التحكم في الوصول استنادا إلى الدور في Azure (Azure RBAC) مقابل نهج الوصول (القديمة)
هام
عند استخدام نموذج إذن نهج الوصول، يمكن للمستخدم الذي لديه Contributorأو Key Vault Contributorأو أي دور آخر يتضمن Microsoft.KeyVault/vaults/write أذونات لمستوى إدارة مخزن المفاتيح منح نفسه حق الوصول إلى مستوى البيانات عن طريق تعيين نهج الوصول إلى Key Vault. لمنع الوصول غير المصرح به وإدارة خزائن المفاتيح والمفاتيح والأسرار والشهادات، من الضروري الحد من وصول دور المساهم إلى خزائن المفاتيح ضمن نموذج إذن نهج الوصول. للتخفيف من هذه المخاطر، نوصي باستخدام نموذج إذن التحكم في الوصول استنادا إلى الدور (RBAC)، والذي يقيد إدارة الأذونات إلى أدوار "المالك" و"مسؤول وصول المستخدم"، ما يسمح بفصل واضح بين عمليات الأمان والواجبات الإدارية. راجع دليل التحكم في الوصول استنادا إلى الدور في Key Vault وما هو Azure RBAC؟ لمزيد من المعلومات.
يوفر Azure Key Vault نظامين للتخويل: التحكم في الوصول استنادا إلى الدور في Azure (Azure RBAC)، والذي يعمل على مستويات التحكم والبيانات في Azure، ونموذج نهج الوصول، الذي يعمل على مستوى البيانات وحده.
تم إنشاء Azure RBAC على Azure Resource Manager ويوفر إدارة وصول مركزية لموارد Azure. باستخدام التحكم في الوصول استناداً إلى الدور من Azure يمكنك التحكم في الوصول إلى الموارد عن طريق إنشاء تعيينات الأدوار، والتي تتكون من ثلاثة عناصر: أساس الأمان، وتعريف دور (مجموعة محددة مسبقاً من الأذونات)، ونطاق (مجموعة من الموارد أو مورد فردي).
نموذج نهج الوصول هو نظام تخويل قديم، أصلي في Key Vault، والذي يوفر الوصول إلى المفاتيح والأسرار والشهادات. يمكنك التحكم في الوصول عن طريق تعيين أذونات فردية لأساسيات الأمان (المستخدمين والمجموعات وكيانات الخدمة والهويات المدارة) في نطاق Key Vault.
توصية التحكم في الوصول إلى مستوى البيانات
Azure RBAC هو نظام التخويل الموصى به لمستوى بيانات Azure Key Vault. يوفر العديد من المزايا على نهج الوصول إلى Key Vault:
- يوفر Azure RBAC نموذج تحكم في الوصول الموحد لموارد Azure - يتم استخدام واجهات برمجة التطبيقات نفسها عبر جميع خدمات Azure.
- يتم مركزية إدارة الوصول، ما يوفر للمسؤولين طريقة عرض متسقة للوصول الممنوح لموارد Azure.
- يتم التحكم بشكل أفضل في الحق في منح حق الوصول إلى المفاتيح والأسرار والشهادات، مما يتطلب عضوية دور المالك أو مسؤول وصول المستخدم.
- يتم دمج Azure RBAC مع إدارة الهويات المتميزة، ما يضمن أن حقوق الوصول المتميزة محدودة زمنيا وتنتهي صلاحيتها تلقائيا.
- يمكن استبعاد وصول أساسيات الأمان في نطاق (نطاقات) معين من خلال استخدام رفض التعيينات.
لانتقال التحكم في الوصول إلى مستوى بيانات Key Vault من نهج الوصول إلى التحكم في الوصول استنادا إلى الدور، راجع الترحيل من نهج الوصول إلى المخزن إلى نموذج إذن التحكم في الوصول المستند إلى دور Azure.