Fornecer acesso a chaves, certificados e segredos do Key Vault com controle de acesso baseado em função do Azure

O controle de acesso baseado em função do Azure (RBAC do Azure) é um sistema de autorização criado no Azure Resource Manager que fornece gerenciamento centralizado de acesso a recursos do Azure.

O RBAC do Azure permite que os usuários gerenciem chaves, segredos e permissões de certificados e fornece um local para gerenciar todas as permissões em todos os cofres de chaves.

O modelo RBAC do Azure permite que os usuários definam permissões em diferentes níveis de escopo: grupo de gerenciamento, assinatura, grupo de recursos ou recursos individuais. O RBAC do Azure para cofre de chaves também permite que os usuários tenham permissões separadas em chaves, segredos e certificados individuais.

Para saber mais, consulte RBAC (controle de acesso baseado em função) do Azure.

Visão geral do modelo de acesso do Key Vault

O acesso ao cofre de chaves é controlado por meio de duas interfaces: o plano de controle e o plano de dados.

O plano de controle é onde você gerencia o Key Vault propriamente dito. As operações neste plano incluem a criação e exclusão de cofres de chaves, a recuperação de propriedades do Key Vault e a atualização das políticas de acesso.

O plano de dados é onde você trabalha com os dados armazenados em um Key Vault. Você pode adicionar, excluir e modificar chaves, segredos e certificados.

Ambos os planos usam Microsoft Entra ID para autenticação. Para autorização, o painel de controle usa o RBAC (controle de acesso baseado em função) do Azure e o plano de dados usa uma política de acesso do Key Vault (herdada) ou rbac do Azure para operações de plano de dados do Key Vault.

Para acessar um cofre de chaves em qualquer dos planos, todos os chamadores (usuários ou aplicativos) devem ter a autenticação e a autorização adequadas. A autenticação estabelece a identidade do chamador. A autorização determina quais operações o chamador pode executar.

Os aplicativos acessam os planos por meio de pontos de extremidade. Os controles de acesso para os dois aviões funcionam de forma independente. Para conceder a um aplicativo acesso para usar chaves em um cofre de chaves, você concede acesso ao plano de dados usando o RBAC do Azure ou uma política de acesso do Key Vault. Para conceder acesso de leitura do usuário para marcas e propriedades do Key Vault, mas não conceder acesso aos dados (chaves, segredos ou certificados), você deve conceder acesso ao plano de controle com RBAC do Azure.

Pontos de extremidade do plano de acesso

A tabela a seguir mostra os endpoints para os planos de dados e de controle.

Gerenciando o acesso administrativo ao Key Vault

Ao criar um cofre de chaves em um grupo de recursos, você gerencia o acesso usando a ID do Microsoft Entra. Conceda a usuários ou grupos a capacidade de gerenciar os cofres de chaves em um grupo de recursos. Você pode conceder acesso em um nível de escopo específico atribuindo as funções apropriadas do Azure. Para conceder acesso a um usuário para gerenciar os cofres de chaves, atribua uma função Key Vault Contributor predefinida ao usuário em um escopo específico. Os seguintes níveis de escopos podem ser atribuídos a uma função do Azure:

• Assinatura: uma função do Azure atribuída no nível da assinatura se aplica a todos os grupos de recursos e recursos nessa assinatura.
• Grupo de recursos: uma função do Azure atribuída no nível do grupo de recursos que se aplica a todos os recursos nesse grupo de recursos.
• Recursos específicos: uma função do Azure atribuída a um recurso específico que se aplica a esse recurso. Nesse caso, o recurso é um cofre de chaves específico.

Há várias funções predefinidas. Se uma função predefinida não atender às suas necessidades, você poderá definir sua própria função. Para obter mais informações, confira Funções internas do Azure RBAC.

Melhores práticas para atribuições de função de chaves, segredos e certificados individuais

Recomenda-se usar um cofre por aplicativo por ambiente (desenvolvimento, pré-produção e produção) com funções atribuídas no escopo do cofre de chaves.

Não é recomendável atribuir funções em chaves individuais, segredos e certificados. As exceções incluem cenários em que:

• Segredos individuais exigem acesso individual do usuário; por exemplo, em que os usuários devem ler sua chave privada SSH para autenticar em uma máquina virtual usando o Azure Bastion.
• Segredos individuais devem ser compartilhados entre vários aplicativos; por exemplo, em que um aplicativo precisa acessar dados de outro aplicativo.

Para saber mais sobre as diretrizes de gerenciamento do Azure Key Vault, consulte:

• Proteger seu Azure Key Vault
• Limites de serviços do Azure Key Vault

Funções internas do Azure para operações do plano de dados do Key Vault

Para saber mais sobre funções internas do Azure, consulte Funções internas do Azure.

Gerenciamento das atribuições de função do plano de dados do Azure Key Vault interno

Usando as permissões de segredo, chave e certificado do RBAC do Azure com o Key Vault

O novo modelo de permissão RBAC do Azure para o Key Vault oferece uma alternativa ao modelo de permissões da política de acesso do Key Vault.

Pré-requisitos

Você precisa ter uma assinatura do Azure. Caso não tenha, crie uma conta gratuita antes de começar.

Para gerenciar as atribuições de função, você precisa ter as permissões Microsoft.Authorization/roleAssignments/write e Microsoft.Authorization/roleAssignments/delete, como Administrador de Acesso a Dados do Cofre de Chaves (com permissões restritas para atribuir/remover apenas funções específicas do cofre Key Vault), Administrador de Acesso do Usuário ou Proprietário.

Habilitar permissões do RBAC do Azure no Key Vault

1. Habilite as permissões do RBAC do Azure no novo Key Vault:

   

2. Ativar permissões do RBAC do Azure no cofre de chaves existente.

   

Atribuir função

az role assignment create --role {role-name-or-id} --assignee {assignee-upn}> --scope {scope}

#Assign by User Principal Name
New-AzRoleAssignment -RoleDefinitionName {role-name} -SignInName {assignee-upn} -Scope {scope}

#Assign by Service Principal ApplicationId
New-AzRoleAssignment -RoleDefinitionName Reader -ApplicationId {application-id} -Scope {scope}

Atribuição de função no escopo do grupo de recursos

az role assignment create --role "Key Vault Reader" --assignee {i.e user@microsoft.com} --scope /subscriptions/{subscriptionid}/resourcegroups/{resource-group-name}

#Assign by User Principal Name
New-AzRoleAssignment -RoleDefinitionName 'Key Vault Reader' -SignInName {assignee-upn} -Scope /subscriptions/{subscriptionid}/resourcegroups/{resource-group-name}

#Assign by Service Principal ApplicationId
New-AzRoleAssignment -RoleDefinitionName 'Key Vault Reader' -ApplicationId {application-id} -Scope /subscriptions/{subscriptionid}/resourcegroups/{resource-group-name}

A atribuição de função acima fornece a capacidade de listar no Key Vault os objetos dele.

Atribuição de função no escopo do Key Vault

az role assignment create --role "Key Vault Secrets Officer" --assignee {assignee-upn} --scope /subscriptions/{subscriptionid}/resourcegroups/{resource-group-name}/providers/Microsoft.KeyVault/vaults/{key-vault-name}

#Assign by User Principal Name
New-AzRoleAssignment -RoleDefinitionName 'Key Vault Secrets Officer' -SignInName {assignee-upn} -Scope /subscriptions/{subscriptionid}/resourcegroups/{resource-group-name}/providers/Microsoft.KeyVault/vaults/{key-vault-name}

#Assign by Service Principal ApplicationId
New-AzRoleAssignment -RoleDefinitionName 'Key Vault Secrets Officer' -ApplicationId {application-id} -Scope /subscriptions/{subscriptionid}/resourcegroups/{resource-group-name}/providers/Microsoft.KeyVault/vaults/{key-vault-name}

Atribuição de função no escopo do segredo

az role assignment create --role "Key Vault Secrets Officer" --assignee {i.e user@microsoft.com} --scope /subscriptions/{subscriptionid}/resourcegroups/{resource-group-name}/providers/Microsoft.KeyVault/vaults/{key-vault-name}/secrets/RBACSecret

#Assign by User Principal Name
New-AzRoleAssignment -RoleDefinitionName 'Key Vault Secrets Officer' -SignInName {i.e user@microsoft.com} -Scope /subscriptions/{subscriptionid}/resourcegroups/{resource-group-name}/providers/Microsoft.KeyVault/vaults/{key-vault-name}/secrets/RBACSecret

#Assign by Service Principal ApplicationId
New-AzRoleAssignment -RoleDefinitionName 'Key Vault Secrets Officer' -ApplicationId {i.e 00001111-aaaa-2222-bbbb-3333cccc4444} -Scope /subscriptions/{subscriptionid}/resourcegroups/{resource-group-name}/providers/Microsoft.KeyVault/vaults/{key-vault-name}/secrets/RBACSecret

Testar e verificar

1. Valide a adição de um novo segredo sem a função de "Representante de segredos do Key Vault" no nível do Key Vault.

   1. Acesse a guia Controle de acesso (IAM) do Key Vault e remova a atribuição de função de "Representante de segredos do Key Vault" para esse recurso.

      

   2. Acesse o segredo criado anteriormente. Você verá todas as propriedades dele.

      

   3. Criar um novo segredo (Segredos > + Gerar/Importar) deve mostrar esse erro:

      

2. Valide a edição do segredo sem a função "Representante de segredos do Key Vault" no nível do segredo.

   1. Acesse a guia Controle de acesso (IAM) do segredo criado anteriormente e remova a atribuição da função de "Representante de segredos do Key Vault" para esse recurso.

   2. Acesse o segredo criado anteriormente. Você verá todas as propriedades dele.

      

3. Valide os segredos lidos sem a função de leitor no nível do Key Vault.

   1. Acesse a guia Controle de acesso (IAM) do grupo de recursos do Key Vault e remova a atribuição de função "Leitor do Key Vault".

   2. Ao acessar a guia Segredos do Key Vault, esse erro deve ser exibido:

      

Criando funções personalizadas

comando az role definition create

az role definition create --role-definition '{ \
    "Name": "Backup Keys Operator", \
    "Description": "Perform key backup/restore operations", \
    "Actions": [], \
    "DataActions": [ \
        "Microsoft.KeyVault/vaults/keys/read ", \
        "Microsoft.KeyVault/vaults/keys/backup/action", \
        "Microsoft.KeyVault/vaults/keys/restore/action" \
    ], \
    "NotDataActions": [], \
    "AssignableScopes": ["/subscriptions/{subscriptionId}"] \
}'

$roleDefinition = @"
{ 
    "Name": "Backup Keys Operator", 
    "Description": "Perform key backup/restore operations", 
    "Actions": [], 
    "DataActions": [ 
        "Microsoft.KeyVault/vaults/keys/read ", 
        "Microsoft.KeyVault/vaults/keys/backup/action", 
        "Microsoft.KeyVault/vaults/keys/restore/action" 
    ], 
    "NotDataActions": [], 
    "AssignableScopes": ["/subscriptions/{subscriptionId}"] 
}
"@

$roleDefinition | Out-File role.json

New-AzRoleDefinition -InputFile role.json

Para saber mais sobre como criar funções personalizadas, consulte:

Funções personalizadas do Azure

Perguntas frequentes

Posso usar atribuições de escopo de objeto do RBAC do Azure para fornecer isolamento para equipes de aplicativos no Key Vault?

Não. O modelo de permissão RBAC do Azure permite que você atribua acesso a objetos individuais no Key Vault a usuário ou aplicativo, mas quaisquer operações administrativas como controle de acesso à rede, monitoramento e gerenciamento de objetos exigem permissões de nível de cofre, o que exporá informações seguras aos operadores entre equipes de aplicativos.

Saiba mais

• Visão geral do RBAC do Azure
• Atribuir funções do Azure usando o portal do Azure
• Tutorial de funções personalizadas
• Proteger seu Azure Key Vault