Atribuir uma política de acesso do Key Vault (herdado)
Artigo
Importante
Ao usar o modelo de permissão da Política de Acesso, um usuário com a função Contributor, Key Vault Contributor ou qualquer outra função que inclua permissões Microsoft.KeyVault/vaults/write para o plano de gerenciamento do cofre de chaves pode conceder a si mesmo acesso ao plano de dados definindo uma política de acesso do Key Vault. Para impedir o acesso e o gerenciamento não autorizados de seus cofres de chaves, chaves, segredos e certificados, é essencial limitar o acesso da função Colaborador a cofres de chaves no modelo de permissão da Política de Acesso. Para atenuar esse risco, recomendamos que você use o modelo de permissão RBAC (Controle de Acesso Baseado em Função), que restringe o gerenciamento de permissões às funções “Proprietário” e “Administrador de Acesso do Usuário”, permitindo uma separação clara entre operações de segurança e funções administrativas. Confira o Guia para RBAC do Key Vault e O que é o RBAC do Azure? para obter mais informações.
Uma política de acesso do Key Vault determina se certa entidade de segurança, ou seja, um usuário, um aplicativo ou um grupo de usuários, pode executar operações diferentes em segredos, chavese certificados do Key Vault. Você pode atribuir políticas de acesso usando o portal do Azure, a CLI do Azure ou o Azure PowerShell.
O cofre de chaves dá suporte para até 1024 entradas de política de acesso, com cada entrada concedendo um conjunto distinto de permissões a uma determinada entidade de segurança. Devido a essa limitação, é recomendável atribuir políticas de acesso a grupos de usuários, quando possível, em vez de usuários individuais. O uso de grupos facilita muito o gerenciamento de permissões para várias pessoas na organização. Para obter mais informações, confira Gerenciar o aplicativo e o acesso a recursos usando grupos do Microsoft Entra.
Selecione Políticas de acesso e, em seguida, selecione Criar:
Selecione as permissões desejadas em Permissões de chave, Permissões de segredo e Permissões de certificado.
No painel de seleção Principal, insira o nome do usuário, do aplicativo ou da entidade de serviço no campo de pesquisa e selecione o resultado apropriado.
Se você estiver usando uma identidade gerenciada para o aplicativo, procure e selecione o nome do aplicativo. (Para saber mais sobre entidades de segurança, confira Autenticação do Key Vault.
Examine as alterações da política de acesso e selecione Criar para salvar a política de acesso.
De volta à página Políticas de acesso, verifique se sua política de acesso está listada.
Para executar comandos da CLI do Azure localmente, instale a CLI do Azure.
Para executar comandos diretamente na nuvem, use o Azure Cloud Shell.
Somente CLI local: entrar no Azure usando az login:
az login
O comando az login abre uma janela do navegador para coletar as credenciais, se necessário.
Adquirir a ID de objeto
Determine a ID de objeto do aplicativo, do grupo ou do usuário ao qual você deseja atribuir a política de acesso:
Aplicativos e outras entidades de serviço: use o comando az ad sp list para recuperar suas entidades de serviço. Examine a saída do comando para determinar a ID de objeto da entidade de segurança à qual você deseja atribuir a política de acesso.
az ad sp list --show-mine
Grupos: use o comando az ad group list, filtrando os resultados com o parâmetro --display-name:
az ad group list --display-name <search-string>
Usuários: use o comando az ad user show, passando o endereço de email do usuário no parâmetro --id:
Substitua <object-id> pela ID de objeto de sua entidade de segurança.
Você só precisa incluir --secret-permissions, --key-permissions e --certificate-permissions ao atribuir permissões a esses tipos específicos. Os valores permitidos para <secret-permissions>, <key-permissions> e <certificate-permissions> são fornecidos na documentação de az keyvault set-policy.
Para obter mais informações sobre como criar grupos no Microsoft Entra ID usando o Azure PowerShell, confira New-AzADGroup e Add-AzADGroupMember.
Configurar o PowerShell e entrar
Para executar comandos localmente, instale o Azure PowerShell se ainda não tiver feito isso.
Para executar comandos diretamente na nuvem, use o Azure Cloud Shell.
Determine a ID de objeto do aplicativo, do grupo ou do usuário ao qual você deseja atribuir a política de acesso:
Aplicativos e outras entidades de serviço: use o cmdlet Get-AzADServicePrincipal com o parâmetro -SearchString para filtrar os resultados para o nome da entidade de serviço desejada:
Você só precisa incluir -PermissionsToSecrets, -PermissionsToKeys e -PermissionsToCertificates ao atribuir permissões a esses tipos específicos. Os valores permitidos para <secret-permissions>, <key-permissions> e <certificate-permissions> são fornecidos na documentação Set-AzKeyVaultAccessPolicy - Parâmetros.
