Предоставить доступ к учетной записи хранения в Azure

Я новичок в лазурном и пытаюсь изучить лазурное хранилище. Предположим, я создал учетную запись для хранения и сохранил несколько документов и хочу, чтобы все имели доступ к mt document. Если я дам свой URL-адрес, каждый сможет получить к нему доступ, но я хочу, чтобы несколько пользователей имели доступ к моей учетной записи хранения, а также могли загружать документы, которые им нужны.

Сообщите мне, как этого добиться, и, если возможно, обратитесь и укажите ссылку, которая будет полезна для меня. Заранее спасибо.


authentication azure azure-storage-blobs azure-storage-account azure-storage
person Amrit    schedule 14.05.2018    source источник

Ответы (3)


arrow_upward
1
arrow_downward

Это можно сделать двумя способами:

Создание и распространение SAS токены с правами чтения / записи. Это даст URL-адрес, срок действия которого истекает в определенный момент времени. Все это можно сделать через портал, с помощью кода или с помощью контекстных меню в Обозреватель службы хранилища Azure. Вот пример о том, как это сделать с помощью кода.

Вы также можете назначить AAD пользователей с ролью, у которой есть разрешение на управление ресурсами в учетной записи хранения. Вот список текущих ролей, чтобы вы могли выбрать подходящий вариант в зависимости от вашего варианта использования. Существуют роли предварительного просмотра , которые, похоже, не работать.

РЕДАКТИРОВАТЬ: MS только что объявила о том, что предварительная версия поддержки AAD вплоть до контейнера или очереди. Вероятно, это именно та степень детализации, которую вы искали.

РЕДАКТИРОВАТЬ 2: Теперь доступна полная поддержка RBAC для хранилища

person Josh    schedule 14.05.2018
comment
Вы не можете назначить такие роли AAD для большого двоичного объекта. AD вообще не используется для доступа к BLOB-объектам. Роли пользователей находятся на верхнем уровне (например, учетной записи хранения), и это не поможет фильтровать доступ к заданному набору контейнеров или больших двоичных объектов. - person David Makogon; 15.05.2018
comment
Я обновил словоблудие в своем ответе, чтобы уточнить объем назначения разрешений с использованием ролей AAD. Не уверен, что отсутствие конкретики заслуживает отрицательного голосования, но ладно - person Josh; 15.05.2018
comment
Голос против был вызван неверным ответом. И это по-прежнему: роли не имеют ничего общего с возможностью доступа к BLOB-объектам, загрузке и т.д. удалить всю учетную запись хранения). Доступ к хранилищу осуществляется исключительно по имени учетной записи + ключ, независимо от того, есть ли у них доступ к основному ресурсу. Итак, да, SAS - допустимый подход, но разрешения на ресурсы не имеют значения для доступа к контенту, загрузки и т. Д. - person David Makogon; 15.05.2018
comment
Сегодня мы используем RBAC через контроль доступа (IAM), чтобы назначать доступ групп AD к учетным записям хранения с использованием ролей, предоставленных группой хранения. Они добавляли новые типы ролей в этой области только для этой цели (см. Ссылку в моем исходном ответе) - в нашем случае, чтобы позволить командам операторов отслеживать BLOB-объекты и содержимое хранилища таблиц. Возможно, я просто не понимаю вашего неправильного определения, но я управляю десятками учетных записей хранения, используя только Azure Storage Explorer и мою учетную запись AAD, и использую только токены SAS для одноразовых разрешений на одноразовый доступ для отдельных лиц. - person Josh; 15.05.2018

arrow_upward
0
arrow_downward

Вы можете сгенерировать SAS token Таким образом, вы можете предоставить доступ другим пользователям, не передавая ключи учетной записи.

Вы можете создать токен SAS для конкретной службы (Blob, Queue, File) или учетной записи SAS, которая позволяет вам предоставлять разрешение нескольким службам в учетной записи хранения (например, Queue и Table).

Токены SAS дают вам детальный контроль над типами доступа, включая:

  • Интервал, в течение которого действует SAS, включая время начала и время истечения срока действия.
  • Разрешения, предоставленные SAS. Например, SAS для большого двоичного объекта может предоставлять разрешения на чтение и запись для этого большого двоичного объекта, но не на удаление.
  • Необязательный IP-адрес или диапазон IP-адресов, с которых служба хранилища Azure будет принимать SAS. Например, вы можете указать диапазон IP-адресов, принадлежащих вашей организации.
  • Протокол, по которому служба хранилища Azure принимает SAS. Вы можете использовать этот необязательный параметр, чтобы ограничить доступ клиентам, использующим HTTPS.
person Saher Ahwal    schedule 14.05.2018

arrow_upward
0
arrow_downward

Служба хранилища Azure предлагает следующие варианты авторизации доступа к защищенным ресурсам:

  • Интеграция с Azure Active Directory (Azure AD) (предварительная версия) для больших двоичных объектов и очередей. Azure AD обеспечивает управление доступом на основе ролей (RBAC) для детального управления доступом клиента к ресурсам в учетной записи хранения. Для получения дополнительной информации см. Аутентификация запросов к службе хранилища Azure с помощью Azure. Active Directory (предварительная версия).

  • Авторизация с общим ключом для больших двоичных объектов, файлов, очередей и таблиц. Клиент, использующий общий ключ, передает заголовок с каждым запросом, подписанным с использованием ключа доступа к учетной записи хранения. Для получения дополнительной информации см. Авторизация с помощью общего ключа.

  • Подписи общего доступа для больших двоичных объектов, файлов, очередей и таблиц. Подписи общего доступа (SAS) предоставляют ограниченный делегированный доступ к ресурсам в учетной записи хранения. Добавление ограничений на временной интервал, в течение которого подпись действительна, или на разрешения, которые она предоставляет, обеспечивает гибкость в управлении доступом. Для получения дополнительной информации см. Использование подписей общего доступа (SAS).

  • Anonymous public read access for containers and blobs. Authorization is not required. For more information, see Manage anonymous read access to containers and blobs.

    By default, all resources in Azure Storage are secured and are available only to the account owner. Although you can use any of the authorization strategies outlined above to grant clients access to resources in your storage account, Microsoft recommends using Azure AD when possible for maximum security and ease of use.

person akolliy    schedule 28.09.2018