Accorder l'autorisation aux applications d'accéder à un coffre de clés Azure à l'aide d'Azure RBAC (2023)

Le contrôle d'accès basé sur les rôles Azure (Azure RBAC) est un système d'autorisation basé surGestionnaire de ressources Azurequi fournit une gestion précise des accès aux ressources Azure.

Azure RBAC permet aux utilisateurs de gérer les autorisations de clé, de secrets et de certificats. Il fournit un emplacement unique pour gérer toutes les autorisations sur tous les coffres de clés.

Le modèle Azure RBAC permet aux utilisateurs de définir des autorisations à différents niveaux d'étendue : groupe de gestion, abonnement, groupe de ressources ou ressources individuelles. Azure RBAC pour le coffre de clés permet également aux utilisateurs d'avoir des autorisations distinctes sur des clés, des secrets et des certificats individuels

Pour plus d'informations, voirContrôle d'accès basé sur les rôles Azure (Azure RBAC).

Meilleures pratiques pour les attributions de rôles de clés, de secrets et de certificats individuels

Notre recommandation est d'utiliser un coffre-fort par application et par environnement (développement, pré-production et production).

Les autorisations de clés, de secrets et de certificats individuels ne doivent être utilisées que pour des scénarios spécifiques :

• Partage de secrets individuels entre plusieurs applications, par exemple, une application doit accéder aux données de l'autre application

Pour en savoir plus sur les directives de gestion d'Azure Key Vault, consultez :

• Meilleures pratiques Azure Key Vault
• Limites du service Azure Key Vault

Rôles intégrés Azure pour les opérations de plan de données Key Vault

Pour plus d'informations sur les définitions de rôles intégrés Azure, consultezRôles intégrés Azure.

Utilisation des autorisations de secret, de clé et de certificat Azure RBAC avec Key Vault

Le nouveau modèle d'autorisation Azure RBAC pour le coffre de clés offre une alternative au modèle d'autorisations de stratégie d'accès au coffre.

Conditions préalables

Vous devez avoir un abonnement Azure. Si vous ne le faites pas, vous pouvez créer uncompte gratuitavant que tu commences.

Pour ajouter des attributions de rôles, vous devez avoirMicrosoft.Authorization/roleAssignments/writeetMicrosoft.Authorization/roleAssignments/deleteautorisations, telles queAdministrateur d'accès utilisateurouPropriétaire.

Activer les autorisations Azure RBAC sur Key Vault

1. Activez les autorisations Azure RBAC sur le nouveau coffre de clés :

   

2. Activez les autorisations Azure RBAC sur le coffre de clés existant :

   

Attribuer un rôle

Exécutez la commande suivante pour créer une attribution de rôle :

az role assignation create --role  --assignee  --scope 

Pour attribuer des rôles à l'aide du portail Azure, consultezAttribuer des rôles Azure à l'aide du portail Azure. Dans le portail Azure, l'écran des attributions de rôles Azure est disponible pour toutes les ressources dans l'onglet Contrôle d'accès (IAM).

Attribution de rôle d'étendue de groupe de ressources

1. Accédez au groupe de ressources qui contient votre coffre de clés.

   

2. SélectionnerContrôle d'accès (IAM).

3. SélectionnerAjouter>Ajouter une attribution de rôlepour ouvrir la page Ajouter une attribution de rôle.

4. Attribuez le rôle suivant. Pour les étapes détaillées, voirAttribuer des rôles Azure à l'aide du portail Azure.

   Paramètre	Valeur
   Rôle	"Lecteur de coffre à clés"
   Attribuer l'accès à	Utilisateur actuel
   Membres	Rechercher par adresse e-mail

   

az role assignation create --role "Key Vault Reader" --assignee {c'est-à-dire user@microsoft.com} --scope /subscriptions/{subscriptionid}/resourcegroups/{resource-group-name}

L'attribution de rôle ci-dessus permet de répertorier les objets du coffre de clés dans le coffre de clés.

Attribution de rôle d'étendue Key Vault

1. Accédez à Key Vault > onglet Contrôle d'accès (IAM)

2. SélectionnerAjouter>Ajouter une attribution de rôlepour ouvrir la page Ajouter une attribution de rôle.

3. Attribuez le rôle suivant. Pour les étapes détaillées, voirAttribuer des rôles Azure à l'aide du portail Azure.

   (Video) Azure Storage Account explained|Access Keys | Secure Access Signature | Data layer| Management Layer

   Paramètre	Valeur
   Rôle	"Officier des secrets du coffre à clés"
   Attribuer l'accès à	Utilisateur actuel
   Membres	Rechercher par adresse e-mail

   

az role assignation create --role "Key Vault Secrets Officer" --assignee {c'est-à-dire jalichwa@microsoft.com} --scope /subscriptions/{subscriptionid}/resourcegroups/{resource-group-name}/providers/Microsoft.KeyVault/ coffres/{key-vault-name}

Attribution de rôle de portée secrète

1. Ouvrez un secret créé précédemment.

2. Cliquez sur l'onglet Contrôle d'accès (IAM)

   

3. SélectionnerAjouter>Ajouter une attribution de rôlepour ouvrir la page Ajouter une attribution de rôle.

4. Attribuez le rôle suivant. Pour les étapes détaillées, voirAttribuer des rôles Azure à l'aide du portail Azure.

   Paramètre	Valeur
   Rôle	"Officier des secrets du coffre à clés"
   Attribuer l'accès à	Utilisateur actuel
   Membres	Rechercher par adresse e-mail

   

az role assignation create --role "Key Vault Secrets Officer" --assignee {c'est-à-dire user@microsoft.com} --scope /subscriptions/{subscriptionid}/resourcegroups/{resource-group-name}/providers/Microsoft.KeyVault/ coffres/{key-vault-name}/secrets/RBACSecret

Tester et vérifier

1. Validez l'ajout d'un nouveau secret sans le rôle "Key Vault Secrets Officer" au niveau du coffre de clés.

   (Video) Azure Key Vault DEMO Store VM Password in Azure Key Vault

   1. Accédez à l'onglet Contrôle d'accès au coffre de clés (IAM) et supprimez l'attribution du rôle « Key Vault Secrets Officer » pour cette ressource.

      

   2. Accédez au secret créé précédemment. Vous pouvez voir toutes les propriétés secrètes.

      

   3. Créer un nouveau secret (Secrets > + Générer/Importer) doit afficher cette erreur :

      

2. Validez la modification secrète sans le rôle "Key Vault Secret Officer" au niveau secret.

   1. Accédez à l'onglet Secret Access Control (IAM) créé précédemment et supprimez l'attribution du rôle « Key Vault Secrets Officer » pour cette ressource.

   2. Accédez au secret créé précédemment. Vous pouvez voir les propriétés secrètes.

      

3. Validez les secrets lus sans rôle de lecteur au niveau du coffre de clés.

   1. Accédez à l'onglet Contrôle d'accès (IAM) du groupe de ressources Key Vault et supprimez l'attribution du rôle « Key Vault Reader ».

   2. La navigation vers l'onglet "Secrets" du coffre de clés doit afficher cette erreur :

      

Création de rôles personnalisés

commande de création de définition de rôle az

az role definition create --role-definition '{ \ "Name": "Opérateur de sauvegarde des clés", \ "Description": "Effectuer des opérations de sauvegarde/restauration de clé", \ "Actions": [ ], \ "DataActions": [ \ "Microsoft.KeyVault/vaults/keys/read ", \ "Microsoft.KeyVault/vaults/keys/backup/action", \ "Microsoft.KeyVault/vaults/keys/restore/action" \ ], \ "NotDataActions": [ ], \ "AssignableScopes": ["/subscriptions/{subscriptionId}"] \}'

Pour plus d'informations sur la création de rôles personnalisés, consultez :

Rôles personnalisés Azure

Limites et performances connues

• Le plan de données Key Vault RBAC n'est pas pris en charge dans les scénarios multilocataires comme avec Azure Lighthouse
• 4 000 attributions de rôles Azure par abonnement
• Latence des attributions de rôle : aux performances actuellement attendues, il faudra jusqu'à 10 minutes (600 secondes) après la modification des attributions de rôle pour que le rôle soit appliqué

Questions fréquemment posées:

Puis-je utiliser les attributions de portée d'objet du modèle d'autorisation de contrôle d'accès basé sur les rôles (RBAC) de Key Vault pour isoler les équipes d'application au sein de Key Vault ?

Non. Le modèle d'autorisation RBAC vous permet d'attribuer l'accès à des objets individuels dans Key Vault à un utilisateur ou à une application, mais toutes les opérations administratives telles que le contrôle d'accès au réseau, la surveillance et la gestion des objets nécessitent des autorisations au niveau du coffre, qui exposeront ensuite des informations sécurisées aux opérateurs à travers l'application. équipes.

Apprendre encore plus

• Présentation d'Azure RBAC
• Attribuer des rôles Azure à l'aide du portail Azure
• Tutoriel sur les rôles personnalisés
• Meilleures pratiques Azure Key Vault