Atribuir uma política de acesso ao Key Vault (legado)

Atribuir uma política de acesso

1. No portal Azure, navegue até ao recurso Key Vault.

2. Selecione Políticas de acesso e, em seguida, selecione Criar:

   

3. Selecione as permissões desejadas em Permissões de chave, Permissões secretas e Permissões de certificado.

   

4. No painel de seleção Principal, insira o nome do usuário, aplicativo ou entidade de serviço no campo de pesquisa e selecione o resultado apropriado.

   

   Se você estiver usando uma identidade gerenciada para o aplicativo, pesquise e selecione o nome do próprio aplicativo. (Para mais informações sobre princípios de segurança, consulte autenticação do Key Vault.

5. Reveja as alterações à política de acesso e selecione Criar para guardar a política de acesso.

   

6. De volta à página Políticas de acesso, verifique se a sua política de acesso está listada.

   

Para mais informações sobre como criar grupos em Microsoft Entra ID usando o CLI do Azure, consulte az ad group create e az ad group member add.

Configure a CLI do Azure e inicie sessão

1. Para executar CLI do Azure comandos localmente, instale o CLI do Azure.

   Para executar comandos diretamente na cloud, use o Azure Cloud Shell.

2. Apenas CLI local: iniciar sessão em Azure usando az login:

   az login
   

   O az login comando abre uma janela do navegador para coletar credenciais, se necessário.

Adquira o ID do objeto

Determine a ID do objeto do aplicativo, grupo ou usuário ao qual você deseja atribuir a política de acesso:

• Aplicativos e outras entidades de serviço: use o comando az ad sp list para recuperar suas entidades de serviço. Examine a saída do comando para determinar a ID do objeto da entidade de segurança à qual você deseja atribuir a diretiva de acesso.

  az ad sp list --show-mine
  

• Grupos: use o comando az ad group list , filtrando os resultados com o --display-name parâmetro:

  az ad group list --display-name <search-string>
  

• Utilizadores: use o comando az ad user show, passando o endereço de e-mail do utilizador no --id parâmetro:

  az ad user show --id <email-address-of-user>
  

Atribuir a política de acesso

Use o comando az keyvault set-policy para atribuir as permissões desejadas:

az keyvault set-policy --name myKeyVault --object-id <object-id> --secret-permissions <secret-permissions> --key-permissions <key-permissions> --certificate-permissions <certificate-permissions>

Substitua <object-id> pelo ID do objeto do seu principal de segurança.

Você só precisa incluir --secret-permissions, --key-permissions e --certificate-permissions ao atribuir permissões a esses tipos específicos. Os valores permitidos para <secret-permissions>, <key-permissions>e <certificate-permissions> são fornecidos na documentação az keyvault set-policy .

Para mais informações sobre a criação de grupos em Microsoft Entra ID usando Azure PowerShell, consulte New-AzADGroup e Add-AzADGroupMember.

Configurar o PowerShell e entrar

1. Para executar comandos localmente, instala Azure PowerShell se ainda não o fizeste.

   Para executar comandos diretamente na cloud, use o Azure Cloud Shell.

2. PowerShell local somente:

   1. Instala o módulo PowerShell Microsoft Entra ID.

   2. Iniciar sessão no Azure:

      Connect-AzAccount
      

Adquira o ID do objeto

Determine a ID do objeto do aplicativo, grupo ou usuário ao qual você deseja atribuir a política de acesso:

• Aplicações e outras entidades de serviço: use o cmdlet Get-AzADServicePrincipal com o parâmetro -SearchString para filtrar os resultados pelo nome da entidade de serviço desejada.

  Get-AzADServicePrincipal -SearchString "<search-string>"
  

• Grupos: use o cmdlet Get-AzADGroup com o -SearchString parâmetro para filtrar os resultados pelo nome do grupo desejado:

  Get-AzADGroup -SearchString "<search-string>"
  

  Na saída, o ID do objeto é listado como Id.

• Utilizadores: utilizem o cmdlet Get-AzADUser, passando o endereço de e-mail do utilizador para o -UserPrincipalName parâmetro.

   Get-AzAdUser -UserPrincipalName <email-address-of-user>
  

  Na saída, o ID do objeto é listado como Id.

Atribuir a política de acesso

Use o cmdlet Set-AzKeyVaultAccessPolicy para atribuir a política de acesso:

Set-AzKeyVaultAccessPolicy -VaultName "<vault-name>" -ObjectId "<object-id>" -PermissionsToSecrets <secrets-permissions> -PermissionsToKeys <keys-permissions> -PermissionsToCertificates <certificate-permissions>    

Você só precisa incluir -PermissionsToSecrets, -PermissionsToKeys e -PermissionsToCertificates ao atribuir permissões a esses tipos específicos. Os valores permitidos para <secret-permissions>, <key-permissions>, e <certificate-permissions> são fornecidos na documentação Set-AzKeyVaultAccessPolicy - Parameters .