Autorizace pomocí Microsoft Entra ID

Azure Storage poskytuje integraci s ID Microsoft Entra pro autorizaci požadavků založených na identitách pro služby Blob, File, Queue a Table Services. S ID Microsoft Entra můžete pomocí řízení přístupu na základě role (RBAC) udělit přístup k objektům blob, souborům, frontě a prostředkům tabulek uživatelům, skupinám nebo aplikacím. Můžete udělit oprávnění, která jsou vymezena na úroveň jednotlivého kontejneru, sdílené složky, fronty nebo tabulky.

Další informace o integraci Microsoft Entra ID ve službě Azure Storage najdete v tématu Autorizace přístupu k objektům blob a frontám Azure pomocíMicrosoft Entra ID .

Další informace o výhodách používání Microsoft Entra ID ve vaší aplikaci naleznete v tématu Integrace s platformou Microsoft Identity Platform.

Použití přístupových tokenů OAuth k ověřování

Azure Storage přijímá OAuth 2.0 přístupové tokeny z tenanta Microsoft Entra přidruženého k předplatnému, které obsahuje účet úložiště. Azure Storage přijímá přístupové tokeny pro:

• Uživatelé a skupiny
• Instanční objekty
• Spravované identity pro prostředky Azure
• Aplikace používající oprávnění delegovaná uživateli

Azure Storage zveřejňuje jeden obor delegování s názvem user_impersonation, který umožňuje aplikacím provést jakoukoli akci povolenou uživatelem.

Pokud chcete požádat o tokeny pro Azure Storage, zadejte hodnotu https://storage.azure.com/ ID prostředku. Další informace o ID prostředku najdete v tématu rozsahy platformy Microsoft Identity Platform, oprávnění, & souhlas.

Další informace o vyžádání přístupových tokenů z ID Microsoft Entra pro uživatele a instanční objekty najdete v tématu Toky ověřování a scénáře aplikací.

Další informace o vyžádání přístupových tokenů pro prostředky nakonfigurované pomocí spravovaných identit najdete v tématu Použití spravovaných identit pro prostředky Azure na virtuálním počítači Azure k získání přístupového tokenu.

Volání operací úložiště pomocí tokenů OAuth

Pokud chcete volat operace služby Blob, File, Queue a Table Service pomocí přístupových tokenů OAuth, předejte přístupový token v hlavičce Authorization pomocí schématu Bearer. a zadejte verzi služby 2017-11-09 (2022-11-02 pro operace s prostředkem file a prostředek adresáře nebo 2024-11-04 pro operace s prostředkem FileService a prostředek fileShare) nebo novějším, jak je znázorněno v následujícím příkladu:

Request:
GET /container/file.txt
x-ms-version: 2017-11-09
Authorization: Bearer eyJ0eXAiO...V09ccgQ
User-Agent: PostmanRuntime/7.6.0
Accept: */*
Host: sampleoautheast2.blob.core.windows.net
accept-encoding: gzip, deflate

Response:
HTTP/1.1 200
status: 200
Content-Length: 28
Content-Type: text/plain
Content-MD5: dxG7IgOBzApXPcGHxGg5SA==
Last-Modified: Wed, 30 Jan 2019 07:21:32 GMT
Accept-Ranges: bytes
ETag: "0x8D686838F9E8BA7"
Server: Windows-Azure-Blob/1.0 Microsoft-HTTPAPI/2.0
x-ms-request-id: 09f31964-e01e-00a3-8066-d4e6c2000000
x-ms-version: 2017-11-09
x-ms-creation-time: Wed, 29 Aug 2018 04:22:47 GMT
x-ms-lease-status: unlocked
x-ms-lease-state: available
x-ms-blob-type: BlockBlob
x-ms-server-encrypted: true
Date: Wed, 06 Mar 2019 21:50:50 GMT
Welcome to Azure Storage!!

Nosný úkol

Nosný úkol je součástí protokolu OAuth RFC 6750 a používá se ke zjišťování autority. V případě anonymních požadavků na službu Blob Service nebo pro požadavky provedené s neplatným nosným tokenem OAuth server vrátí stavový kód 401 (Neautorizováno) s informacemi o zprostředkovateli identity a prostředcích. Informace o tom, jak tyto hodnoty používat při ověřování s ID Microsoft Entra, najdete odkaz.

Služby Azure Storage Blob a Queue vrací nosnou výzvu pro verzi 2019-12-12 a novější. Azure Storage Table Service vrací nosnou výzvu pro verzi 2020-12-06 a novější. Azure Data Lake Storage Gen2 vrací nosnou výzvu pro verzi 2017–11.09 a novější. Služba Azure File vrací nosnou výzvu z verze 2022-11-02 a novější.

Odpovědi na anonymní žádosti o čtení

Když blob Storage obdrží anonymní požadavek, bude tento požadavek úspěšný, pokud jsou splněny všechny následující podmínky:

• Pro účet úložiště je povolený anonymní veřejný přístup.
• Kontejner je nakonfigurovaný tak, aby umožňoval anonymní veřejný přístup.
• Žádost je určená pro čtení.

Pokud některá z těchto podmínek není pravdivá, požadavek se nezdaří. Kód odpovědi na selhání závisí na tom, jestli byl anonymní požadavek proveden s verzí služby, která podporuje nosnou výzvu. Nosný úkol je podporovaný ve verzích služeb 2019–12-12 a novějších:

• Pokud byl anonymní požadavek proveden s verzí služby, která podporuje nosnou výzvu, vrátí služba kód chyby 401 (Neautorizováno).
• Pokud byl anonymní požadavek proveden s verzí služby, která nepodporuje nosnou výzvu a anonymní veřejný přístup je pro účet úložiště zakázán, služba vrátí kód chyby 409 (Konflikt).
• Pokud byl anonymní požadavek proveden s verzí služby, která nepodporuje nosnou výzvu a anonymní veřejný přístup je povolený pro účet úložiště, vrátí služba kód chyby 404 (Nenalezeno).

Další informace o nosné výzvě naleznete v tématu Bearer challenge.

Ukázková odpověď na nosnou výzvu

Následuje příklad odpovědi na výzvu bearer, pokud požadavek klienta nezahrnuje nosný token do anonymní žádosti o stažení objektu blob:

Request:
GET /container/file.txt
x-ms-version: 2019-12-12
Host: sampleoautheast2.blob.core.windows.net

Response:
HTTP/1.1 401 Unauthorized
WWW-Authenticate: Bearer authorization_uri=https://login.microsoftonline.com/<tenant_id>/oauth2/authorize resource_id=https://storage.azure.com

<?xml version="1.0" encoding="utf-8"?>
<Error>
    <Code>NoAuthenticationInformation</Code>
    <Message>Server failed to authenticate the request. Please refer to the information in the www-authenticate header.
RequestId:ec4f02d7-1003-0006-21f9-c55bc8000000
Time:2020-01-08T08:01:46.2063459Z</Message>
</Error>

Správa přístupových práv pomocí RBAC

ID Microsoft Entra zpracovává autorizaci přístupu k zabezpečeným prostředkům prostřednictvím RBAC. Pomocí RBAC můžete přiřadit role uživatelům, skupinám nebo instančním objektům. Každá role zahrnuje sadu oprávnění pro prostředek. Jakmile je role přiřazena uživateli, skupině nebo instančnímu objektu, má k ho prostředku přístup. Přístupová práva můžete přiřadit pomocí webu Azure Portal, nástrojů příkazového řádku Azure a rozhraní API pro správu Azure. Další informace o řízení přístupu na základě role najdete v tématu Začínáme s Role-Based řízení přístupu.

Pro Azure Storage můžete udělit přístup k datům v kontejneru nebo frontě v účtu úložiště. Azure Storage nabízí tyto předdefinované role RBAC pro použití s ID Microsoft Entra:

• vlastníka dat objektů blob služby Storage
• Přispěvatel dat objektů blob služby Storage
• čtečka dat objektů blob služby Storage
• delegátoru objektů blob služby Storage
• přispěvatele dat fronty služby Storage
• čtečky dat fronty služby Storage
• procesoru zpráv fronty úložiště
• odesílatele datové zprávy fronty úložiště
• čtečka dat tabulky úložiště
• přispěvatele dat tabulky úložiště
• privilegovaný přispěvatel dat souboru úložiště
• privilegované čtečky dat souboru úložiště

Další informace o tom, jak jsou definované předdefinované role pro Azure Storage, najdete v tématu Vysvětlení definic rolí pro prostředky Azure.

Můžete také definovat vlastní role pro použití se službou Blob Storage a frontami Azure. Další informace najdete v tématu Vytvoření vlastních rolí pro azure Role-Based řízení přístupu.

Oprávnění pro volání datových operací

Následující tabulky popisují oprávnění potřebná pro uživatele, skupinu, spravovanou identitu nebo instanční objekt Microsoftu pro volání konkrétních operací služby Azure Storage. Pokud chcete klientovi povolit volání konkrétní operace, ujistěte se, že přiřazená role RBAC klienta nabízí dostatečná oprávnění pro danou operaci.

Oprávnění pro operace služby Blob Service

Oprávnění pro operace frontové služby

Oprávnění pro operace služby Table Service

Oprávnění pro operace souborové služby

Viz také

• autorizace požadavků na službu Azure Storage