Migração de RBAC do Key Vault
A Microsoft está a mudar o Azure Key Vault para o Azure RBAC como modelo de controlo de acesso predefinido para todos os novos Key Vaults a partir da versão da API 2026‑02‑01. Saiba mais aqui.
Embora o RBAC não seja estritamente obrigatório e os Key Vaults existentes que utilizam políticas de acesso podem continuar a operar como estão, inquilinos que criarem um novo Key Vault após a atualização para a nova API terão RBAC por predefinição, a menos que as políticas de acesso sejam configuradas explicitamente.
Pode ser uma boa ideia migrar para o RBAC na mesma, pois fornece um modelo de permissões mais unificado e escalável alinhado com o Microsoft Entra ID e protege a sua configuração contra o futuro caso a Microsoft descontinue as políticas de acesso do Key Vault.
Guia de Migração
Tenha em conta o tempo de inatividade antes de prosseguir. O SCEPman ficará incapaz de emitir ou verificar certificados até que as permissões sejam migradas com sucesso.
Revise as suas Políticas de Acesso existentes
Navegue para Políticas de acesso e documente as políticas de acesso do seu SCEPman em Aplicação. As políticas de acesso do SCEPman devem ter o mesmo nome que o seu App Service SCEPman (e quaisquer App Services SCEPman geo-redundantes).
Utilizador as políticas de acesso não precisam de ser migradas, pois não afetarão a funcionalidade do SCEPman. Os utilizadores que necessitem de acesso contínuo devem ter as suas políticas de acesso revistas e migradas para funções do Azure com base na tabela seguinte: https://learn.microsoft.com/en-us/azure/key-vault/general/rbac-migration?tabs=cli#access-policy-templates-to-azure-roles-mapping
Altere o Modelo de Permissões
Altere o Modelo de Permissões de Política de acesso do cofre para Controlo de acesso baseado em funções do Azure
Ao premir Aplicar a sua instância SCEPman será desligada do Key Vault até que as Funções do Azure sejam atribuídas. As políticas de acesso anteriores também serão removidas.
Atribuir Funções do Azure
Navegue para Controlo de acesso (IAM) e atribua as seguintes funções à identidade gerida do seu App Service SCEPman (e de quaisquer App Services SCEPman geo-redundantes):
Responsável por Certificados do Key Vault
Responsável Cripto do Key Vault
Utilizador de Segredos do Key Vault
As funções devem ser atribuídas uma de cada vez, no entanto podem ser atribuídas várias identidades a uma função.
A identidade gerida do Certificate Master (com -cm no nome) não requere acesso ao Key Vault.
Last updated
Was this helpful?