Usare le identità gestite per accedere ai certificati di Azure Key Vault
Le identità gestite fornite da Microsoft Entra ID consentono all'istanza di Frontdoor di Azure di accedere in modo sicuro ad altre risorse protette di Microsoft Entra, ad esempio Azure Key Vault, senza la necessità di gestire le credenziali. Per altre informazioni, vedere Cosa sono le identità gestite per le risorse di Azure.
Nota
Il supporto delle identità gestite in Frontdoor di Azure è limitato all'accesso ad Azure Key Vault. Non può essere usato per eseguire l'autenticazione da Frontdoor a origini come l'archiviazione BLOB o App Web.
Dopo aver abilitato l'identità gestita per Frontdoor di Azure e aver concesso le autorizzazioni necessarie all'insieme di credenziali delle chiavi di Azure, Frontdoor userà l'identità gestita per accedere ai certificati. Senza queste autorizzazioni, l'autorotazione del certificato personalizzata e l'aggiunta di nuovi certificati hanno esito negativo. Se l'identità gestita è disabilitata, Frontdoor di Azure ripristina l'uso dell'app Microsoft Entra configurata originale, che non è consigliata e verrà deprecata in futuro.
Frontdoor di Azure supporta due tipi di identità gestite:
- Identità assegnata dal sistema: questa identità è associata al servizio e viene eliminata se il servizio viene eliminato. Ogni servizio può avere una sola identità assegnata dal sistema.
- Identità assegnata dall'utente: si tratta di una risorsa di Azure autonoma che può essere assegnata al servizio. Ogni servizio può avere più identità assegnate dall'utente.
Le identità gestite sono specifiche del tenant di Microsoft Entra in cui è ospitata la sottoscrizione di Azure. Se una sottoscrizione viene spostata in una directory diversa, è necessario ricreare e riconfigurare l'identità.
È possibile configurare l'accesso ad Azure Key Vault usando il controllo degli accessi in base al ruolo o i criteri di accesso.
Prerequisiti
Prima di configurare l'identità gestita per Frontdoor di Azure, assicurarsi di avere un profilo Frontdoor di Azure Standard o Premium. Per creare un nuovo profilo, vedere Creare una frontdoor di Azure.
Abilitare l'identità gestita
Passare al profilo esistente di Frontdoor di Azure. Selezionare Identità in Sicurezza nel menu a sinistra.
Scegliere un'identità gestita assegnata dal sistema o assegnata dall'utente .
Assegnata dal sistema: identità gestita associata al ciclo di vita del profilo di Frontdoor di Azure, usata per accedere ad Azure Key Vault.
Assegnata dall'utente : una risorsa di identità gestita autonoma con il proprio ciclo di vita, usata per eseguire l'autenticazione in Azure Key Vault.
Assegnata dal sistema
Impostare Stato su Sì e selezionare Salva.
Confermare la creazione di un'identità gestita di sistema per il profilo frontdoor selezionando Sì quando richiesto.
Dopo aver creato e registrato con Microsoft Entra ID, usare l'ID Oggetto (entità) per concedere l'accesso di Frontdoor di Azure all'insieme di credenziali delle chiavi di Azure.
Assegnata dall'utente
Per usare un'identità gestita assegnata dall'utente, è necessario crearne una già creata. Per istruzioni sulla creazione di una nuova identità, vedere Creare un'identità gestita assegnata dall'utente.
Nella scheda Assegnata dall'utente selezionare + Aggiungi per aggiungere un'identità gestita assegnata dall'utente.
Cercare e selezionare l'identità gestita assegnata dall'utente. Selezionare quindi Aggiungi per collegarlo al profilo frontdoor di Azure.
Il nome dell'identità gestita assegnata dall'utente selezionato viene visualizzato nel profilo frontdoor di Azure.
Configurare l'accesso a Key Vault
È possibile configurare l'accesso ad Azure Key Vault usando uno dei metodi seguenti:
- Controllo degli accessi in base al ruolo: fornisce un controllo di accesso con granularità fine usando Azure Resource Manager.
- Criteri di accesso: usa il controllo di accesso nativo di Azure Key Vault.
Per altre informazioni, vedere Controllo degli accessi in base al ruolo di Azure e criteri di accesso.
Controllo degli accessi in base al ruolo
Passare ad Azure Key Vault. Selezionare Controllo di accesso (IAM) dal menu Impostazioni , quindi selezionare + Aggiungi e scegliere Aggiungi assegnazione di ruolo.
Nella pagina Aggiungi assegnazione di ruolo cercare Key Vault Secret User e selezionarlo nei risultati della ricerca.
Passare alla scheda Membri , selezionare Identità gestita, quindi selezionare + Seleziona membri.
Scegliere l'identità gestita assegnata dal sistema o assegnata dall'utente associata alla frontdoor di Azure e quindi selezionare Seleziona.
Selezionare Rivedi e assegna per finalizzare l'assegnazione di ruolo.
Criteri di accesso
Passare ad Azure Key Vault. In Impostazioni selezionare Criteri di accesso e quindi + Crea.
Nella pagina Crea un criterio di accesso passare alla scheda Autorizzazioni . In Autorizzazioni segrete selezionare Elenco e Ottieni. Selezionare quindi Avanti per passare alla scheda principale.
Nella scheda Entità immettere l'ID dell'oggetto (entità) per un'identità gestita assegnata dal sistema o il nome per un'identità gestita assegnata dall'utente. Selezionare quindi Rivedi e crea. La scheda Applicazione viene ignorata perché Frontdoor di Azure viene selezionato automaticamente.
Esaminare le impostazioni dei criteri di accesso e selezionare Crea per finalizzare i criteri di accesso.
Verifica dell'accesso
Passare al profilo frontdoor di Azure in cui è stata abilitata l'identità gestita e selezionare Segreti in Sicurezza.
Verificare che l'identità gestita venga visualizzata nella colonna Ruolo di accesso per il certificato usato in Frontdoor. Se si configura l'identità gestita per la prima volta, aggiungere un certificato a Frontdoor per visualizzare questa colonna.
Passaggi successivi
- Altre informazioni sulla crittografia TLS end-to-end.
- Informazioni su come configurare HTTPS in un dominio personalizzato di Frontdoor di Azure.