订阅级别与读者类似的角色，但阻止对密钥库的秘密访问和存储密钥的访问

时间：2019-12-09 13:34:54

标签： azure-active-directory azure-keyvault azure-security azure-rbac

我正在订阅中寻找某个RBAC角色，类似于“阅读器”，但与阅读器不同，它不应允许访问Key Vault机密和Azure存储Blob密钥。在订阅级别上有这样的角色吗？

1 个答案:

答案 0 :(得分：1)

  

类似于“阅读器”，但与阅读器不同的是，它不应允许访问Key Vault机密和Azure存储Blob密钥。

对于您来说，Reader角色是合适的。

要访问蔚蓝的密钥库秘密/密钥/证书，用户需要在get, list, set, delete中分配相应的权限，例如Access policies。没有权限，他将无法访问它们。但是您应该注意，不要将用户分配为Owner/Contributor/Key Vault Contributor角色（也许还有其他角色，只是一个提示），因为具有这些角色的用户可以将自己添加到Access policies中。 有关密钥库访问控制的更多详细信息，请参阅此link。

要访问Azure存储Blob密钥，用户将需要Microsoft.ClassicStorage/storageAccounts/listKeys/action不具有的Reader权限，因此它也是合适的。

以Reader角色为您进行测试：

存储空间：

enter image description here

Keyvault：

enter image description here

enter image description here

enter image description here

相关问题
最新问题