Teilen und Berechtigungen

Ein Key-Vault-Tresor wird über Azure-Rollen geteilt. Die App vergibt sie für dich: Rechtsklick auf den Tresor → Mitglieder. Du brauchst dafür die Stufe Verwalten (bzw. Besitzer oder Benutzerzugriffsadministrator).

Stufen

Stufe in der App	Azure-Rolle	Darf
Lesen	Key Vault Secrets User	Einträge sehen, ausfüllen, kopieren
Bearbeiten	Key Vault Secrets Officer	zusätzlich anlegen, ändern, löschen
Verwalten	Key Vault Secrets Officer + Benutzerzugriffsadministrator (auf den Vault)	zusätzlich Mitglieder verwalten

Neben dem Tresornamen zeigt ein Abzeichen deine eigene Stufe.

Gruppen statt Einzelpersonen

Am einfachsten pflegst du den Zugriff über Entra-ID-Gruppen (z. B. „PW Team Ops – Bearbeiten“). Neue Kollegen kommen dann über die Gruppenmitgliedschaft automatisch dazu. Beim Anlegen eines Tresors kann die App eine Lese- und eine Schreibgruppe direkt mit berechtigen.

Gäste und andere Tenants

Externe Personen lädst du als Gast (Entra B2B) in den Tenant ein und gibst ihnen dann eine Stufe. Die App zeigt Tresore aus allen Tenants, in denen du Mitglied oder Gast bist, und meldet dich jeweils im richtigen Tenant an.

Azure Lighthouse reicht nicht. Lighthouse delegiert nur Verwaltungsrollen, keine Datenrollen wie Key Vault Secrets User. Für Tresore beim Kunden brauchst du ein Gastkonto in dessen Tenant.

Zusätzlich verschlüsselte Tresore

Wer Zugriff auf den Key Vault hat, kann Secrets grundsätzlich lesen – auch Azure-Administratoren. Für besonders schützenswerte Tresore schaltest du beim Anlegen Zusätzlich verschlüsseln ein: Einträge werden dann vor dem Speichern verschlüsselt und nur mit Passkey, Windows Hello oder Masterpasswort entsperrt. Neue Mitglieder brauchen in diesem Fall zusätzlich eine Einladung aus der App.