在 密钥保管库 中将 Azure RBAC 规划为默认访问控制模型

1. 使用 az keyvault show 命令检索保管库详细信息：

   az keyvault show --name <vault-name> --resource-group <resource-group>
   

2. 检查密钥保管库中 的 RBAC 授权已启用 属性（enableRbacAuthorization）。

1. 使用 Get-AzKeyVault cmdlet 获取保管库详细信息：

   Get-AzKeyVault -ResourceGroupName $resourceGroupName -VaultName $keyVaultName
   

2. 检查密钥保管库中 的 RBAC 授权已启用 属性（enableRbacAuthorization）。

使用 az keyvault list 命令列出资源组中的所有保管库，并检查其 RBAC 授权状态：

# List all key vaults in the resource group and check Azure RBAC status
az keyvault list --resource-group <resource-group> --query "[].{name:name, rbacEnabled:properties.enableRbacAuthorization}" --output table

1. 在 PowerShell 中创建以下函数：

   function Get-KeyVaultsFromResourceGroup {
       # Get all key vaults in the specified resource group (basic information)
       $keyVaults = Get-AzKeyVault -ResourceGroupName $resourceGroupName
   
       # Iterate through each key vault by name and fetch full properties
       foreach ($keyVault in $keyVaults) {
           $keyVaultName = $keyVault.VaultName
   
           # Get the full key vault properties
           $keyVaultDetails = Get-AzKeyVault -ResourceGroupName $resourceGroupName -VaultName $keyVaultName
   
           # Access the 'EnableRbacAuthorization' property
           $enabledForRbac = $keyVaultDetails.EnableRbacAuthorization
   
           # Output key vault status based on the 'EnableRbacAuthorization' property
           if ($enabledForRbac -eq $true) {
               Write-Output "${keyVaultName}: RBAC is enabled"
           } else {
               Write-Output "${keyVaultName}: Access Policies are enabled (enableRbacAuthorization is false or null)"
           }
       }
   }
   

2. 请为您希望运行函数的资源组命名：

   $resourceGroupName = "<resource-group>"
   

3. 调用函数 Get-KeyVaultsFromResourceGroup 查看步骤 2 中资源组内哪些保管库启用了访问策略，哪些启用了 Azure RBAC。

使用 az keyvault list 命令列出订阅中的所有保管库，并检查其 RBAC 授权状态：

# List all key vaults in the subscription and check Azure RBAC status
az keyvault list --query "[].{name:name, rbacEnabled:properties.enableRbacAuthorization}" --output table

1. 在 PowerShell 中创建以下函数：

   function Get-KeyVaultsFromSubscription {
       # Get all key vaults in the subscription (basic information)
       $keyVaults = Get-AzKeyVault
   
       # Iterate through each key vault by name and fetch full properties
       foreach ($keyVault in $keyVaults) {
           $keyVaultName = $keyVault.VaultName
           $resourceGroupName = $keyVault.ResourceGroupName
   
           # Get the full key vault properties
           $keyVaultDetails = Get-AzKeyVault -ResourceGroupName $resourceGroupName -VaultName $keyVaultName
   
           # Access the 'EnableRbacAuthorization' property
           $enabledForRbac = $keyVaultDetails.EnableRbacAuthorization
   
           # Output key vault status based on the 'EnableRbacAuthorization' property
           if ($enabledForRbac -eq $true) {
               Write-Output "${keyVaultName}: RBAC is enabled"
           } else {
               Write-Output "${keyVaultName}: Access Policies are enabled (enableRbacAuthorization is false or null)"
           }
       }
   }
   

2. 调用函数 Get-KeyVaultsFromSubscription以查看订阅中的哪些保管库已启用访问策略，而不是启用 Azure RBAC。 根据您订阅中保管库的数量，该函数可能需要超过 10 分钟才能完成运行。

将 Azure CLI 更新到最新版本。 有关详细信息，请参阅如何更新 Azure CLI。

将 PowerShell 模块更新到最新版本：

• Update-Module （PowerShellGet）
• Update-AzModule （Az.Tools.Installer）

使用 az keyvault create 命令并设置 --enable-rbac-authorization false：

az keyvault create --name "testCreateTutorial" --resource-group "testResourceGroup" --enable-rbac-authorization false

使用 New-AzKeyVault cmdlet 并设置 -DisableRbacAuthorization：

New-AzKeyVault -Name "testCreateTutorial" -ResourceGroupName "testResourceGroup" -Location "ChinaEast" -DisableRbacAuthorization

使用 az resource create 命令并设置 "enableRbacAuthorization": false 和 --api-version "2026-02-01"：

az resource create --resource-group $resourceGroup --name $vaultName --resource-type "Microsoft.KeyVault/vaults" --location $location --api-version "2026-02-01" --properties "{\"sku\": { \"family\": \"A\", \"name\": \"standard\" }, \"tenantId\": \"$tenantID\",\"enableRbacAuthorization\": false, \"accessPolicies\": []}"

使用 New-AzResource cmdlet 并设置 enableRbacAuthorization = $false 和 -ApiVersion "2026-02-01"：

New-AzResource `
    -ResourceGroupName $resourceGroupName `
    -ResourceType "Microsoft.KeyVault/vaults" `
    -ResourceName $keyVaultName `
    -Location $location `
    -ApiVersion "2026-02-01" `
    -Properties @{
        sku = @{ family = "A"; name = "standard" }
        tenantId = $TenantId
        enableRbacAuthorization = $false
        accessPolicies = @()}