Přiřazení role Azure pro přístup k datům objektů blob

Pokud chcete získat přístup k datům objektů blob na webu Azure Portal pomocí přihlašovacích údajů Microsoft Entra, musí mít uživatel následující přiřazení rolí:

• Role přístupu k datům, například Čtenář dat objektů blob služby Storage nebo Přispěvatel dat objektů blob služby Storage
• Minimální role čtenáře Azure Resource Manageru

Pokud chcete zjistit, jak přiřadit tyto role uživateli, postupujte podle pokynů uvedených v tématu Přiřazení rolí Azure pomocí webu Azure Portal.

Role Čtenář je role Azure Resource Manageru, která umožňuje uživatelům zobrazovat prostředky účtu úložiště, ale ne je upravovat. Neposkytuje oprávnění ke čtení dat ve službě Azure Storage, ale pouze k prostředkům pro správu účtů. Role Čtenář je nezbytná, aby uživatelé mohli přejít na kontejnery objektů blob na webu Azure Portal.

Pokud například přiřadíte roli Přispěvatel dat v objektu blob služby Storage uživateli Mary na úrovni kontejneru s názvem sample-container, mary se udělí oprávnění ke čtení, zápisu a odstranění přístupu ke všem objektům blob v tomto kontejneru. Pokud ale Mary chce zobrazit objekt blob na webu Azure Portal, role Přispěvatel dat objektů blob úložiště sama o sobě neposkytuje dostatečná oprávnění k procházení portálu k objektu blob, aby ho bylo možné zobrazit. Další oprávnění jsou nutná k procházení portálu a zobrazení dalších prostředků, které jsou tam viditelné.

Uživateli musí být přiřazena role Čtenář pro použití webu Azure Portal s přihlašovacími údaji Microsoft Entra. Pokud je ale uživateli přiřazena role s oprávněními Microsoft.Storage/storageAccounts/listKeys/action , může uživatel používat portál s klíči účtu úložiště prostřednictvím autorizace sdíleného klíče. Pokud chcete použít klíče účtu úložiště, musí být pro účet úložiště povolený přístup ke sdíleným klíčům. Další informace o povolení nebo zakázání přístupu ke sdílenému klíči najdete v tématu Zabránění autorizaci sdíleného klíče pro účet služby Azure Storage.

Můžete také přiřadit roli Azure Resource Manageru, která poskytuje další oprávnění nad rámec role Čtenář . Doporučeným postupem zabezpečení je přiřazení nejnižších možných oprávnění. Další informace najdete v tématu Osvědčené postupy pro Azure RBAC.

Pokud chcete přiřadit roli Azure k objektu zabezpečení pomocí PowerShellu , zavolejte příkaz New-AzRoleAssignment . Abyste mohli příkaz spustit, musíte mít roli, která zahrnuje oprávnění Microsoft.Authorization/roleAssignments/write přiřazená v odpovídajícím oboru nebo vyšším.

Formát příkazu se může lišit v závislosti na rozsahu přiřazení, ale -ObjectId -RoleDefinitionName požadované parametry. Předání hodnoty parametru -Scope , i když není povinné, se důrazně doporučuje zachovat princip nejnižšího oprávnění. Omezením rolí a oborů omezíte prostředky, které jsou ohrožené v případě ohrožení zabezpečení objektu zabezpečení.

Parametr -ObjectId je ID objektu Microsoft Entra uživatele, skupiny nebo instančního objektu, ke kterému se role přiřazuje. Pokud chcete načíst identifikátor, můžete pomocí rutiny Get-AzADUser filtrovat uživatele Microsoft Entra, jak je znázorněno v následujícím příkladu.

Get-AzADUser -DisplayName '<Display Name>'
(Get-AzADUser -StartsWith '<substring>').Id

První odpověď vrátí objekt zabezpečení a druhá vrátí ID objektu objektu zabezpečení.

UserPrincipalName : markpdaniels@contoso.com
ObjectType        : User
DisplayName       : Mark P. Daniels
Id                : ab12cd34-ef56-ab12-cd34-ef56ab12cd34
Type              : 

ab12cd34-ef56-ab12-cd34-ef56ab12cd34

Hodnota -RoleDefinitionName parametru je název role RBAC, která musí být přiřazena k objektu zabezpečení. Pokud chcete získat přístup k datům objektů blob na webu Azure Portal pomocí přihlašovacích údajů Microsoft Entra, musí mít uživatel následující přiřazení rolí:

• Role přístupu k datům, například Přispěvatel dat objektů blob služby Storage nebo Čtenář dat objektů blob služby Storage
• Role Čtenář Azure Resource Manageru

Pokud chcete přiřadit roli s vymezeným kontejnerem objektů blob nebo účtem úložiště, měli byste zadat řetězec obsahující obor prostředku pro -Scope parametr. Tato akce odpovídá principu nejnižšího oprávnění, což je koncept zabezpečení informací, ve kterém je uživateli udělena minimální úroveň přístupu vyžadovaná k výkonu jejich pracovních funkcí. Tento postup snižuje potenciální riziko náhodného nebo úmyslného poškození, které může přinést zbytečná oprávnění.

Obor kontejneru je ve formátu:

/subscriptions/<subscription-id>/resourceGroups/<resource-group-name>/providers/Microsoft.Storage/storageAccounts/<storage-account-name>/blobServices/default/containers/<container-name>

Rozsah účtu úložiště je ve formuláři:

/subscriptions/<subscription-id>/resourceGroups/<resource-group-name>/providers/Microsoft.Storage/storageAccounts/<storage-account-name>

Pokud chcete přiřadit roli s vymezeným účtem úložiště, zadejte řetězec obsahující obor kontejneru --scope pro parametr.

Následující příklad přiřadí uživateli roli Přispěvatel dat objektů blob služby Storage. Přiřazení role je vymezeno na úroveň kontejneru. Nezapomeňte nahradit ukázkové hodnoty a zástupné hodnoty v hranatých závorkách (<>) vlastními hodnotami:

New-AzRoleAssignment -SignInName <email> `
    -RoleDefinitionName "Storage Blob Data Contributor" `
    -Scope  "/subscriptions/<subscription-id>/resourceGroups/<resource-group-name>/providers/Microsoft.Storage/storageAccounts/<storage-account-name>/blobServices/default/containers/<container-name>"

Následující příklad přiřadí uživateli roli Čtenář dat objektu blob služby Storage zadáním ID objektu. Přiřazení role je vymezeno na úroveň účtu úložiště. Nezapomeňte nahradit ukázkové hodnoty a zástupné hodnoty v hranatých závorkách (<>) vlastními hodnotami:

New-AzRoleAssignment -ObjectID "ab12cd34-ef56-ab12-cd34-ef56ab12cd34" `
    -RoleDefinitionName "Storage Blob Data Reader" `
    -Scope  "/subscriptions/<subscription-id>/resourceGroups/<resource-group-name>/providers/Microsoft.Storage/storageAccounts/<storage-account-name>"

Výstup by měl vypadat přibližně takto:

RoleAssignmentId   : /subscriptions/<subscription ID>/resourceGroups/<Resource Group>/providers/Microsoft.Storage/storageAccounts/<Storage Account>/providers/Microsoft.Authorization/roleAssignments/<Role Assignment ID>
Scope              : /subscriptions/<subscription ID>/resourceGroups/<Resource Group>/providers/Microsoft.Storage/storageAccounts/<Storage Account>
DisplayName        : Mark Patrick
SignInName         : markpdaniels@contoso.com
RoleDefinitionName : Storage Blob Data Reader
RoleDefinitionId   : <Role Definition ID>
ObjectId           : <Object ID>
ObjectType         : User
CanDelegate        : False

Informace o přiřazování rolí pomocí PowerShellu v oboru předplatného nebo skupiny prostředků najdete v tématu Přiřazení rolí Azure pomocí Azure PowerShellu.

Pokud chcete k objektu zabezpečení přiřadit roli Azure pomocí Azure CLI, použijte příkaz az role assignment create . Formát příkazu se může lišit v závislosti na rozsahu přiřazení. Abyste mohli příkaz spustit, musíte mít roli, která zahrnuje oprávnění Microsoft.Authorization/roleAssignments/write přiřazená v odpovídajícím oboru nebo vyšším.

Pokud chcete přiřadit roli s oborem kontejneru, zadejte řetězec obsahující obor kontejneru --scope pro parametr. Obor kontejneru je ve formátu:

/subscriptions/<subscription-id>/resourceGroups/<resource-group-name>/providers/Microsoft.Storage/storageAccounts/<storage-account-name>/blobServices/default/containers/<container-name>

Následující příklad přiřadí uživateli roli Přispěvatel dat objektů blob služby Storage. Přiřazení role je vymezeno na úroveň kontejneru. Nezapomeňte nahradit ukázkové hodnoty a zástupné hodnoty v hranatých závorkách (<>) vlastními hodnotami:

az role assignment create \
    --role "Storage Blob Data Contributor" \
    --assignee <email> \
    --scope "/subscriptions/<subscription-id>/resourceGroups/<resource-group-name>/providers/Microsoft.Storage/storageAccounts/<storage-account-name>/blobServices/default/containers/<container-name>"

Následující příklad přiřadí uživateli roli Čtenář dat objektu blob služby Storage zadáním ID objektu. Další informace o parametrech a --assignee-principal-type parametrech --assignee-object-id najdete v tématu az role assignment. V tomto příkladu je přiřazení role vymezeno na úroveň účtu úložiště. Nezapomeňte nahradit ukázkové hodnoty a zástupné hodnoty v hranatých závorkách (<>) vlastními hodnotami:

az role assignment create \
    --role "Storage Blob Data Reader" \
    --assignee-object-id "ab12cd34-ef56-ab12-cd34-ef56ab12cd34" \
    --assignee-principal-type "User" \
    --scope "/subscriptions/<subscription-id>/resourceGroups/<resource-group-name>/providers/Microsoft.Storage/storageAccounts/<storage-account-name>"

Informace o přiřazování rolí pomocí Azure CLI v oboru předplatného, skupiny prostředků nebo účtu úložiště najdete v tématu Přiřazení rolí Azure pomocí Azure CLI.

Informace o použití šablony Azure Resource Manageru k přiřazení role Azure najdete v tématu Přiřazení rolí Azure pomocí šablon Azure Resource Manageru.