Compartir a través de

Almacenes de Microsoft.KeyVault 2019-09-01

  • Artículo

Observaciones

Para obtener instrucciones sobre el uso de almacenes de claves para valores seguros, consulte Administración de secretos mediante Bicep.

Para ver un inicio rápido sobre cómo crear un secreto, consulte inicio rápido : Establecimiento y recuperación de un secreto de Azure Key Vault mediante una plantilla de ARM.

Para ver un inicio rápido sobre cómo crear una clave, consulte inicio rápido : Creación de un almacén de claves de Azure y una clave mediante la plantilla de ARM.

Definición de recursos de Bicep

El tipo de recurso vaults se puede implementar con operaciones destinadas a:

Para obtener una lista de las propiedades modificadas en cada versión de API, consulte registro de cambios.

Formato de recurso

Para crear un recurso Microsoft.KeyVault/vaults, agregue lo siguiente a la plantilla de Bicep.

resource symbolicname 'Microsoft.KeyVault/vaults@2019-09-01' = {
  location: 'string'
  name: 'string'
  properties: {
    accessPolicies: [
      {
        applicationId: 'string'
        objectId: 'string'
        permissions: {
          certificates: [
            'string'
          ]
          keys: [
            'string'
          ]
          secrets: [
            'string'
          ]
          storage: [
            'string'
          ]
        }
        tenantId: 'string'
      }
    ]
    createMode: 'string'
    enabledForDeployment: bool
    enabledForDiskEncryption: bool
    enabledForTemplateDeployment: bool
    enablePurgeProtection: bool
    enableRbacAuthorization: bool
    enableSoftDelete: bool
    networkAcls: {
      bypass: 'string'
      defaultAction: 'string'
      ipRules: [
        {
          value: 'string'
        }
      ]
      virtualNetworkRules: [
        {
          id: 'string'
          ignoreMissingVnetServiceEndpoint: bool
        }
      ]
    }
    provisioningState: 'string'
    sku: {
      family: 'string'
      name: 'string'
    }
    softDeleteRetentionInDays: int
    tenantId: 'string'
    vaultUri: 'string'
  }
  tags: {
    {customized property}: 'string'
  }
}

Valores de propiedad

AccessPolicyEntry

Nombre Descripción Valor
applicationId Identificador de aplicación del cliente que realiza la solicitud en nombre de una entidad de seguridad cuerda

Restricciones:
Longitud mínima = 36
Longitud máxima = 36
Patrón = ^[0-9a-fA-F]{8}-([0-9a-fA-F]{4}-){3}[0-9a-fA-F]{12}$
objectId Identificador de objeto de un usuario, una entidad de servicio o un grupo de seguridad en el inquilino de Azure Active Directory para el almacén. El identificador de objeto debe ser único para la lista de directivas de acceso. string (obligatorio)
Permisos Permisos que la identidad tiene para claves, secretos y certificados. permisos (obligatorio)
tenantId Identificador de inquilino de Azure Active Directory que se debe usar para autenticar solicitudes en el almacén de claves. cuerda

Restricciones:
Longitud mínima = 36
Longitud máxima = 36
Patrón = ^[0-9a-fA-F]{8}-([0-9a-fA-F]{4}-){3}[0-9a-fA-F]{12}$ (obligatorio)

IPRule

Nombre Descripción Valor
valor Intervalo de direcciones IPv4 en notación CIDR, como "124.56.78.91" (dirección IP simple) o "124.56.78.0/24" (todas las direcciones que comienzan por 124.56.78). string (obligatorio)

Microsoft.KeyVault/vaults

Nombre Descripción Valor
ubicación Ubicación de Azure admitida en la que se debe crear el almacén de claves. string (obligatorio)
nombre El nombre del recurso cuerda

Restricciones:
Patrón = ^[a-zA-Z0-9-]{3,24}$ (obligatorio)
Propiedades Propiedades del almacén VaultProperties (obligatorio)
Etiquetas Etiquetas de recursos Diccionario de nombres y valores de etiqueta. Consulte etiquetas de en plantillas

NetworkRuleSet

Nombre Descripción Valor
puentear Indica qué tráfico puede omitir las reglas de red. Puede ser "AzureServices" o "None". Si no se especifica el valor predeterminado es "AzureServices". "AzureServices"
'Ninguno'
defaultAction Acción predeterminada cuando no hay ninguna regla de ipRules y de virtualNetworkRules coinciden. Esto solo se usa después de evaluar la propiedad bypass. 'Permitir'
'Denegar'
ipRules Lista de reglas de direcciones IP. IPRule []
virtualNetworkRules Lista de reglas de red virtual. virtualNetworkRule[]

Permisos

Nombre Descripción Valor
Certificados Permisos para certificados Matriz de cadenas que contiene cualquiera de:
'all'
"copia de seguridad"
'create'
'delete'
'deleteissuers'
'get'
'getissuers'
'import'
'list'
'listissuers'
'managecontacts'
'manageissuers'
'purgar'
'recover'
'restore'
'setissuers'
'update'
Llaves Permisos para claves Matriz de cadenas que contiene cualquiera de:
'all'
"copia de seguridad"
'create'
'descifrado'
'delete'
'encrypt'
'get'
'import'
'list'
'purgar'
'recover'
'restore'
'sign'
'unwrapKey'
'update'
'verify'
'wrapKey'
Secretos Permisos para secretos Matriz de cadenas que contiene cualquiera de:
'all'
"copia de seguridad"
'delete'
'get'
'list'
'purgar'
'recover'
'restore'
'set'
almacenamiento Permisos para cuentas de almacenamiento Matriz de cadenas que contiene cualquiera de:
'all'
"copia de seguridad"
'delete'
'deletesas'
'get'
'getsas'
'list'
'listsas'
'purgar'
'recover'
'regeneratekey'
'restore'
'set'
'setsas'
'update'

Sku

Nombre Descripción Valor
familia Nombre de familia de SKU 'A' (obligatorio)
nombre Nombre de SKU para especificar si el almacén de claves es un almacén estándar o un almacén Premium. 'Premium'
'estándar' (obligatorio)

VaultCreateOrUpdateParametersTags

Nombre Descripción Valor

VaultProperties

Nombre Descripción Valor
accessPolicies Matriz de 0 a 1024 identidades que tienen acceso al almacén de claves. Todas las identidades de la matriz deben usar el mismo identificador de inquilino que el identificador de inquilino del almacén de claves. Cuando createMode se establece en recover, no se requieren directivas de acceso. De lo contrario, se requieren directivas de acceso. accessPolicyEntry[]
createMode Modo de creación del almacén para indicar si el almacén debe recuperarse o no. 'default'
'recover'
enabledForDeployment Propiedad para especificar si Azure Virtual Machines puede recuperar certificados almacenados como secretos del almacén de claves. Bool
enabledForDiskEncryption Propiedad para especificar si Azure Disk Encryption puede recuperar secretos del almacén y desencapsular claves. Bool
enabledForTemplateDeployment Propiedad para especificar si Azure Resource Manager puede recuperar secretos del almacén de claves. Bool
enablePurgeProtection Propiedad que especifica si la protección contra purga está habilitada para este almacén. Si se establece esta propiedad en true, se activa la protección frente a la purga de este almacén y su contenido; solo el servicio Key Vault puede iniciar una eliminación irrecuperable y difícil. La configuración solo es efectiva si la eliminación temporal también está habilitada. La habilitación de esta funcionalidad es irreversible; es decir, la propiedad no acepta false como su valor. Bool
enableRbacAuthorization Propiedad que controla cómo se autorizan las acciones de datos. Cuando es true, el almacén de claves usará el Control de acceso basado en rol (RBAC) para la autorización de acciones de datos y se omitirán las directivas de acceso especificadas en las propiedades del almacén. Cuando es false, el almacén de claves usará las directivas de acceso especificadas en las propiedades del almacén y se omitirá cualquier directiva almacenada en Azure Resource Manager. Si se especifica null o no, el almacén se crea con el valor predeterminado de false. Tenga en cuenta que las acciones de administración siempre están autorizadas con RBAC. Bool
enableSoftDelete Propiedad para especificar si la funcionalidad de "eliminación temporal" está habilitada para este almacén de claves. Si no se establece en ningún valor (true o false) al crear un nuevo almacén de claves, se establecerá en true de forma predeterminada. Una vez establecido en true, no se puede revertir a false. Bool
networkAcls Reglas que rigen la accesibilidad del almacén de claves desde ubicaciones de red específicas. NetworkRuleSet
provisioningState Estado de aprovisionamiento del almacén. "RegisteringDns"
"Correcto"
Sku Detalles de la SKU de Sku (obligatorio)
softDeleteRetentionInDays días de retención de datos softDelete. Acepta >=7 y <=90. Int
tenantId Identificador de inquilino de Azure Active Directory que se debe usar para autenticar solicitudes en el almacén de claves. cuerda

Restricciones:
Longitud mínima = 36
Longitud máxima = 36
Patrón = ^[0-9a-fA-F]{8}-([0-9a-fA-F]{4}-){3}[0-9a-fA-F]{12}$ (obligatorio)
vaultUri Identificador URI del almacén para realizar operaciones en claves y secretos. Esta propiedad es de solo lectura cuerda

VirtualNetworkRule

Nombre Descripción Valor
identificación Identificador de recurso completo de una subred de red virtual, como "/subscriptions/subid/resourceGroups/rg1/providers/Microsoft.Network/virtualNetworks/test-vnet/subnets/subnet1". string (obligatorio)
ignoreMissingVnetServiceEndpoint Propiedad para especificar si NRP omitirá la comprobación si la subred primaria tiene serviceEndpoints configurado. Bool

Ejemplos de inicio rápido

En los ejemplos de inicio rápido siguientes se implementa este tipo de recurso.

Archivo de Bicep Descripción
clúster de AKS con una puerta de enlace NAT y un de Application Gateway En este ejemplo se muestra cómo implementar un clúster de AKS con NAT Gateway para las conexiones salientes y una instancia de Application Gateway para las conexiones entrantes.
clúster de AKS con el controlador de entrada de Application Gateway En este ejemplo se muestra cómo implementar un clúster de AKS con Application Gateway, Application Gateway Ingress Controller, Azure Container Registry, Log Analytics y Key Vault
Application Gateway con API Management interno y Web App Application Gateway enruta el tráfico de Internet a una instancia de API Management de red virtual (modo interno) que proporciona servicios a una API web hospedada en una aplicación web de Azure.
configuración básica de Azure AI Studio Este conjunto de plantillas muestra cómo configurar Azure AI Studio con la configuración básica, lo que significa que con el acceso público a Internet habilitado, las claves administradas por Microsoft para el cifrado y la configuración de identidad administrada por Microsoft para el recurso de IA.
configuración básica de Azure AI Studio Este conjunto de plantillas muestra cómo configurar Azure AI Studio con la configuración básica, lo que significa que con el acceso público a Internet habilitado, las claves administradas por Microsoft para el cifrado y la configuración de identidad administrada por Microsoft para el recurso de IA.
configuración básica de Azure AI Studio Este conjunto de plantillas muestra cómo configurar Azure AI Studio con la configuración básica, lo que significa que con el acceso público a Internet habilitado, las claves administradas por Microsoft para el cifrado y la configuración de identidad administrada por Microsoft para el recurso de IA.
red restringida de Azure AI Studio Network Este conjunto de plantillas muestra cómo configurar Azure AI Studio con vínculo privado y salida deshabilitados, mediante claves administradas por Microsoft para el cifrado y la configuración de identidad administrada por Microsoft para el recurso de IA.
red restringida de Azure AI Studio Network Este conjunto de plantillas muestra cómo configurar Azure AI Studio con vínculo privado y salida deshabilitados, mediante claves administradas por Microsoft para el cifrado y la configuración de identidad administrada por Microsoft para el recurso de IA.
Azure AI Studio con la autenticación de id. de Entra de Microsoft Este conjunto de plantillas muestra cómo configurar Azure AI Studio con la autenticación de id. de Entra de Microsoft para recursos dependientes, como Azure AI Services y Azure Storage.
aplicación de funciones de Azure y una función desencadenada por HTTP En este ejemplo se implementa una aplicación de funciones de Azure y una función desencadenada por HTTP insertada en la plantilla. También implementa un almacén de claves y rellena un secreto con la clave de host de la aplicación de funciones.
configuración segura de un extremo a otro de Azure Machine Learning Este conjunto de plantillas de Bicep muestra cómo configurar Azure Machine Learning de un extremo a otro en una configuración segura. Esta implementación de referencia incluye el área de trabajo, un clúster de proceso, una instancia de proceso y un clúster de AKS privado asociado.
configuración segura de un extremo a otro de Azure Machine Learning (heredado) Este conjunto de plantillas de Bicep muestra cómo configurar Azure Machine Learning de un extremo a otro en una configuración segura. Esta implementación de referencia incluye el área de trabajo, un clúster de proceso, una instancia de proceso y un clúster de AKS privado asociado.
Cifrado de cuentas de Azure Storage con clave administrada por el cliente Esta plantilla implementa una cuenta de almacenamiento con una clave administrada por el cliente para el cifrado generado y colocado dentro de un almacén de claves.
Crear un almacén de claves y una lista de secretos Esta plantilla crea una instancia de Key Vault y una lista de secretos dentro del almacén de claves tal como se pasa junto con los parámetros.
Crear un destino de proceso de AKS con una dirección IP privada Esta plantilla crea un destino de proceso de AKS en un área de trabajo de Azure Machine Learning Service con una dirección IP privada.
Creación de un servicio API Management con SSL desde KeyVault Esta plantilla implementa un servicio de API Management configurado con identidad asignada por el usuario. Usa esta identidad para capturar el certificado SSL de KeyVault y lo mantiene actualizado comprobando cada 4 horas.
Creación de una instancia de Azure Key Vault y un secreto Esta plantilla crea una instancia de Azure Key Vault y un secreto.
Creación de una instancia de Azure Key Vault con RBAC y un secreto Esta plantilla crea una instancia de Azure Key Vault y un secreto. En lugar de depender de las directivas de acceso, aprovecha Azure RBAC para administrar la autorización en secretos.
Creación de un área de trabajo de Azure Machine Learning Service Esta plantilla de implementación especifica un área de trabajo de Azure Machine Learning y sus recursos asociados, incluidos Azure Key Vault, Azure Storage, Azure Application Insights y Azure Container Registry. Esta configuración describe el conjunto mínimo de recursos que necesita para empezar a trabajar con Azure Machine Learning.
Creación de un área de trabajo de Azure Machine Learning Service (CMK) Esta plantilla de implementación especifica cómo crear un área de trabajo de Azure Machine Learning con cifrado del lado servicio mediante las claves de cifrado.
Creación de un área de trabajo de Azure Machine Learning Service (CMK) Esta plantilla de implementación especifica un área de trabajo de Azure Machine Learning y sus recursos asociados, incluidos Azure Key Vault, Azure Storage, Azure Application Insights y Azure Container Registry. En el ejemplo se muestra cómo configurar Azure Machine Learning para el cifrado con una clave de cifrado administrada por el cliente.
Creación de un área de trabajo de Azure Machine Learning Service (heredada) Esta plantilla de implementación especifica un área de trabajo de Azure Machine Learning y sus recursos asociados, incluidos Azure Key Vault, Azure Storage, Azure Application Insights y Azure Container Registry. Esta configuración describe el conjunto de recursos que necesita para empezar a trabajar con Azure Machine Learning en una configuración aislada de red.
Creación de un área de trabajo de Azure Machine Learning Service (vnet) Esta plantilla de implementación especifica un área de trabajo de Azure Machine Learning y sus recursos asociados, incluidos Azure Key Vault, Azure Storage, Azure Application Insights y Azure Container Registry. Esta configuración describe el conjunto de recursos que necesita para empezar a trabajar con Azure Machine Learning en una configuración aislada de red.
crear Application Gateway con certificados Esta plantilla muestra cómo generar certificados autofirmados de Key Vault y, a continuación, hacer referencia desde Application Gateway.
Creación de Key Vault con el registro habilitado Esta plantilla crea una instancia de Azure Key Vault y una cuenta de Azure Storage que se usa para el registro. Opcionalmente, crea bloqueos de recursos para proteger los recursos de Almacenamiento y Key Vault.
Crear almacén de claves, identidad administrada y de asignación de roles Esta plantilla crea un almacén de claves, una identidad administrada y una asignación de roles.
Crea un recurso de punto de conexión privado entre inquilinos Esta plantilla le permite crear un recurso de punto de conexión priavate dentro del mismo entorno de inquilino o entre inquilinos y agregar la configuración de zona dns.
Crea una aplicación dapr pub-sub servicebus mediante Container Apps Cree una aplicación pub-sub servicebus de Dapr mediante Container Apps.
Implementación segura de Azure AI Studio con una red virtual administrada Esta plantilla crea un entorno seguro de Azure AI Studio con restricciones sólidas de seguridad de red e identidad.
Implementación de Sports Analytics en la arquitectura de Azure Crea una cuenta de Azure Storage con ADLS Gen 2 habilitado, una instancia de Azure Data Factory con servicios vinculados para la cuenta de almacenamiento (una instancia de Azure SQL Database si se implementa) y una instancia de Azure Databricks. AAD identity for the user deploying the template and the managed identity for the ADF instance will be granted the Storage Blob Data Contributor role on the storage account. También hay opciones para implementar una instancia de Azure Key Vault, una instancia de Azure SQL Database y un centro de eventos de Azure (para casos de uso de streaming). Cuando se implementa una instancia de Azure Key Vault, a la identidad administrada de Data Factory y a la identidad de AAD para el usuario que implementa la plantilla se le concederá el rol De usuario secretos de Key Vault.
del centro de FinOps de Esta plantilla crea una nueva instancia del centro de FinOps, incluido Data Lake Storage y Data Factory.
entorno de pruebas de para Azure Firewall Premium Esta plantilla crea una directiva de Firewall Premium y firewall de Azure Firewall con características premium, como detección de inspección de intrusiones (IDPS), inspección de TLS y filtrado de categoría web

Definición de recursos de plantilla de ARM

El tipo de recurso vaults se puede implementar con operaciones destinadas a:

Para obtener una lista de las propiedades modificadas en cada versión de API, consulte registro de cambios.

Formato de recurso

Para crear un recurso Microsoft.KeyVault/vaults, agregue el siguiente JSON a la plantilla.

{
  "type": "Microsoft.KeyVault/vaults",
  "apiVersion": "2019-09-01",
  "name": "string",
  "location": "string",
  "properties": {
    "accessPolicies": [
      {
        "applicationId": "string",
        "objectId": "string",
        "permissions": {
          "certificates": [ "string" ],
          "keys": [ "string" ],
          "secrets": [ "string" ],
          "storage": [ "string" ]
        },
        "tenantId": "string"
      }
    ],
    "createMode": "string",
    "enabledForDeployment": "bool",
    "enabledForDiskEncryption": "bool",
    "enabledForTemplateDeployment": "bool",
    "enablePurgeProtection": "bool",
    "enableRbacAuthorization": "bool",
    "enableSoftDelete": "bool",
    "networkAcls": {
      "bypass": "string",
      "defaultAction": "string",
      "ipRules": [
        {
          "value": "string"
        }
      ],
      "virtualNetworkRules": [
        {
          "id": "string",
          "ignoreMissingVnetServiceEndpoint": "bool"
        }
      ]
    },
    "provisioningState": "string",
    "sku": {
      "family": "string",
      "name": "string"
    },
    "softDeleteRetentionInDays": "int",
    "tenantId": "string",
    "vaultUri": "string"
  },
  "tags": {
    "{customized property}": "string"
  }
}

Valores de propiedad

AccessPolicyEntry

Nombre Descripción Valor
applicationId Identificador de aplicación del cliente que realiza la solicitud en nombre de una entidad de seguridad cuerda

Restricciones:
Longitud mínima = 36
Longitud máxima = 36
Patrón = ^[0-9a-fA-F]{8}-([0-9a-fA-F]{4}-){3}[0-9a-fA-F]{12}$
objectId Identificador de objeto de un usuario, una entidad de servicio o un grupo de seguridad en el inquilino de Azure Active Directory para el almacén. El identificador de objeto debe ser único para la lista de directivas de acceso. string (obligatorio)
Permisos Permisos que la identidad tiene para claves, secretos y certificados. permisos (obligatorio)
tenantId Identificador de inquilino de Azure Active Directory que se debe usar para autenticar solicitudes en el almacén de claves. cuerda

Restricciones:
Longitud mínima = 36
Longitud máxima = 36
Patrón = ^[0-9a-fA-F]{8}-([0-9a-fA-F]{4}-){3}[0-9a-fA-F]{12}$ (obligatorio)

IPRule

Nombre Descripción Valor
valor Intervalo de direcciones IPv4 en notación CIDR, como "124.56.78.91" (dirección IP simple) o "124.56.78.0/24" (todas las direcciones que comienzan por 124.56.78). string (obligatorio)

Microsoft.KeyVault/vaults

Nombre Descripción Valor
apiVersion La versión de api '2019-09-01'
ubicación Ubicación de Azure admitida en la que se debe crear el almacén de claves. string (obligatorio)
nombre El nombre del recurso cuerda

Restricciones:
Patrón = ^[a-zA-Z0-9-]{3,24}$ (obligatorio)
Propiedades Propiedades del almacén VaultProperties (obligatorio)
Etiquetas Etiquetas de recursos Diccionario de nombres y valores de etiqueta. Consulte etiquetas de en plantillas
tipo El tipo de recurso "Microsoft.KeyVault/vaults"

NetworkRuleSet

Nombre Descripción Valor
puentear Indica qué tráfico puede omitir las reglas de red. Puede ser "AzureServices" o "None". Si no se especifica el valor predeterminado es "AzureServices". "AzureServices"
'Ninguno'
defaultAction Acción predeterminada cuando no hay ninguna regla de ipRules y de virtualNetworkRules coinciden. Esto solo se usa después de evaluar la propiedad bypass. 'Permitir'
'Denegar'
ipRules Lista de reglas de direcciones IP. IPRule []
virtualNetworkRules Lista de reglas de red virtual. virtualNetworkRule[]

Permisos

Nombre Descripción Valor
Certificados Permisos para certificados Matriz de cadenas que contiene cualquiera de:
'all'
"copia de seguridad"
'create'
'delete'
'deleteissuers'
'get'
'getissuers'
'import'
'list'
'listissuers'
'managecontacts'
'manageissuers'
'purgar'
'recover'
'restore'
'setissuers'
'update'
Llaves Permisos para claves Matriz de cadenas que contiene cualquiera de:
'all'
"copia de seguridad"
'create'
'descifrado'
'delete'
'encrypt'
'get'
'import'
'list'
'purgar'
'recover'
'restore'
'sign'
'unwrapKey'
'update'
'verify'
'wrapKey'
Secretos Permisos para secretos Matriz de cadenas que contiene cualquiera de:
'all'
"copia de seguridad"
'delete'
'get'
'list'
'purgar'
'recover'
'restore'
'set'
almacenamiento Permisos para cuentas de almacenamiento Matriz de cadenas que contiene cualquiera de:
'all'
"copia de seguridad"
'delete'
'deletesas'
'get'
'getsas'
'list'
'listsas'
'purgar'
'recover'
'regeneratekey'
'restore'
'set'
'setsas'
'update'

Sku

Nombre Descripción Valor
familia Nombre de familia de SKU 'A' (obligatorio)
nombre Nombre de SKU para especificar si el almacén de claves es un almacén estándar o un almacén Premium. 'Premium'
'estándar' (obligatorio)

VaultCreateOrUpdateParametersTags

Nombre Descripción Valor

VaultProperties

Nombre Descripción Valor
accessPolicies Matriz de 0 a 1024 identidades que tienen acceso al almacén de claves. Todas las identidades de la matriz deben usar el mismo identificador de inquilino que el identificador de inquilino del almacén de claves. Cuando createMode se establece en recover, no se requieren directivas de acceso. De lo contrario, se requieren directivas de acceso. accessPolicyEntry[]
createMode Modo de creación del almacén para indicar si el almacén debe recuperarse o no. 'default'
'recover'
enabledForDeployment Propiedad para especificar si Azure Virtual Machines puede recuperar certificados almacenados como secretos del almacén de claves. Bool
enabledForDiskEncryption Propiedad para especificar si Azure Disk Encryption puede recuperar secretos del almacén y desencapsular claves. Bool
enabledForTemplateDeployment Propiedad para especificar si Azure Resource Manager puede recuperar secretos del almacén de claves. Bool
enablePurgeProtection Propiedad que especifica si la protección contra purga está habilitada para este almacén. Si se establece esta propiedad en true, se activa la protección frente a la purga de este almacén y su contenido; solo el servicio Key Vault puede iniciar una eliminación irrecuperable y difícil. La configuración solo es efectiva si la eliminación temporal también está habilitada. La habilitación de esta funcionalidad es irreversible; es decir, la propiedad no acepta false como su valor. Bool
enableRbacAuthorization Propiedad que controla cómo se autorizan las acciones de datos. Cuando es true, el almacén de claves usará el Control de acceso basado en rol (RBAC) para la autorización de acciones de datos y se omitirán las directivas de acceso especificadas en las propiedades del almacén. Cuando es false, el almacén de claves usará las directivas de acceso especificadas en las propiedades del almacén y se omitirá cualquier directiva almacenada en Azure Resource Manager. Si se especifica null o no, el almacén se crea con el valor predeterminado de false. Tenga en cuenta que las acciones de administración siempre están autorizadas con RBAC. Bool
enableSoftDelete Propiedad para especificar si la funcionalidad de "eliminación temporal" está habilitada para este almacén de claves. Si no se establece en ningún valor (true o false) al crear un nuevo almacén de claves, se establecerá en true de forma predeterminada. Una vez establecido en true, no se puede revertir a false. Bool
networkAcls Reglas que rigen la accesibilidad del almacén de claves desde ubicaciones de red específicas. NetworkRuleSet
provisioningState Estado de aprovisionamiento del almacén. "RegisteringDns"
"Correcto"
Sku Detalles de la SKU de Sku (obligatorio)
softDeleteRetentionInDays días de retención de datos softDelete. Acepta >=7 y <=90. Int
tenantId Identificador de inquilino de Azure Active Directory que se debe usar para autenticar solicitudes en el almacén de claves. cuerda

Restricciones:
Longitud mínima = 36
Longitud máxima = 36
Patrón = ^[0-9a-fA-F]{8}-([0-9a-fA-F]{4}-){3}[0-9a-fA-F]{12}$ (obligatorio)
vaultUri Identificador URI del almacén para realizar operaciones en claves y secretos. Esta propiedad es de solo lectura cuerda

VirtualNetworkRule

Nombre Descripción Valor
identificación Identificador de recurso completo de una subred de red virtual, como "/subscriptions/subid/resourceGroups/rg1/providers/Microsoft.Network/virtualNetworks/test-vnet/subnets/subnet1". string (obligatorio)
ignoreMissingVnetServiceEndpoint Propiedad para especificar si NRP omitirá la comprobación si la subred primaria tiene serviceEndpoints configurado. Bool

Plantillas de inicio rápido

Las siguientes plantillas de inicio rápido implementan este tipo de recurso.

Plantilla Descripción
clúster de AKS con una puerta de enlace NAT y un de Application Gateway

Implementación en Azure 		En este ejemplo se muestra cómo implementar un clúster de AKS con NAT Gateway para las conexiones salientes y una instancia de Application Gateway para las conexiones entrantes.
clúster de AKS con el controlador de entrada de Application Gateway

Implementación en Azure 		En este ejemplo se muestra cómo implementar un clúster de AKS con Application Gateway, Application Gateway Ingress Controller, Azure Container Registry, Log Analytics y Key Vault
App Service Environment con back-end de Azure SQL

Implementación en Azure 		Esta plantilla crea una instancia de App Service Environment con un back-end de Azure SQL junto con puntos de conexión privados junto con los recursos asociados que se suelen usar en un entorno privado o aislado.
Application Gateway con API Management interno y Web App

Implementación en Azure 		Application Gateway enruta el tráfico de Internet a una instancia de API Management de red virtual (modo interno) que proporciona servicios a una API web hospedada en una aplicación web de Azure.
configuración básica de Azure AI Studio

Implementación en Azure 		Este conjunto de plantillas muestra cómo configurar Azure AI Studio con la configuración básica, lo que significa que con el acceso público a Internet habilitado, las claves administradas por Microsoft para el cifrado y la configuración de identidad administrada por Microsoft para el recurso de IA.
configuración básica de Azure AI Studio

Implementación en Azure 		Este conjunto de plantillas muestra cómo configurar Azure AI Studio con la configuración básica, lo que significa que con el acceso público a Internet habilitado, las claves administradas por Microsoft para el cifrado y la configuración de identidad administrada por Microsoft para el recurso de IA.
configuración básica de Azure AI Studio

Implementación en Azure 		Este conjunto de plantillas muestra cómo configurar Azure AI Studio con la configuración básica, lo que significa que con el acceso público a Internet habilitado, las claves administradas por Microsoft para el cifrado y la configuración de identidad administrada por Microsoft para el recurso de IA.
red restringida de Azure AI Studio Network

Implementación en Azure 		Este conjunto de plantillas muestra cómo configurar Azure AI Studio con vínculo privado y salida deshabilitados, mediante claves administradas por Microsoft para el cifrado y la configuración de identidad administrada por Microsoft para el recurso de IA.
red restringida de Azure AI Studio Network

Implementación en Azure 		Este conjunto de plantillas muestra cómo configurar Azure AI Studio con vínculo privado y salida deshabilitados, mediante claves administradas por Microsoft para el cifrado y la configuración de identidad administrada por Microsoft para el recurso de IA.
Azure AI Studio con la autenticación de id. de Entra de Microsoft

Implementación en Azure 		Este conjunto de plantillas muestra cómo configurar Azure AI Studio con la autenticación de id. de Entra de Microsoft para recursos dependientes, como Azure AI Services y Azure Storage.
aplicación de funciones de Azure y una función desencadenada por HTTP

Implementación en Azure 		En este ejemplo se implementa una aplicación de funciones de Azure y una función desencadenada por HTTP insertada en la plantilla. También implementa un almacén de claves y rellena un secreto con la clave de host de la aplicación de funciones.
configuración segura de un extremo a otro de Azure Machine Learning

Implementación en Azure 		Este conjunto de plantillas de Bicep muestra cómo configurar Azure Machine Learning de un extremo a otro en una configuración segura. Esta implementación de referencia incluye el área de trabajo, un clúster de proceso, una instancia de proceso y un clúster de AKS privado asociado.
configuración segura de un extremo a otro de Azure Machine Learning (heredado)

Implementación en Azure 		Este conjunto de plantillas de Bicep muestra cómo configurar Azure Machine Learning de un extremo a otro en una configuración segura. Esta implementación de referencia incluye el área de trabajo, un clúster de proceso, una instancia de proceso y un clúster de AKS privado asociado.
área de trabajo de Azure Machine Learning

Implementación en Azure 		Esta plantilla crea un área de trabajo de Azure Machine Learning, junto con una cuenta de almacenamiento cifrada, el registro de KeyVault y Applications Insights.
Cifrado de cuentas de Azure Storage con clave administrada por el cliente

Implementación en Azure 		Esta plantilla implementa una cuenta de almacenamiento con una clave administrada por el cliente para el cifrado generado y colocado dentro de un almacén de claves.
Conectarse a un almacén de claves a través de un punto de conexión privado

Implementación en Azure 		En este ejemplo se muestra cómo usar la configuración de una red virtual y una zona DNS privada para acceder a Key Vault a través de un punto de conexión privado.
Crear un almacén de claves y una lista de secretos

Implementación en Azure 		Esta plantilla crea una instancia de Key Vault y una lista de secretos dentro del almacén de claves tal como se pasa junto con los parámetros.
Crear un KeyVault

Implementación en Azure 		Este módulo crea un recurso keyVault con apiVersion 2019-09-01.
Crear una máquina virtual windows cifrada a partir de la imagen de la galería

Implementación en Azure 		Esta plantilla crea una nueva máquina virtual windows cifrada con la imagen de la galería server 2k12.
Crear un clúster de AKS privado con una zona DNS pública

Implementación en Azure 		En este ejemplo se muestra cómo implementar un clúster de AKS privado con una zona DNS pública.
Creación de un área de trabajo de AML con varios conjuntos de datos & almacenes de datos

Implementación en Azure 		Esta plantilla crea un área de trabajo de Azure Machine Learning con varios conjuntos de datos & almacenes de datos.
Crear un destino de proceso de AKS con una dirección IP privada

Implementación en Azure 		Esta plantilla crea un destino de proceso de AKS en un área de trabajo de Azure Machine Learning Service con una dirección IP privada.
Creación de un servicio API Management con SSL desde KeyVault

Implementación en Azure 		Esta plantilla implementa un servicio de API Management configurado con identidad asignada por el usuario. Usa esta identidad para capturar el certificado SSL de KeyVault y lo mantiene actualizado comprobando cada 4 horas.
Creación de una instancia de Application Gateway V2 con Key Vault

Implementación en Azure 		Esta plantilla implementa una instancia de Application Gateway V2 en una red virtual, una identidad definida por el usuario, Key Vault, un secreto (datos de certificado) y una directiva de acceso en Key Vault y Application Gateway.
Creación de una instancia de Azure Key Vault y un secreto

Implementación en Azure 		Esta plantilla crea una instancia de Azure Key Vault y un secreto.
Creación de una instancia de Azure Key Vault con RBAC y un secreto

Implementación en Azure 		Esta plantilla crea una instancia de Azure Key Vault y un secreto. En lugar de depender de las directivas de acceso, aprovecha Azure RBAC para administrar la autorización en secretos.
Creación de un área de trabajo de Azure Machine Learning Service

Implementación en Azure 		Esta plantilla de implementación especifica un área de trabajo de Azure Machine Learning y sus recursos asociados, incluidos Azure Key Vault, Azure Storage, Azure Application Insights y Azure Container Registry. Esta configuración describe el conjunto mínimo de recursos que necesita para empezar a trabajar con Azure Machine Learning.
Creación de un área de trabajo de Azure Machine Learning Service (CMK)

Implementación en Azure 		Esta plantilla de implementación especifica cómo crear un área de trabajo de Azure Machine Learning con cifrado del lado servicio mediante las claves de cifrado.
Creación de un área de trabajo de Azure Machine Learning Service (CMK)

Implementación en Azure 		Esta plantilla de implementación especifica un área de trabajo de Azure Machine Learning y sus recursos asociados, incluidos Azure Key Vault, Azure Storage, Azure Application Insights y Azure Container Registry. En el ejemplo se muestra cómo configurar Azure Machine Learning para el cifrado con una clave de cifrado administrada por el cliente.
Creación de un área de trabajo de Azure Machine Learning Service (heredada)

Implementación en Azure 		Esta plantilla de implementación especifica un área de trabajo de Azure Machine Learning y sus recursos asociados, incluidos Azure Key Vault, Azure Storage, Azure Application Insights y Azure Container Registry. Esta configuración describe el conjunto de recursos que necesita para empezar a trabajar con Azure Machine Learning en una configuración aislada de red.
Creación de un área de trabajo de Azure Machine Learning Service (vnet)

Implementación en Azure 		Esta plantilla de implementación especifica un área de trabajo de Azure Machine Learning y sus recursos asociados, incluidos Azure Key Vault, Azure Storage, Azure Application Insights y Azure Container Registry. Esta configuración describe el conjunto de recursos que necesita para empezar a trabajar con Azure Machine Learning en una configuración aislada de red.
Crear y cifrar un nuevo VMSS Windows con jumpbox

Implementación en Azure 		Esta plantilla permite implementar un conjunto de escalado de máquinas virtuales Windows simple mediante la versión revisada más reciente de las versiones de Windows serveral. Esta plantilla también implementa un jumpbox con una dirección IP pública en la misma red virtual. Puede conectarse al jumpbox a través de esta dirección IP pública y, a continuación, conectarse desde allí a las máquinas virtuales del conjunto de escalado a través de direcciones IP privadas. Esta plantilla habilita el cifrado en el conjunto de escalado de máquinas virtuales Windows.
crear Application Gateway con certificados

Implementación en Azure 		Esta plantilla muestra cómo generar certificados autofirmados de Key Vault y, a continuación, hacer referencia desde Application Gateway.
Creación de Key Vault con el registro habilitado

Implementación en Azure 		Esta plantilla crea una instancia de Azure Key Vault y una cuenta de Azure Storage que se usa para el registro. Opcionalmente, crea bloqueos de recursos para proteger los recursos de Almacenamiento y Key Vault.
Crear almacén de claves, identidad administrada y de asignación de roles

Implementación en Azure 		Esta plantilla crea un almacén de claves, una identidad administrada y una asignación de roles.
Creación de discos administrados cifrados win-vm desde la imagen de la galería

Implementación en Azure 		Esta plantilla crea una nueva máquina virtual windows de discos administrados cifrados mediante la imagen de la galería de server 2k12.
Crea un recurso de punto de conexión privado entre inquilinos

Implementación en Azure 		Esta plantilla le permite crear un recurso de punto de conexión priavate dentro del mismo entorno de inquilino o entre inquilinos y agregar la configuración de zona dns.
Crea una aplicación dapr pub-sub servicebus mediante Container Apps

Implementación en Azure 		Cree una aplicación pub-sub servicebus de Dapr mediante Container Apps.
crea un clúster de Azure Stack HCI 23H2

Implementación en Azure 		Esta plantilla crea un clúster de Azure Stack HCI 23H2 mediante una plantilla de ARM mediante una dirección IP de almacenamiento personalizada.
crea un clúster de Azure Stack HCI 23H2

Implementación en Azure 		Esta plantilla crea un clúster de Azure Stack HCI 23H2 mediante una plantilla de ARM.
crea un clúster de Azure Stack HCI 23H2 en el modo de redes de vínculo dual sin conmutador

Implementación en Azure 		Esta plantilla crea un clúster de Azure Stack HCI 23H2 mediante una plantilla de ARM.
crea un clúster de Azure Stack HCI 23H2 en Switchless-SingleLink modo de red

Implementación en Azure 		Esta plantilla crea un clúster de Azure Stack HCI 23H2 mediante una plantilla de ARM.
Implementación segura de Azure AI Studio con una red virtual administrada

Implementación en Azure 		Esta plantilla crea un entorno seguro de Azure AI Studio con restricciones sólidas de seguridad de red e identidad.
Implementación de Sports Analytics en la arquitectura de Azure

Implementación en Azure 		Crea una cuenta de Azure Storage con ADLS Gen 2 habilitado, una instancia de Azure Data Factory con servicios vinculados para la cuenta de almacenamiento (una instancia de Azure SQL Database si se implementa) y una instancia de Azure Databricks. AAD identity for the user deploying the template and the managed identity for the ADF instance will be granted the Storage Blob Data Contributor role on the storage account. También hay opciones para implementar una instancia de Azure Key Vault, una instancia de Azure SQL Database y un centro de eventos de Azure (para casos de uso de streaming). Cuando se implementa una instancia de Azure Key Vault, a la identidad administrada de Data Factory y a la identidad de AAD para el usuario que implementa la plantilla se le concederá el rol De usuario secretos de Key Vault.
Habilitar el cifrado en una máquina virtual Windows en ejecución

Implementación en Azure 		Esta plantilla habilita el cifrado en una máquina virtual windows en ejecución.
del centro de FinOps de

Implementación en Azure 		Esta plantilla crea una nueva instancia del centro de FinOps, incluido Data Lake Storage y Data Factory.
entorno de pruebas de para Azure Firewall Premium

Implementación en Azure 		Esta plantilla crea una directiva de Firewall Premium y firewall de Azure Firewall con características premium, como detección de inspección de intrusiones (IDPS), inspección de TLS y filtrado de categoría web
Esta plantilla cifra una máquina virtual Windows en ejecución

Implementación en Azure 		Esta plantilla habilita el cifrado en un conjunto de escalado de máquinas virtuales Windows en ejecución
actualiza un clúster de Azure Stack HCI 22H2 a un clúster de 23H2

Implementación en Azure 		Esta plantilla actualiza un clúster de Azure Stack HCI 22H2 a 23H2 mediante una plantilla de ARM.

Definición de recursos de Terraform (proveedor AzAPI)

El tipo de recurso vaults se puede implementar con operaciones destinadas a:

  • grupos de recursos de

Para obtener una lista de las propiedades modificadas en cada versión de API, consulte registro de cambios.

Formato de recurso

Para crear un recurso Microsoft.KeyVault/vaults, agregue lo siguiente a la plantilla de Terraform.

resource "azapi_resource" "symbolicname" {
  type = "Microsoft.KeyVault/vaults@2019-09-01"
  name = "string"
  location = "string"
  tags = {
    {customized property} = "string"
  }
  body = jsonencode({
    properties = {
      accessPolicies = [
        {
          applicationId = "string"
          objectId = "string"
          permissions = {
            certificates = [
              "string"
            ]
            keys = [
              "string"
            ]
            secrets = [
              "string"
            ]
            storage = [
              "string"
            ]
          }
          tenantId = "string"
        }
      ]
      createMode = "string"
      enabledForDeployment = bool
      enabledForDiskEncryption = bool
      enabledForTemplateDeployment = bool
      enablePurgeProtection = bool
      enableRbacAuthorization = bool
      enableSoftDelete = bool
      networkAcls = {
        bypass = "string"
        defaultAction = "string"
        ipRules = [
          {
            value = "string"
          }
        ]
        virtualNetworkRules = [
          {
            id = "string"
            ignoreMissingVnetServiceEndpoint = bool
          }
        ]
      }
      provisioningState = "string"
      sku = {
        family = "string"
        name = "string"
      }
      softDeleteRetentionInDays = int
      tenantId = "string"
      vaultUri = "string"
    }
  })
}

Valores de propiedad

AccessPolicyEntry

Nombre Descripción Valor
applicationId Identificador de aplicación del cliente que realiza la solicitud en nombre de una entidad de seguridad cuerda

Restricciones:
Longitud mínima = 36
Longitud máxima = 36
Patrón = ^[0-9a-fA-F]{8}-([0-9a-fA-F]{4}-){3}[0-9a-fA-F]{12}$
objectId Identificador de objeto de un usuario, una entidad de servicio o un grupo de seguridad en el inquilino de Azure Active Directory para el almacén. El identificador de objeto debe ser único para la lista de directivas de acceso. string (obligatorio)
Permisos Permisos que la identidad tiene para claves, secretos y certificados. permisos (obligatorio)
tenantId Identificador de inquilino de Azure Active Directory que se debe usar para autenticar solicitudes en el almacén de claves. cuerda

Restricciones:
Longitud mínima = 36
Longitud máxima = 36
Patrón = ^[0-9a-fA-F]{8}-([0-9a-fA-F]{4}-){3}[0-9a-fA-F]{12}$ (obligatorio)

IPRule

Nombre Descripción Valor
valor Intervalo de direcciones IPv4 en notación CIDR, como "124.56.78.91" (dirección IP simple) o "124.56.78.0/24" (todas las direcciones que comienzan por 124.56.78). string (obligatorio)

Microsoft.KeyVault/vaults

Nombre Descripción Valor
ubicación Ubicación de Azure admitida en la que se debe crear el almacén de claves. string (obligatorio)
nombre El nombre del recurso cuerda

Restricciones:
Patrón = ^[a-zA-Z0-9-]{3,24}$ (obligatorio)
Propiedades Propiedades del almacén VaultProperties (obligatorio)
Etiquetas Etiquetas de recursos Diccionario de nombres y valores de etiqueta.
tipo El tipo de recurso "Microsoft.KeyVault/vaults@2019-09-01"

NetworkRuleSet

Nombre Descripción Valor
puentear Indica qué tráfico puede omitir las reglas de red. Puede ser "AzureServices" o "None". Si no se especifica el valor predeterminado es "AzureServices". "AzureServices"
'Ninguno'
defaultAction Acción predeterminada cuando no hay ninguna regla de ipRules y de virtualNetworkRules coinciden. Esto solo se usa después de evaluar la propiedad bypass. 'Permitir'
'Denegar'
ipRules Lista de reglas de direcciones IP. IPRule []
virtualNetworkRules Lista de reglas de red virtual. virtualNetworkRule[]

Permisos

Nombre Descripción Valor
Certificados Permisos para certificados Matriz de cadenas que contiene cualquiera de:
'all'
"copia de seguridad"
'create'
'delete'
'deleteissuers'
'get'
'getissuers'
'import'
'list'
'listissuers'
'managecontacts'
'manageissuers'
'purgar'
'recover'
'restore'
'setissuers'
'update'
Llaves Permisos para claves Matriz de cadenas que contiene cualquiera de:
'all'
"copia de seguridad"
'create'
'descifrado'
'delete'
'encrypt'
'get'
'import'
'list'
'purgar'
'recover'
'restore'
'sign'
'unwrapKey'
'update'
'verify'
'wrapKey'
Secretos Permisos para secretos Matriz de cadenas que contiene cualquiera de:
'all'
"copia de seguridad"
'delete'
'get'
'list'
'purgar'
'recover'
'restore'
'set'
almacenamiento Permisos para cuentas de almacenamiento Matriz de cadenas que contiene cualquiera de:
'all'
"copia de seguridad"
'delete'
'deletesas'
'get'
'getsas'
'list'
'listsas'
'purgar'
'recover'
'regeneratekey'
'restore'
'set'
'setsas'
'update'

Sku

Nombre Descripción Valor
familia Nombre de familia de SKU 'A' (obligatorio)
nombre Nombre de SKU para especificar si el almacén de claves es un almacén estándar o un almacén Premium. 'Premium'
'estándar' (obligatorio)

VaultCreateOrUpdateParametersTags

Nombre Descripción Valor

VaultProperties

Nombre Descripción Valor
accessPolicies Matriz de 0 a 1024 identidades que tienen acceso al almacén de claves. Todas las identidades de la matriz deben usar el mismo identificador de inquilino que el identificador de inquilino del almacén de claves. Cuando createMode se establece en recover, no se requieren directivas de acceso. De lo contrario, se requieren directivas de acceso. accessPolicyEntry[]
createMode Modo de creación del almacén para indicar si el almacén debe recuperarse o no. 'default'
'recover'
enabledForDeployment Propiedad para especificar si Azure Virtual Machines puede recuperar certificados almacenados como secretos del almacén de claves. Bool
enabledForDiskEncryption Propiedad para especificar si Azure Disk Encryption puede recuperar secretos del almacén y desencapsular claves. Bool
enabledForTemplateDeployment Propiedad para especificar si Azure Resource Manager puede recuperar secretos del almacén de claves. Bool
enablePurgeProtection Propiedad que especifica si la protección contra purga está habilitada para este almacén. Si se establece esta propiedad en true, se activa la protección frente a la purga de este almacén y su contenido; solo el servicio Key Vault puede iniciar una eliminación irrecuperable y difícil. La configuración solo es efectiva si la eliminación temporal también está habilitada. La habilitación de esta funcionalidad es irreversible; es decir, la propiedad no acepta false como su valor. Bool
enableRbacAuthorization Propiedad que controla cómo se autorizan las acciones de datos. Cuando es true, el almacén de claves usará el Control de acceso basado en rol (RBAC) para la autorización de acciones de datos y se omitirán las directivas de acceso especificadas en las propiedades del almacén. Cuando es false, el almacén de claves usará las directivas de acceso especificadas en las propiedades del almacén y se omitirá cualquier directiva almacenada en Azure Resource Manager. Si se especifica null o no, el almacén se crea con el valor predeterminado de false. Tenga en cuenta que las acciones de administración siempre están autorizadas con RBAC. Bool
enableSoftDelete Propiedad para especificar si la funcionalidad de "eliminación temporal" está habilitada para este almacén de claves. Si no se establece en ningún valor (true o false) al crear un nuevo almacén de claves, se establecerá en true de forma predeterminada. Una vez establecido en true, no se puede revertir a false. Bool
networkAcls Reglas que rigen la accesibilidad del almacén de claves desde ubicaciones de red específicas. NetworkRuleSet
provisioningState Estado de aprovisionamiento del almacén. "RegisteringDns"
"Correcto"
Sku Detalles de la SKU de Sku (obligatorio)
softDeleteRetentionInDays días de retención de datos softDelete. Acepta >=7 y <=90. Int
tenantId Identificador de inquilino de Azure Active Directory que se debe usar para autenticar solicitudes en el almacén de claves. cuerda

Restricciones:
Longitud mínima = 36
Longitud máxima = 36
Patrón = ^[0-9a-fA-F]{8}-([0-9a-fA-F]{4}-){3}[0-9a-fA-F]{12}$ (obligatorio)
vaultUri Identificador URI del almacén para realizar operaciones en claves y secretos. Esta propiedad es de solo lectura cuerda

VirtualNetworkRule

Nombre Descripción Valor
identificación Identificador de recurso completo de una subred de red virtual, como "/subscriptions/subid/resourceGroups/rg1/providers/Microsoft.Network/virtualNetworks/test-vnet/subnets/subnet1". string (obligatorio)
ignoreMissingVnetServiceEndpoint Propiedad para especificar si NRP omitirá la comprobación si la subred primaria tiene serviceEndpoints configurado. Bool