Atribuir uma política de acesso do Key Vault (herdado)
Artigo
Uma política de acesso do Key Vault determina se certa entidade de segurança, ou seja, um usuário, um aplicativo ou um grupo de usuários, pode executar operações diferentes em segredos, chavese certificados do Key Vault. Você pode atribuir políticas de acesso usando o portal do Azure, a CLI do Azure ou o Azure PowerShell.
O cofre de chaves dá suporte para até 1024 entradas de política de acesso, com cada entrada concedendo um conjunto distinto de permissões a uma determinada entidade de segurança. Devido a essa limitação, é recomendável atribuir políticas de acesso a grupos de usuários, quando possível, em vez de usuários individuais. O uso de grupos facilita muito o gerenciamento de permissões para várias pessoas na organização. Para obter mais informações, confira Gerenciar o aplicativo e o acesso a recursos usando grupos do Microsoft Entra.
Selecione Políticas de acesso e, em seguida, selecione Criar:
Selecione as permissões desejadas em Permissões de chave, Permissões de segredo e Permissões de certificado.
No painel de seleção Principal, insira o nome do usuário, do aplicativo ou da entidade de serviço no campo de pesquisa e selecione o resultado apropriado.
Se você estiver usando uma identidade gerenciada para o aplicativo, procure e selecione o nome do aplicativo. (Para saber mais sobre entidades de segurança, confira Autenticação do Key Vault.
Examine as alterações da política de acesso e selecione Criar para salvar a política de acesso.
De volta à página Políticas de acesso, verifique se sua política de acesso está listada.
Para executar comandos da CLI do Azure localmente, instale a CLI do Azure.
Para executar comandos diretamente na nuvem, use o Azure Cloud Shell.
Somente CLI local: entrar no Azure usando az login:
az login
O comando az login abre uma janela do navegador para coletar as credenciais, se necessário.
Adquirir a ID de objeto
Determine a ID de objeto do aplicativo, do grupo ou do usuário ao qual você deseja atribuir a política de acesso:
Aplicativos e outras entidades de serviço: use o comando az ad sp list para recuperar suas entidades de serviço. Examine a saída do comando para determinar a ID de objeto da entidade de segurança à qual você deseja atribuir a política de acesso.
az ad sp list --show-mine
Grupos: use o comando az ad group list, filtrando os resultados com o parâmetro --display-name:
az ad group list --display-name <search-string>
Usuários: use o comando az ad user show, passando o endereço de email do usuário no parâmetro --id:
Substitua <object-id> pela ID de objeto de sua entidade de segurança.
Você só precisa incluir --secret-permissions, --key-permissions e --certificate-permissions ao atribuir permissões a esses tipos específicos. Os valores permitidos para <secret-permissions>, <key-permissions> e <certificate-permissions> são fornecidos na documentação de az keyvault set-policy.
Para obter mais informações sobre como criar grupos no Microsoft Entra ID usando o Azure PowerShell, confira New-AzADGroup e Add-AzADGroupMember.
Configurar o PowerShell e entrar
Para executar comandos localmente, instale o Azure PowerShell se ainda não tiver feito isso.
Para executar comandos diretamente na nuvem, use o Azure Cloud Shell.
Determine a ID de objeto do aplicativo, do grupo ou do usuário ao qual você deseja atribuir a política de acesso:
Aplicativos e outras entidades de serviço: use o cmdlet Get-AzADServicePrincipal com o parâmetro -SearchString para filtrar os resultados para o nome da entidade de serviço desejada:
Você só precisa incluir -PermissionsToSecrets, -PermissionsToKeys e -PermissionsToCertificates ao atribuir permissões a esses tipos específicos. Os valores permitidos para <secret-permissions>, <key-permissions> e <certificate-permissions> são fornecidos na documentação Set-AzKeyVaultAccessPolicy - Parâmetros.
