참조:
https://docs.microsoft.com/en-us/azure/active-directory/privileged-identity-management/pim-configure
https://docs.microsoft.com/en-us/azure/active-directory/privileged-identity-management/pim-deployment-plan

포괄적이고 상세한 심층 설명:
Microsoft ID 및 액세스 관리자 설명서에 나와 있는 Azure Key Vault 역할, 권한 및 최소 권한 원칙을 기반으로 단계별로 살펴보겠습니다.
* Azure Key Vault 및 요구 사항 이해:
Azure Key Vault는 암호화 키, 비밀 및 인증서를 안전하게 저장하고 관리하는 서비스입니다. 역할 기반 액세스 제어(RBAC)를 사용하여 사용자, 그룹 및 애플리케이션에 대한 권한을 관리합니다.
* 이 문제는 User1이 Vault1에 있는 인증서, 키 및 비밀의 메타데이터를 읽을 수 있어야 한다는 것을 요구합니다. Azure Key Vault에서 "메타데이터"는 이러한 개체의 속성(예: 이름, 생성 날짜, 만료 날짜)을 의미하며 실제 콘텐츠(예: 비밀 값, 키 값 또는 인증서 개인 키)를 의미하는 것은 아닙니다.
* 해결책은 최소 권한 원칙을 따라야 합니다. 즉, User1에게는 작업을 수행하는 데 필요한 최소한의 권한만 부여하고 불필요한 작업(예: 객체 수정 또는 삭제)에는 접근할 수 없도록 해야 합니다.
* Azure Key Vault RBAC 역할 및 권한:
* Azure Key Vault는 키, 비밀 및 인증서 관리를 위한 특정 권한을 정의하는 기본 제공 RBAC 역할을 지원합니다. 옵션에 있는 각 역할을 살펴보겠습니다.
* 키 볼트 암호화 사용자:
* 이 역할은 사용자가 키를 사용하여 암호화 작업(예: 암호화, 복호화, 서명, 검증)을 수행하고 키 메타데이터를 읽을 수 있도록 합니다.
* 권한에는 Microsoft.KeyVault/vaults/keys/read(키 메타데이터 읽기) 및 암호화, 복호화 등의 암호화 작업이 포함됩니다.
* 단, 이 역할은 비밀 또는 인증서의 메타데이터를 읽을 수 있는 권한을 부여하지 않으며, 작업에 필요하지 않은 암호화 작업 권한을 포함합니다.
* 키 볼트 암호화 담당자:
* 이 역할은 키를 관리하고 암호화 작업을 수행하도록 설계되었습니다. 키 생성, 삭제, 업데이트 및 읽기 권한과 암호화 작업을 수행할 수 있는 권한이 포함됩니다.
* 권한에는 Microsoft.KeyVault/vaults/keys/* (키에 대한 모든 제어 권한)이 포함됩니다.
* 이 역할은 비밀 정보나 인증서에 대한 접근 권한을 부여하지 않으며, 필요 이상으로 많은 권한(예: 생성, 삭제)을 부여하여 최소 권한 원칙을 위반합니다.
* 키 볼트 리더:
* 이 역할은 키 볼트(키, 비밀, 인증서)에 있는 모든 개체의 메타데이터에 대한 읽기 전용 액세스 권한을 제공합니다.
* 권한에는 Microsoft.KeyVault/vaults/read(볼트 속성 읽기) 및 Microsoft.KeyVault/vaults/*/read(키, 비밀 및 인증서의 메타데이터 읽기)가 포함됩니다.
* 중요한 점은 이 역할은 객체의 실제 콘텐츠(예: 비밀 값, 키 값 또는 인증서 개인 키)에 대한 접근 권한을 허용하지 않고 메타데이터에만 접근할 수 있다는 것입니다. 또한 쓰기 작업(예: 생성, 업데이트, 삭제)도 허용하지 않습니다.
* 이는 "메타데이터를 읽어야 한다"는 요구사항과 완벽하게 부합하며 최소권한의 원칙을 따릅니다.
* 키 볼트 비밀 사용자:
* 이 역할은 사용자가 비밀 정보(메타데이터뿐 아니라)의 내용을 읽고 비밀 값 가져오기와 같은 작업을 수행할 수 있도록 합니다.
* 필요한 권한에는 Microsoft.KeyVault/vaults/secrets/get(비밀 값 읽기) 및 Microsoft.KeyVault/vaults/secrets/read(비밀 메타데이터 읽기)가 포함됩니다.
* 이 역할은 키 또는 인증서에 대한 접근 권한을 부여하지 않으며, 필요 이상으로 많은 접근 권한(메타데이터뿐 아니라 비밀 값 읽기)을 제공하여 최소 권한 원칙을 위반합니다.
* 최소 권한 원칙 적용:
* 이 작업은 User1이 인증서, 키 및 비밀의 메타데이터를 읽는 것을 요구하지만, 해당 내용에 접근하거나 쓰기 작업을 수행하는 것은 요구하지 않습니다.
* Key Vault Reader 역할이 가장 적합한 이유는 다음과 같습니다.
* 모든 객체의 메타데이터(키, 비밀, 인증서)에 대한 읽기 전용 액세스 권한을 부여합니다.
* 객체의 내용(예: 비밀 값)에 대한 접근은 허용하지 않습니다. 이는 필요하지 않기 때문입니다.
* 최소 권한 원칙을 준수하여 쓰기 작업(예: 생성, 삭제)을 허용하지 않습니다.
* 다른 역할은 너무 많은 접근 권한을 제공하거나(예: Key Vault 암호화 담당자, Key Vault 비밀 사용자) 필요한 모든 개체를 포함하지 않습니다(예: Key Vault 암호화 사용자, Key Vault 비밀 사용자).
* 옵션 분석:
* A. Key Vault 암호화 사용자:
* 잘못된 정보입니다. 이 역할은 키 메타데이터를 읽고 암호화 작업을 수행하는 것만 허용하며, 비밀 키나 인증서 메타데이터에 대한 접근 권한은 제공하지 않습니다. 또한 불필요한 암호화 권한을 부여합니다.
* B. 키 볼트 암호화 담당자:
* 잘못된 정보입니다. 이 역할은 키에 대한 완전한 제어 권한을 제공하는데, 이는 필요 이상으로 과도한 권한이며, 비밀 키나 인증서 메타데이터에 대한 접근 권한은 부여하지 않습니다.
* C. 키 볼트 리더:
* 맞습니다. 이 역할은 키, 비밀 및 인증서의 메타데이터에 대한 읽기 전용 액세스 권한을 제공하며, 최소 권한 원칙을 준수하면서 요구 사항을 정확히 충족합니다.
* D. 키 볼트 비밀 사용자:
* 잘못된 정보입니다. 이 역할은 비밀 값(메타데이터뿐 아니라)을 읽을 수 있도록 허용하지만 키 또는 인증서 메타데이터에는 접근할 수 없습니다. 필요 이상으로 많은 접근 권한을 부여하는 것입니다.
* 추가 고려 사항:
* 만약 질문에서 User1이 비밀 정보(메타데이터뿐 아니라)의 내용을 읽을 수 있도록 요청했다면 Key Vault Secrets User 역할이 고려될 수 있겠지만, 그래도 키와 인증서는 포함되지 않습니다.
* 사용자 지정 RBAC 역할을 생성하여 권한을 세부적으로 조정할 수도 있지만, 질문에서는 기본 제공 역할을 묻고 있으므로 Key Vault Reader가 가장 적합합니다.
* 질문에서 User1이 다른 작업(예: 암호화 작업, 금고 관리)을 수행해야 하는지 여부가 명시되어 있지 않습니다. 추가 권한이 필요한 경우 역할 조합이나 사용자 지정 역할이 필요할 수 있지만, 최소 권한 원칙에 따라 최소한의 역할만 부여하는 것이 적절합니다.
결론: 최소 권한 원칙을 준수하면서 User1이 Vault1에 저장된 인증서, 키, 비밀 정보의 메타데이터를 읽을 수 있도록 하려면 Key Vault Reader 역할을 할당해야 합니다. 이 역할은 불필요한 접근 권한을 부여하지 않고 필요한 권한만 제공합니다. 따라서 정답은 C입니다.
참고 자료:
Azure Key Vault 설명서: "Azure Key Vault RBAC 역할" (Microsoft Learn:https://learn.microsoft.
com/en-us/azure/key-vault/general/rbac-guide)
Azure Key Vault 설명서: "키 자격 증명 모음에 대한 안전한 액세스" (Microsoft Learn: https://learn.microsoft.com)
/en-us/azure/key-vault/general/secure-your-key-vault)
Microsoft Identity and Access Administrator(SC-300) 시험 대비 가이드로, Azure Key Vault 액세스 제어 및 최소 권한 원칙을 다룹니다.

참조:
https://docs.microsoft.com/en-us/azure/active-directory/roles/delegate-app-roles

참조:
https://docs.microsoft.com/en-us/azure/active-directory/privileged-identity-management/pim-configure
https://docs.microsoft.com/en-us/azure/active-directory/privileged-identity-management/pim-deployment-plan