Предоставление доступа к ключам Key Vault, сертификатам и секретам с помощью управления доступом на основе ролей Azure

Чтобы создать назначение ролей с помощью Azure CLI, используйте команду az role assignment :

az role assignment create --role {role-name-or-id} --assignee {assignee-upn}> --scope {scope}

Полные сведения см. в статье "Назначение ролей Azure с помощью Azure CLI".

Чтобы создать назначение ролей с помощью Azure PowerShell, используйте командлет New-AzRoleAssignment :

#Assign by User Principal Name
New-AzRoleAssignment -RoleDefinitionName {role-name} -SignInName {assignee-upn} -Scope {scope}

#Assign by Service Principal ApplicationId
New-AzRoleAssignment -RoleDefinitionName Reader -ApplicationId {application-id} -Scope {scope}

Полные сведения см. в статье "Назначение ролей Azure с помощью Azure PowerShell".

Сведения о назначении ролей с помощью портала Azure см. в статье "Назначение ролей Azure" с помощью портала Azure. На портале Azure экран назначений ролей Azure доступен для всех ресурсов на вкладке управления доступом (IAM).

1. Перейдите в группу ресурсов, содержащую хранилище ключей.

   

2. Выберите управление доступом (IAM).

3. Нажмите Добавить>Добавить назначение роли, чтобы открыть страницу назначения роли.

4. Назначьте следующую роль. Подробные инструкции см. в статье "Назначение ролей Azure" с помощью портала Azure.

   Развернуть таблицу

   Настройки	Ценность
   Должность	"Читатель Key Vault"
   Предоставить доступ к	Текущий пользователь
   Члены	Поиск по адресу электронной почты

   

az role assignment create --role "Key Vault Reader" --assignee {i.e user@microsoft.com} --scope /subscriptions/{subscriptionid}/resourcegroups/{resource-group-name}

Полные сведения см. в статье "Назначение ролей Azure с помощью Azure CLI".

#Assign by User Principal Name
New-AzRoleAssignment -RoleDefinitionName 'Key Vault Reader' -SignInName {assignee-upn} -Scope /subscriptions/{subscriptionid}/resourcegroups/{resource-group-name}

#Assign by Service Principal ApplicationId
New-AzRoleAssignment -RoleDefinitionName 'Key Vault Reader' -ApplicationId {application-id} -Scope /subscriptions/{subscriptionid}/resourcegroups/{resource-group-name}

Полные сведения см. в статье "Назначение ролей Azure с помощью Azure PowerShell".

1. Перейдите на вкладку "Управление доступом (IAM)" в Key Vault >

2. Нажмите Добавить>Назначение роли, чтобы открыть страницу назначения роли.

3. Назначьте следующую роль. Подробные инструкции см. в статье "Назначение ролей Azure" с помощью портала Azure.

   Развернуть таблицу

   Настройки	Ценность
   Должность	Офицер по управлению секретами в Key Vault
   Предоставить доступ к	Текущий пользователь
   Члены	Поиск по адресу электронной почты

   

az role assignment create --role "Key Vault Secrets Officer" --assignee {assignee-upn} --scope /subscriptions/{subscriptionid}/resourcegroups/{resource-group-name}/providers/Microsoft.KeyVault/vaults/{key-vault-name}

Полные сведения см. в статье "Назначение ролей Azure с помощью Azure CLI".

#Assign by User Principal Name
New-AzRoleAssignment -RoleDefinitionName 'Key Vault Secrets Officer' -SignInName {assignee-upn} -Scope /subscriptions/{subscriptionid}/resourcegroups/{resource-group-name}/providers/Microsoft.KeyVault/vaults/{key-vault-name}

#Assign by Service Principal ApplicationId
New-AzRoleAssignment -RoleDefinitionName 'Key Vault Secrets Officer' -ApplicationId {application-id} -Scope /subscriptions/{subscriptionid}/resourcegroups/{resource-group-name}/providers/Microsoft.KeyVault/vaults/{key-vault-name}

Полные сведения см. в статье "Назначение ролей Azure с помощью Azure PowerShell".

1. Откройте ранее созданный секрет.

2. Перейдите на вкладку управления доступом (IAM)

   

3. Выберите Добавить>Добавить назначение роли, чтобы открыть страницу "Добавить назначение роли".

4. Назначьте следующую роль. Подробные инструкции см. в статье "Назначение ролей Azure" с помощью портала Azure.

   Развернуть таблицу

   Настройки	Ценность
   Должность	Сотрудник по управлению секретами Key Vault
   Предоставить доступ к	Текущий пользователь
   Члены	Поиск по адресу электронной почты

   

az role assignment create --role "Key Vault Secrets Officer" --assignee {i.e user@microsoft.com} --scope /subscriptions/{subscriptionid}/resourcegroups/{resource-group-name}/providers/Microsoft.KeyVault/vaults/{key-vault-name}/secrets/RBACSecret

Полные сведения см. в статье "Назначение ролей Azure с помощью Azure CLI".

#Assign by User Principal Name
New-AzRoleAssignment -RoleDefinitionName 'Key Vault Secrets Officer' -SignInName {i.e user@microsoft.com} -Scope /subscriptions/{subscriptionid}/resourcegroups/{resource-group-name}/providers/Microsoft.KeyVault/vaults/{key-vault-name}/secrets/RBACSecret

#Assign by Service Principal ApplicationId
New-AzRoleAssignment -RoleDefinitionName 'Key Vault Secrets Officer' -ApplicationId {i.e 00001111-aaaa-2222-bbbb-3333cccc4444} -Scope /subscriptions/{subscriptionid}/resourcegroups/{resource-group-name}/providers/Microsoft.KeyVault/vaults/{key-vault-name}/secrets/RBACSecret

Полные сведения см. в статье "Назначение ролей Azure с помощью Azure PowerShell".

az role definition create --role-definition '{ \
   "Name": "Backup Keys Operator", \
   "Description": "Perform key backup/restore operations", \
    "Actions": [ 
    ], \
    "DataActions": [ \
        "Microsoft.KeyVault/vaults/keys/read ", \
        "Microsoft.KeyVault/vaults/keys/backup/action", \
         "Microsoft.KeyVault/vaults/keys/restore/action" \
    ], \
    "NotDataActions": [ 
   ], \
    "AssignableScopes": ["/subscriptions/{subscriptionId}"] \
}'

$roleDefinition = @"
{ 
   "Name": "Backup Keys Operator", 
   "Description": "Perform key backup/restore operations", 
    "Actions": [ 
    ], 
    "DataActions": [ 
        "Microsoft.KeyVault/vaults/keys/read ", 
        "Microsoft.KeyVault/vaults/keys/backup/action", 
         "Microsoft.KeyVault/vaults/keys/restore/action" 
    ], 
    "NotDataActions": [ 
   ], 
    "AssignableScopes": ["/subscriptions/{subscriptionId}"] 
}
"@

$roleDefinition | Out-File role.json

New-AzRoleDefinition -InputFile role.json

См. статью "Создание или обновление пользовательских ролей Azure" с помощью портала Azure.