders tot sleutelkluizen onder het machtigingsmodel voor toegangsbeleid te beperken. Om dit risico te beperken, raden we u aan het RBAC-machtigingsmodel (Role-Based Access Control) te gebruiken, waardoor machtigingsbeheer wordt beperkt tot de rollen 'Eigenaar' en 'Beheerder voor gebruikerstoegang', waardoor een duidelijke scheiding tussen beveiligingsbewerkingen en administratieve taken mogelijk is. Zie de Key Vault RBAC-handleiding en wat is Azure RBAC? voor meer informatie.
Een Key Vault-toegangsbeleid bepaalt of een bepaalde beveiligingsprincipaal, namelijk een gebruiker, toepassing of gebruikersgroep, verschillende bewerkingen kan uitvoeren op Key Vault-geheimen, -sleutels en -certificaten. U kunt toegangsbeleid toewijzen met behulp van Azure Portal, de Azure CLI of Azure PowerShell.
Key Vault ondersteunt maximaal 1024 toegangsbeleidsregels, waarbij elke vermelding een afzonderlijke set machtigingen verleent aan een bepaalde beveiligingsprincipal. Vanwege deze beperking raden we u aan toegangsbeleid toe te wijzen aan groepen gebruikers, indien mogelijk, in plaats van afzonderlijke gebruikers. Het gebruik van groepen maakt het veel eenvoudiger om machtigingen voor meerdere personen in uw organisatie te beheren. Zie App- en resourcetoegang beheren met Behulp van Microsoft Entra-groepen voor meer informatie.
Navigeer in Azure Portal naar de Key Vault-resource.
Selecteer Toegangsbeleid en selecteer vervolgens Maken:
Selecteer de gewenste machtigingen onder Sleutelmachtigingen, Geheime machtigingen en Certificaatmachtigingen.
Voer in het selectiedeelvenster Principal de naam in van de gebruiker, app of service-principal in het zoekveld en selecteer het juiste resultaat.
Als u een beheerde identiteit voor de app gebruikt, zoekt en selecteert u de naam van de app zelf. (Zie voor meer informatie over beveiligingsprinciplen Key Vault-verificatie.
Controleer de wijzigingen in het toegangsbeleid en selecteer Maken om het toegangsbeleid op te slaan.
Controleer op de pagina Toegangsbeleid of uw toegangsbeleid wordt vermeld.
Zie az ad group create and az ad group member add voor meer informatie over het maken van groepen in Microsoft Entra ID met behulp van de Azure CLI.
De Azure CLI configureren en u aanmelden
Als u Azure CLI-opdrachten lokaal wilt uitvoeren, installeert u de Azure CLI.
Als u opdrachten rechtstreeks in de cloud wilt uitvoeren, gebruikt u De Azure Cloud Shell.
Alleen lokale CLI: meld u aan bij Azure met behulp van az login:
az login
Met de az login opdracht wordt een browservenster geopend om zo nodig referenties te verzamelen.
De object-id verkrijgen
Bepaal de object-id van de toepassing, groep of gebruiker waaraan u het toegangsbeleid wilt toewijzen:
Toepassingen en andere service-principals: gebruik de opdracht az ad sp list om uw service-principals op te halen. Bekijk de uitvoer van de opdracht om de object-id te bepalen van de beveiligingsprincipaal waaraan u het toegangsbeleid wilt toewijzen.
az ad sp list --show-mine
Groepen: gebruik de opdracht az ad group list en filter de resultaten met de --display-name parameter:
az ad group list --display-name <search-string>
Gebruikers: gebruik de opdracht az ad user show , waarbij het e-mailadres van de gebruiker wordt doorgegeven in de --id parameter:
Vervang door <object-id> de object-id van uw beveiligingsprincipaal.
U hoeft alleen machtigingen voor deze specifieke typen toe --secret-permissions--key-permissions--certificate-permissions te wijzen. De toegestane waarden voor <secret-permissions>, <key-permissions>en <certificate-permissions> worden gegeven in de documentatie az keyvault set-policy .
Bepaal de object-id van de toepassing, groep of gebruiker waaraan u het toegangsbeleid wilt toewijzen:
Toepassingen en andere service-principals: gebruik de cmdlet Get-AzADServicePrincipal met de -SearchString parameter om resultaten te filteren op de naam van de gewenste service-principal:
U hoeft alleen machtigingen voor deze specifieke typen toe -PermissionsToSecrets-PermissionsToKeys-PermissionsToCertificates te wijzen. De toegestane waarden voor <secret-permissions>, <key-permissions>en <certificate-permissions> worden gegeven in de documentatie Set-AzKeyVaultAccessPolicy - Parameters .
