Almacenes de Microsoft.KeyVault

Definición de recurso Bicep

El tipo de recurso vaults se puede implementar con operaciones destinadas a:

• grupos de recursos: consulte comandos de implementación de grupos de recursos

Para obtener una lista de las propiedades modificadas en cada versión de API, consulte registro de cambios.

Formato de recurso

Para crear un recurso Microsoft.KeyVault/vaults, añade el siguiente Bicep a tu plantilla.

resource symbolicname 'Microsoft.KeyVault/vaults@2026-03-01-preview' = {
  location: 'string'
  name: 'string'
  properties: {
    accessPolicies: [
      {
        applicationId: 'string'
        objectId: 'string'
        permissions: {
          certificates: [
            'string'
          ]
          keys: [
            'string'
          ]
          secrets: [
            'string'
          ]
          storage: [
            'string'
          ]
        }
        tenantId: 'string'
      }
    ]
    createMode: 'string'
    enabledForDeployment: bool
    enabledForDiskEncryption: bool
    enabledForTemplateDeployment: bool
    enablePurgeProtection: bool
    enableRbacAuthorization: bool
    enableSoftDelete: bool
    networkAcls: {
      bypass: 'string'
      defaultAction: 'string'
      ipRules: [
        {
          value: 'string'
        }
      ]
      virtualNetworkRules: [
        {
          id: 'string'
          ignoreMissingVnetServiceEndpoint: bool
        }
      ]
    }
    provisioningState: 'string'
    publicNetworkAccess: 'string'
    sku: {
      family: 'string'
      name: 'string'
    }
    softDeleteRetentionInDays: int
    tenantId: 'string'
    tokenBindingParameters: {
      minimumTokenBindingStrength: 'string'
      mode: 'string'
    }
    vaultUri: 'string'
  }
  tags: {
    {customized property}: 'string'
  }
}

Valores de propiedad

Microsoft.KeyVault/vaults

AccessPolicyEntry

IPRule

NetworkRuleSet

Permisos

SKU

TokenBindingParameters

VaultCreateOrUpdateParametersTags

VaultProperties (Propiedades de la bóveda)

VirtualNetworkRule

Ejemplos de uso

Muestras de Bicep

Un ejemplo básico de cómo desplegar Key Vault.

param resourceName string = 'acctest0001'
param location string = 'westeurope'

resource vault 'Microsoft.KeyVault/vaults@2021-10-01' = {
  name: resourceName
  location: location
  properties: {
    accessPolicies: [
      {
        objectId: deployer().objectId
        permissions: {
          certificates: [
            'ManageContacts'
          ]
          keys: [
            'Create'
          ]
          secrets: [
            'Set'
          ]
          storage: []
        }
        tenantId: deployer().tenantId
      }
    ]
    createMode: 'default'
    enableRbacAuthorization: false
    enableSoftDelete: true
    enabledForDeployment: false
    enabledForDiskEncryption: false
    enabledForTemplateDeployment: false
    publicNetworkAccess: 'Enabled'
    sku: {
      family: 'A'
      name: 'standard'
    }
    softDeleteRetentionInDays: 7
    tenantId: deployer().tenantId
  }
}

Azure Verified Modules

Los siguientes módulos verificados Azure pueden usarse para desplegar este tipo de recurso.

Azure Quickstart Samples

Las siguientes plantillas de inicio rápido Azure contienen Bicep ejemplos para desplegar este tipo de recurso.

Definición de recursos de plantilla de ARM

El tipo de recurso vaults se puede implementar con operaciones destinadas a:

• grupos de recursos: consulte comandos de implementación de grupos de recursos

Para obtener una lista de las propiedades modificadas en cada versión de API, consulte registro de cambios.

Formato de recurso

Para crear un recurso Microsoft.KeyVault/vaults, agregue el siguiente JSON a la plantilla.

{
  "type": "Microsoft.KeyVault/vaults",
  "apiVersion": "2026-03-01-preview",
  "name": "string",
  "location": "string",
  "properties": {
    "accessPolicies": [
      {
        "applicationId": "string",
        "objectId": "string",
        "permissions": {
          "certificates": [ "string" ],
          "keys": [ "string" ],
          "secrets": [ "string" ],
          "storage": [ "string" ]
        },
        "tenantId": "string"
      }
    ],
    "createMode": "string",
    "enabledForDeployment": "bool",
    "enabledForDiskEncryption": "bool",
    "enabledForTemplateDeployment": "bool",
    "enablePurgeProtection": "bool",
    "enableRbacAuthorization": "bool",
    "enableSoftDelete": "bool",
    "networkAcls": {
      "bypass": "string",
      "defaultAction": "string",
      "ipRules": [
        {
          "value": "string"
        }
      ],
      "virtualNetworkRules": [
        {
          "id": "string",
          "ignoreMissingVnetServiceEndpoint": "bool"
        }
      ]
    },
    "provisioningState": "string",
    "publicNetworkAccess": "string",
    "sku": {
      "family": "string",
      "name": "string"
    },
    "softDeleteRetentionInDays": "int",
    "tenantId": "string",
    "tokenBindingParameters": {
      "minimumTokenBindingStrength": "string",
      "mode": "string"
    },
    "vaultUri": "string"
  },
  "tags": {
    "{customized property}": "string"
  }
}

Valores de propiedad

Microsoft.KeyVault/vaults

AccessPolicyEntry

IPRule

NetworkRuleSet

Permisos

SKU

TokenBindingParameters

VaultCreateOrUpdateParametersTags

VaultProperties (Propiedades de la bóveda)

VirtualNetworkRule

Ejemplos de uso

Plantillas de inicio rápido de Azure

Las siguientes plantillas Azure Quickstart despliegan este tipo de recurso.

Plantilla	Descripción
AKS con pasarela NAT y pasarela de aplicaciones	En este ejemplo se muestra cómo implementar un clúster de AKS con NAT Gateway para las conexiones salientes y una instancia de Application Gateway para las conexiones entrantes.
AKS con el Controlador de Entrada de la Pasarela de Aplicación	Este ejemplo muestra cómo desplegar un clúster AKS con Application Gateway, Application Gateway Ingress Controller, Azure Container Registry, Log Analytics y Key Vault
App Service Environment con Azure SQL backend	Esta plantilla crea un App Service Environment con un backend de Azure SQL junto con endpoints privados y recursos asociados que normalmente se usan en entornos privados o aislados.
Application Gateway con gestión interna de API y aplicación web	Pasarela de aplicaciones que enruta el tráfico de Internet a una instancia de gestión de API de red virtual (modo interno) que da servicio a una API web alojada en una aplicación web de Azure.
Azure AI Foundry configuración básica	Este conjunto de plantillas demuestra cómo configurar Azure AI Foundry con la configuración básica, es decir, con acceso público a internet habilitado, claves gestionadas por Microsoft para cifrado y configuración de identidad gestionada por Microsoft para el recurso de IA.
Azure AI Foundry configuración básica	Este conjunto de plantillas demuestra cómo configurar Azure AI Foundry con la configuración básica, es decir, con acceso público a internet habilitado, claves gestionadas por Microsoft para cifrado y configuración de identidad gestionada por Microsoft para el recurso de IA.
Azure AI Foundry red restringida	Este conjunto de plantillas demuestra cómo configurar Azure AI Foundry con el enlace y salida privados deshabilitados, utilizando claves gestionadas por Microsoft para el cifrado y la configuración de identidad gestionada por Microsoft para el recurso de IA.
Azure AI Foundry con autenticación Microsoft Entra ID	Este conjunto de plantillas demuestra cómo configurar Azure AI Foundry con autenticación Microsoft Entra ID para recursos dependientes, como Azure AI Services y Azure Storage.
Azure AI Studio configuración básica	Este conjunto de plantillas demuestra cómo configurar Azure AI Studio con la configuración básica, es decir, con acceso público a internet habilitado, claves gestionadas por Microsoft para el cifrado y configuración de identidad gestionada por Microsoft para el recurso de IA.
Azure red AI Studio restringida	Este conjunto de plantillas demuestra cómo configurar Azure AI Studio con el enlace y salida privados deshabilitados, usando claves gestionadas por Microsoft para el cifrado y la configuración de identidad gestionada por Microsoft para el recurso de IA.
Azure aplicación de funciones y una función activada por HTTP	Este ejemplo despliega una aplicación de función de Azure y una función activada por HTTP en línea dentro de la plantilla. También despliega un Key Vault y rellena un secreto con la clave host de la aplicación de funciones.
Azure Machine Learning configuración segura de extremo a extremo	Este conjunto de plantillas Bicep demuestra cómo configurar Azure Machine Learning de extremo a extremo en una configuración segura. Esta implementación de referencia incluye el área de trabajo, un clúster de proceso, una instancia de proceso y un clúster de AKS privado asociado.
Azure Machine Learning configuración segura de extremo a extremo (legacy)	Este conjunto de plantillas Bicep demuestra cómo configurar Azure Machine Learning de extremo a extremo en una configuración segura. Esta implementación de referencia incluye el área de trabajo, un clúster de proceso, una instancia de proceso y un clúster de AKS privado asociado.
Azure Machine Learning Espacio de trabajo	Esta plantilla crea un nuevo Azure Machine Learning Workspace, junto con una cuenta de almacenamiento cifrada, KeyVault y Applications Insights Logging
Azure Storage Cifrado de cuentas con clave gestionada por el cliente	Esta plantilla despliega una Cuenta de Almacenamiento con una clave gestionada por el cliente para el cifrado que se genera y coloca dentro de un Key Vault.
Identidad básica de configuración de agente	Este conjunto de plantillas demuestra cómo configurar Azure AI Agent Service con la configuración básica usando la autenticación de identidad gestionada para la conexión AI Service/AOAI. Los agentes usan recursos de almacenamiento y búsqueda multiinquilino totalmente administrados por Microsoft. No tendrás ™visibilidad ni control sobre estos recursos subyacentes de Azure.
Conecta a un Key Vault vía punto de enlace privado	Este ejemplo muestra cómo configurar una red virtual y una zona DNS privada para acceder a Key Vault a través del punto final privado.
Crea un Key Vault y una lista de secretos	Esta plantilla crea un Key Vault y una lista de secretos dentro del Key vault tal como se pasan junto con los parámetros
Crea un KeyVault	Este módulo crea un recurso keyVault con apiVersion 2019-09-01.
Crea un perímetro de seguridad de red	Esta plantilla crea un perímetro de seguridad de red y su recurso asociado para proteger una bóveda de llaves de Azure.
Crea una nueva máquina virtual cifrada de Windows a partir de la imagen de galería	Esta plantilla crea una nueva máquina virtual windows cifrada con la imagen de la galería server 2k12.
Crea un clúster AKS privado con una zona DNS pública	En este ejemplo se muestra cómo implementar un clúster de AKS privado con una zona DNS pública.
Crear espacio de trabajo AML con múltiples conjuntos de datos y conjuntos de datos Datastores	Esta plantilla crea un espacio de trabajo de Azure Machine Learning con múltiples conjuntos de datos y almacenes de datos.
Crea un destino de cómputo AKS con una dirección IP privada	Esta plantilla crea un objetivo de cómputo AKS en un espacio de trabajo de servicio de Azure Machine Learning dado con una dirección IP privada.
Crea un servicio de gestión de API con SSL desde KeyVault	Esta plantilla implementa un servicio de API Management configurado con identidad asignada por el usuario. Usa esta identidad para capturar el certificado SSL de KeyVault y lo mantiene actualizado comprobando cada 4 horas.
Crear una Pasarela de Aplicaciones V2 con Key Vault	Esta plantilla despliega un Application Gateway V2 en una Virtual Network, una identidad definida por el usuario, Key Vault, un secreto (datos de certificación) y una política de acceso en Key Vault y Application Gateway.
Crea un Azure Key Vault y un secreto	Esta plantilla crea un Azure Key Vault y un secreto.
Crea una Azure Key Vault con RBAC y un secreto	Esta plantilla crea un Azure Key Vault y un secreto. En lugar de depender de políticas de acceso, aprovecha Azure RBAC para gestionar la autorización de secretos
Crear un espacio de trabajo de Azure Machine Learning servicios	Esta plantilla de despliegue especifica un espacio de trabajo de Azure Machine Learning y sus recursos asociados, incluyendo Azure Key Vault, Azure Storage, Azure Application Insights y Azure Container Registry. Esta configuración describe el conjunto mínimo de recursos que necesitas para empezar con Azure Machine Learning.
Crear un espacio de trabajo de Azure Machine Learning servicios (CMK)	Esta plantilla de despliegue especifica cómo crear un espacio de trabajo de Azure Machine Learning con cifrado en el lado del servicio utilizando tus claves de cifrado.
Crear un espacio de trabajo de Azure Machine Learning servicios (CMK)	Esta plantilla de despliegue especifica un espacio de trabajo de Azure Machine Learning y sus recursos asociados, incluyendo Azure Key Vault, Azure Storage, Azure Application Insights y Azure Container Registry. El ejemplo muestra cómo configurar Azure Machine Learning para cifrado con una clave de cifrado gestionada por el cliente.
Crear un espacio de trabajo de Azure Machine Learning servicios (legacy)	Esta plantilla de despliegue especifica un espacio de trabajo de Azure Machine Learning y sus recursos asociados, incluyendo Azure Key Vault, Azure Storage, Azure Application Insights y Azure Container Registry. Esta configuración describe el conjunto de recursos que necesitas para empezar con Azure Machine Learning en una configuración de red aislada.
Crear un espacio de trabajo de Azure Machine Learning servicios (vnet)	Esta plantilla de despliegue especifica un espacio de trabajo de Azure Machine Learning y sus recursos asociados, incluyendo Azure Key Vault, Azure Storage, Azure Application Insights y Azure Container Registry. Esta configuración describe el conjunto de recursos que necesitas para empezar con Azure Machine Learning en una configuración de red aislada.
Crea y cifra un nuevo VMSS de Windows con jumpbox	Esta plantilla te permite desplegar un conjunto sencillo de VM de Windows usando la última versión parcheada de las versiones de Windows de Server. Esta plantilla también implementa un jumpbox con una dirección IP pública en la misma red virtual. Puedes conectarte al jumpbox a través de esta dirección IP pública y luego conectar desde ahí a las máquinas virtuales del conjunto de escalas mediante direcciones IP privadas. Esta plantilla permite el cifrado en el VM Scale Set de VMs de Windows.
Crear pasarela de aplicaciones con certificados	Esta plantilla muestra cómo generar certificados autofirmados de Key Vault y luego referenciarlos desde Application Gateway.
Create Key Vault con el logging activado	Esta plantilla crea una cuenta de Azure Key Vault y una cuenta de Azure Storage que se utiliza para registrar registros. Opcionalmente crea bloqueos de recursos para proteger tu Key Vault y tus recursos de almacenamiento.
Crear bóveda de claves, identidad gestionada y asignación de roles	Esta plantilla crea un almacén de claves, una identidad administrada y una asignación de roles.
Crear nuevos discos gestionados cifrados win-vm desde la imagen de galería	Esta plantilla crea una nueva máquina virtual windows de discos administrados cifrados mediante la imagen de la galería de server 2k12.
Crea un recurso de endpoint privado entre inquilinos	Esta plantilla le permite crear un recurso de punto de conexión priavate dentro del mismo entorno de inquilino o entre inquilinos y agregar la configuración de zona dns.
Crea una aplicación de Servicebus pub-sub Dapr usando Contenedores Apps	Cree una aplicación pub-sub servicebus de Dapr mediante Container Apps.
Despliegue Secure AI Foundry con una red virtual gestionada	Esta plantilla crea un entorno seguro de Azure AI Foundry con restricciones robustas de red e identidad de seguridad.
Despliega la analítica deportiva en Azure Arquitectura	Crea una cuenta de almacenamiento de Azure con ADLS Gen 2 habilitada, una instancia de Azure Data Factory con servicios vinculados para la cuenta de almacenamiento (y la Azure SQL Database si está desplegada), y una instancia de Azure Databricks. AAD identity for the user deploying the template and the managed identity for the ADF instance will be granted the Storage Blob Data Contributor role on the storage account. También hay opciones para desplegar una instancia de Azure Key Vault, una Azure SQL Database y un Azure Event Hub (para casos de uso en streaming). Cuando se despliega un Azure Key Vault, la identidad gestionada por la fábrica de datos y la identidad AAD del usuario que despliega la plantilla recibirán el rol de usuario de Key Vault Secrets.
Habilitar el cifrado en una VM Windows en ejecución	Esta plantilla habilita el cifrado en una máquina virtual windows en ejecución.
FinOps	Esta plantilla crea una nueva instancia hub de FinOps, que incluye Data Explorer, Data Lake storage y Data Factory.
Red con Identidad Gestionada por el Usuario	Este conjunto de plantillas demuestra cómo configurar Azure AI Agent Service con aislamiento de red virtual utilizando la autenticación de User Managed Identity para la conexión AI Service/AOAI y enlaces de red privada para conectar el agente a tus datos seguros.
Agente Estándar	Este conjunto de plantillas demuestra cómo configurar Azure AI Agent Service con la configuración estándar, es decir, con autenticación de identidad gestionada para conexiones proyecto/hub y acceso público a internet habilitado. Los agentes usan recursos de almacenamiento y búsqueda de un solo inquilino propiedad del cliente. Con esta configuración, tiene control total y visibilidad sobre estos recursos, pero incurrirá en costos en función del uso.
Entorno de pruebas para Azure Firewall Premium	Esta plantilla crea una Azure Firewall Premium y una Política de Firewall con funciones premium como Detección de Inspección de Intrusiones (IDPS), inspección TLS y filtrado por categoría web
Esta plantilla cifra un Windows en ejecución VMSS	Esta plantilla permite el cifrado en un conjunto de escalado de máquinas virtuales de Windows en ejecución

Definición de recursos de Terraform (proveedor AzAPI)

El tipo de recurso vaults se puede implementar con operaciones destinadas a:

• Grupos de recursos

Para obtener una lista de las propiedades modificadas en cada versión de API, consulte registro de cambios.

Formato de recurso

Para crear un recurso Microsoft.KeyVault/vaults, agregue lo siguiente a la plantilla de Terraform.

resource "azapi_resource" "symbolicname" {
  type = "Microsoft.KeyVault/vaults@2026-03-01-preview"
  name = "string"
  parent_id = "string"
  location = "string"
  tags = {
    {customized property} = "string"
  }
  body = {
    properties = {
      accessPolicies = [
        {
          applicationId = "string"
          objectId = "string"
          permissions = {
            certificates = [
              "string"
            ]
            keys = [
              "string"
            ]
            secrets = [
              "string"
            ]
            storage = [
              "string"
            ]
          }
          tenantId = "string"
        }
      ]
      createMode = "string"
      enabledForDeployment = bool
      enabledForDiskEncryption = bool
      enabledForTemplateDeployment = bool
      enablePurgeProtection = bool
      enableRbacAuthorization = bool
      enableSoftDelete = bool
      networkAcls = {
        bypass = "string"
        defaultAction = "string"
        ipRules = [
          {
            value = "string"
          }
        ]
        virtualNetworkRules = [
          {
            id = "string"
            ignoreMissingVnetServiceEndpoint = bool
          }
        ]
      }
      provisioningState = "string"
      publicNetworkAccess = "string"
      sku = {
        family = "string"
        name = "string"
      }
      softDeleteRetentionInDays = int
      tenantId = "string"
      tokenBindingParameters = {
        minimumTokenBindingStrength = "string"
        mode = "string"
      }
      vaultUri = "string"
    }
  }
}

Valores de propiedad

Microsoft.KeyVault/vaults

AccessPolicyEntry

IPRule

NetworkRuleSet

Permisos

SKU

TokenBindingParameters

VaultCreateOrUpdateParametersTags

VaultProperties (Propiedades de la bóveda)

VirtualNetworkRule

Ejemplos de uso

Ejemplos de Terraform

Un ejemplo básico de cómo desplegar Key Vault.

terraform {
  required_providers {
    azapi = {
      source = "Azure/azapi"
    }
    azurerm = {
      source = "hashicorp/azurerm"
    }
  }
}

provider "azurerm" {
  features {
  }
}

provider "azapi" {
  skip_provider_registration = false
}

variable "resource_name" {
  type    = string
  default = "acctest0001"
}

variable "location" {
  type    = string
  default = "westeurope"
}

data "azurerm_client_config" "current" {
}

resource "azapi_resource" "resourceGroup" {
  type     = "Microsoft.Resources/resourceGroups@2020-06-01"
  name     = var.resource_name
  location = var.location
}

resource "azapi_resource" "vault" {
  type      = "Microsoft.KeyVault/vaults@2021-10-01"
  parent_id = azapi_resource.resourceGroup.id
  name      = var.resource_name
  location  = var.location
  body = {
    properties = {
      accessPolicies = [
        {
          objectId = data.azurerm_client_config.current.object_id
          permissions = {
            certificates = [
              "ManageContacts",
            ]
            keys = [
              "Create",
            ]
            secrets = [
              "Set",
            ]
            storage = [
            ]
          }
          tenantId = data.azurerm_client_config.current.tenant_id
        },
      ]
      createMode                   = "default"
      enableRbacAuthorization      = false
      enableSoftDelete             = true
      enabledForDeployment         = false
      enabledForDiskEncryption     = false
      enabledForTemplateDeployment = false
      publicNetworkAccess          = "Enabled"
      sku = {
        family = "A"
        name   = "standard"
      }
      softDeleteRetentionInDays = 7
      tenantId                  = data.azurerm_client_config.current.tenant_id
    }
  }
  schema_validation_enabled = false
  response_export_values    = ["*"]
}

Azure Verified Modules

Los siguientes módulos verificados Azure pueden usarse para desplegar este tipo de recurso.