Migración de RBAC de Key Vault
Microsoft está cambiando Azure Key Vault hacia Azure RBAC como el modelo de control de acceso predeterminado para todos los nuevos Key Vaults a partir de la versión de API 2026‑02‑01. Lee más aquí.
Aunque RBAC no es estrictamente obligatorio y los Key Vaults existentes que utilizan políticas de acceso pueden continuar funcionando como están, los inquilinos que creen un nuevo Key Vault después de actualizar a la nueva API tendrán RBAC por defecto a menos que las políticas de acceso se configuren explícitamente.
Puede ser una buena idea migrar a RBAC de todos modos, ya que ofrece un modelo de permisos más unificado y escalable alineado con Microsoft Entra ID y protege su configuración ante el futuro en caso de que Microsoft desapruebe las políticas de acceso de Key Vault.
Guía de migración
Tenga en cuenta el tiempo de inactividad antes de continuar. SCEPman no podrá emitir ni verificar certificados hasta que los permisos se hayan migrado correctamente.
Revise sus políticas de acceso existentes
Navegue a Políticas de acceso y documente las políticas de acceso de su SCEPman bajo Aplicación. Las políticas de acceso de SCEPman deben compartir el mismo nombre que su App Service de SCEPman (y cualquier App Service de SCEPman georredundante).
Usuario las políticas de acceso no necesitan ser migradas ya que no afectarán la funcionalidad de SCEPman. Los usuarios que requieran acceso continuado deberán ver sus políticas de acceso y migrarlas a roles de Azure según la siguiente tabla: https://learn.microsoft.com/en-us/azure/key-vault/general/rbac-migration?tabs=cli#access-policy-templates-to-azure-roles-mapping
Cambiar el modelo de permisos
Cambiar el modelo de permisos de Política de acceso del almacén a Control de acceso basado en roles de Azure
Al presionar Aplicar desconectará su instancia de SCEPman del Key Vault hasta que se asignen los roles de Azure. Las políticas de acceso previas también se eliminarán.
Asignar roles de Azure
Navegue a Control de acceso (IAM) y asigne los siguientes roles a la identidad administrada de su App Service de SCEPman (y de cualquier App Service de SCEPman georredundante):
Responsable de certificados de Key Vault
Responsable criptográfico de Key Vault
Usuario de secretos de Key Vault
Los roles deben asignarse uno a la vez, sin embargo se pueden asignar varias identidades a un mismo rol.
La identidad administrada del Certificate Master (con -cm en su nombre) no requiere acceso al Key Vault.
Última actualización
¿Te fue útil?