Vytvoření SAS delegování uživatele

Token sdíleného přístupového podpisu (SAS) můžete zabezpečit pro přístup ke kontejneru, adresáři nebo objektu blob pomocí přihlašovacích údajů Microsoft Entra nebo klíče účtu. Sas zabezpečený pomocí přihlašovacích údajů Microsoft Entra se nazývá delegování uživatelů SAS. Jako osvědčený postup zabezpečení doporučujeme používat přihlašovací údaje Microsoft Entra, pokud je to možné, a ne klíč účtu, což může být snadněji ohroženo. Když návrh vaší aplikace vyžaduje sdílené přístupové podpisy, vytvořte pomocí přihlašovacích údajů Microsoft Entra SAS delegování uživatele, abyste zajistili lepší zabezpečení.

Každý SAS je podepsaný klíčem. Pokud chcete vytvořit SAS delegování uživatele, musíte nejprve požádat klíč delegování uživatele, který pak použijete k podepsání SAS. Klíč delegování uživatele je podobný klíč účtu, který se používá k podepsání SAS služby nebo SAS účtu, s tím rozdílem, že spoléhá na vaše přihlašovací údaje Microsoft Entra. Pokud chcete požádat o klíč delegování uživatele, zavolejte Získat klíč delegování uživatele operace. Pak můžete pomocí klíče delegování uživatele vytvořit SAS.

Sas delegování uživatele se podporuje pro Azure Blob Storage a Azure Data Lake Storage. Zásady uloženého přístupu nejsou podporované pro SAS delegování uživatele.

Informace o použití klíče účtu k zabezpečení SAS najdete v tématu Vytvoření sas služby a Vytvoření SAS účtu.

Podpora SAS delegování uživatele pro přístup v oboru adresáře

Sas delegování uživatele podporuje obor adresáře (sr=d), pokud je autorizační verze (sv) 2020–02-10 nebo novější a je povolený hierarchický obor názvů (HNS). Sémantika oboru adresáře (sr=d) se podobá oboru kontejneru (sr=c), s výjimkou toho, že přístup je omezen na adresář a všechny soubory a podadresáře v něm. Při zadání sr=d se vyžaduje také parametr dotazu sdd.

Formát typu string-to-sign pro autorizaci verze 2020-02-10 se nezmění.

Podpora SAS delegování uživatele pro identifikátor uživatele

SAS delegování uživatele podporuje volitelný identifikátor objektu uživatele (OID), který se přenáší buď v saoid, nebo suoid parametr, pokud je autorizační verze (sv) 2020-02-10 nebo novější. Parametry saoid a suoid odpovídají objektu zabezpečení pro koncového uživatele, který používá SAS, a poskytují vylepšený model autorizace pro úlohy clusteru s více uživateli, jako je Hadoop a Spark.

Tokeny SAS můžou být omezené na konkrétní operaci systému souborů a uživatele, což poskytuje méně ohrožený přístupový token, který je bezpečnější distribuovat napříč clusterem s více uživateli. Jedním z případů použití těchto funkcí je integrace ovladače Hadoop ABFS s Apache Ranger.

Další informace o volitelných parametrech saoid a suoid najdete v tématu Určení ID podepsaného objektu uživatele.

Autorizace SAS delegování uživatele

Když klient přistupuje k prostředku služby Blob Storage pomocí SAS delegování uživatele, požadavek na Azure Storage je autorizovaný pomocí přihlašovacích údajů Microsoft Entra, které byly použity k vytvoření SAS. Přístup klienta k prostředku je určen následujícími oprávněními:

• Oprávnění řízení přístupu na základě role (RBAC) udělená objektu zabezpečení Microsoft Entra, který požadoval klíč delegování uživatele.
• Oprávnění seznamu řízení přístupu POSIX (ACL), která jsou udělena objektu zabezpečení, který požadoval klíč delegování uživatele. K této další kontrole dochází jenom v případě, že oprávnění RBAC nemůžou udělit přístup a jenom v případě, že je pro účet úložiště povolený hierarchický obor názvů.
• Oprávnění, která jsou explicitně udělena pro token SAS.

Tento přístup poskytuje další úroveň zabezpečení a pomáhá vyhnout se uložení přístupového klíče účtu s kódem aplikace. Z těchtodůvodůch

Oprávnění udělená klientovi, který má SAS, jsou průnikem oprávnění udělených objektu zabezpečení, který požadoval klíč delegování uživatele, a oprávnění udělená prostředku na tokenu SAS pomocí pole signedPermissions (sp). Pokud oprávnění udělené objektu zabezpečení prostřednictvím seznamů ACL RBAC nebo POSIX není u tokenu SAS také uděleno, není toto oprávnění uděleno klientovi, který se pokusí použít SAS pro přístup k prostředku. Při vytváření SAS delegování uživatele se ujistěte, že oprávnění udělená prostřednictvím seznamů ACL RBAC a POSIX a oprávnění udělená prostřednictvím tokenu SAS odpovídají úrovni přístupu vyžadované klientem.

Pokud chcete vytvořit SAS delegování uživatele, postupujte takto:

1. Pomocí seznamů ACL RBAC nebo POSIX udělte požadovaným oprávněním objektu zabezpečení, který požádá o klíč delegování uživatele.
2. Získejte token OAuth 2.0 z ID Microsoft Entra.
3. Token použijte k vyžádání klíče delegování uživatele voláním Získání klíče delegování uživatele operace.
4. Pomocí klíče delegování uživatele vytvořte token SAS s příslušnými poli.

Přiřazení oprávnění pomocí RBAC

Objekt zabezpečení, který požaduje klíč delegování uživatele, musí mít příslušná oprávnění k tomu. Objekt zabezpečení Microsoft Entra ID může být uživatel, skupina, instanční objekt nebo spravovaná identita.

Pokud chcete požádat o klíč delegování uživatele, musíte přiřadit objektu zabezpečení Microsoft.Storage/storageAccounts/blobServices/generateUserDelegationKey akci. Mezi následující předdefinované role RBAC patří Microsoft.Storage/storageAccounts/blobServices/generateUserDelegationKey akci explicitně nebo jako součást definice se zástupnými znamény:

• přispěvatele
• přispěvatele účtu úložiště
• Přispěvatel dat objektů blob služby Storage
• vlastníka dat objektů blob služby Storage
• čtečka dat objektů blob služby Storage
• delegátoru objektů blob služby Storage

Vzhledem k tomu, že operace Získání klíče delegování uživatele funguje na úrovni účtu úložiště, musí být akce Microsoft.Storage/storageAccounts/blobServices/generateUserDelegationKey vymezena na úrovni účtu úložiště, skupiny prostředků nebo předplatného. Pokud je objekt zabezpečení přiřazený některou z dříve uvedených předdefinovaných rolí nebo vlastní role, která zahrnuje Microsoft.Storage/storageAccounts/blobServices/generateUserDelegationKey akci, na úrovni účtu úložiště, skupiny prostředků nebo předplatného, může objekt zabezpečení požádat klíč delegování uživatele.

Pokud je objekt zabezpečení přiřazený roli, která povoluje přístup k datům, ale má obor na úroveň kontejneru, můžete navíc přiřadit delegátor objektů blob služby storage roli objektu zabezpečení na úrovni účtu úložiště, skupiny prostředků nebo předplatného. Role delegátoru objektů blob služby storage uděluje oprávnění objektu zabezpečení k vyžádání klíče delegování uživatele.

Další informace o rolích RBAC pro Azure Storage najdete v tématu Autorizace pomocí Microsoft Entra.

Získání tokenu OAuth 2.0

Pokud chcete získat klíč delegování uživatele, nejprve požádejte token OAuth 2.0 z ID Microsoft Entra. Poskytněte token schématu Bearer k autorizaci volání Získat klíč delegování uživatele operace. Další informace o vyžádání tokenu OAuth z ID Microsoft Entra najdete v tématu Toky ověřování a scénáře aplikací.

Žádost o klíč delegování uživatele

Volání Získání klíče delegování uživatele vrátí klíč jako sadu hodnot, které se používají jako parametry tokenu SAS delegování uživatele. Tyto parametry jsou popsány v Získání klíče delegování uživatele reference a v další části "Vytvoření SAS delegování uživatele."

Když klient požádá o klíč delegování uživatele pomocí tokenu OAuth 2.0, azure Storage vrátí klíč delegování uživatele jménem objektu zabezpečení. Sas vytvořený pomocí klíče delegování uživatele má udělená oprávnění udělená objektu zabezpečení.

Jakmile budete mít klíč delegování uživatele, můžete ho použít k vytvoření libovolného počtu sdílených přístupových podpisů delegování uživatele v průběhu životnosti klíče. Klíč delegování uživatele je nezávislý na tokenu OAuth 2.0, který používáte k jeho získání, takže token se nemusí obnovovat, dokud je klíč stále platný. Můžete určit, že klíč je platný po dobu až sedmi dnů.

Vytvoření SAS delegování uživatele

Následující tabulka shrnuje pole podporovaná pro token SAS delegování uživatele. Další podrobnosti o tom, jak tyto parametry zadat, najdete v dalších částech.

Zadání pole podepsané verze

Požadované pole signedVersion (sv) určuje verzi služby pro sdílený přístupový podpis. Tato hodnota označuje verzi služby, která se používá k vytvoření pole signature, a určuje verzi služby, která zpracovává požadavek provedený tímto sdíleným přístupovým podpisem. Hodnota pole sv musí být verze 2018-11-09 nebo novější.

Zadání pole podepsaného zdroje

Požadované pole signedResource (sr) určuje, které prostředky jsou přístupné prostřednictvím sdíleného přístupového podpisu. Následující tabulka popisuje, jak odkazovat na prostředek objektu blob, kontejneru nebo adresáře v tokenu SAS:

Zadejte dobu platnosti podpisu.

Pole signedStart (st) a signedExpiry (se) označují čas zahájení a vypršení platnosti sas. Pole signedExpiry je povinné. Pole signedStart je volitelné. Pokud je vynechán, použije se jako čas zahájení aktuální čas UTC.

U SAS delegování uživatele by časy spuštění a vypršení platnosti sas měly být v intervalu definovaném pro klíč delegování uživatele. Pokud se klient pokusí použít SAS po vypršení platnosti klíče delegování uživatele, sas selže s chybou autorizace bez ohledu na to, jestli samotný SAS je stále platný.

Další informace o přijatých formátech UTC naleznete v tématu Formát hodnot DateTime.

Zadání oprávnění

Oprávnění zadaná pro pole signedPermissions (sp) v tokenu SAS označují, které operace může s prostředkem provádět klient, který má sas.

Oprávnění je možné kombinovat, aby klient mohl provádět více operací se stejným SAS. Při vytváření sdíleného přístupového podpisu musíte zahrnout oprávnění v následujícím pořadí:

racwdxltmeop

Příklady platných nastavení oprávnění pro kontejner zahrnují rw, rd, rl, wd, wla rl. Mezi neplatné nastavení patří wr, dr, lra dw. Určení označení oprávnění více než jednou není povoleno.

Sas delegování uživatele nemůže udělit přístup k určitým operacím:

• Kontejnery nelze vytvářet, odstraňovat ani vypisovat.
• Metadata a vlastnosti kontejneru nelze číst ani zapisovat.
• Kontejnery nelze zapůjčením.

Pokud chcete vytvořit SAS, který uděluje přístup k těmto operacím, použijte SAS účtu. Další informace najdete v tématu Vytvoření sas účtu.

Oprávnění podporovaná pro jednotlivé typy prostředků jsou popsaná v následující tabulce:

Zadání IP adresy nebo rozsahu IP adres

Volitelné pole signedIp (sip) určuje veřejnou IP adresu nebo rozsah veřejných IP adres, ze kterých se mají přijímat požadavky. Pokud SE IP adresa, ze které požadavek pochází, neshoduje s IP adresou nebo rozsahem adres zadaným v tokenu SAS, není požadavek autorizovaný. Podporují se jenom adresy IPv4.

Když zadáte rozsah IP adres, rozsah je inkluzivní. Například zadání sip=198.51.100.0 nebo sip=198.51.100.10-198.51.100.20 sas omezí požadavek na tyto IP adresy.

Následující tabulka popisuje, jestli zahrnout pole signedIp v tokenu SAS pro daný scénář na základě klientského prostředí a umístění účtu úložiště.

Zadání protokolu HTTP

Volitelné pole signedProtocol (spr) určuje protokol, který je povolený pro požadavky vytvořené pomocí sdíleného přístupového podpisu ( SAS). Možné hodnoty jsou HTTPS i HTTP (https,http) nebo pouze HTTPS (https). Výchozí hodnota je https,http.

Zadejte ID podepsaného objektu.

Pole signedObjectId (skoid) je vyžadováno pro SAS delegování uživatele. Operace Získání klíče delegování uživatele vrátí tuto hodnotu jako součást odpovědi. ID podepsaného objektu je hodnota GUID, která obsluhuje neměnný identifikátor objektu zabezpečení na platformě Microsoft Identity Platform.

Zadání podepsaného ID tenanta

Pole signedTenantId (sktid) je vyžadováno pro SAS delegování uživatele. Operace Získání klíče delegování uživatele vrátí tuto hodnotu jako součást odpovědi. Podepsané ID tenanta je hodnota GUID, která představuje tenanta Microsoft Entra, ve kterém je definován objekt zabezpečení.

Zadejte počáteční čas podepsaného klíče.

Požadované pole signedKeyStartTime (skt) označuje začátek životnosti klíče delegování uživatele ve formátu ISO Date. Operace Získání klíče delegování uživatele vrátí tuto hodnotu jako součást odpovědi.

Zadejte čas vypršení platnosti podepsaného klíče.

Pole signedKeyExpiryTime (ske) je vyžadováno pro SAS delegování uživatele ve formátu ISO Date. Operace Získání klíče delegování uživatele vrátí tuto hodnotu jako součást odpovědi. Čas vypršení platnosti podepsaného klíče označuje konec životnosti klíče delegování uživatele. Hodnota doby vypršení platnosti může být maximálně sedm dnů od počátečního času SAS.

Zadání služby podepsaného klíče

Pole signedKeyService (sks) je vyžadováno pro SAS delegování uživatele. Operace Získání klíče delegování uživatele vrátí tuto hodnotu jako součást odpovědi. Pole služby podepsaného klíče označuje službu, pro kterou je klíč delegování uživatele platný. Hodnota pole služby podepsaného klíče pro Blob Storage je b.

Zadání verze podepsaného klíče

Pole signedkeyversion (skv) je vyžadováno pro SAS delegování uživatele. Operace Získání klíče delegování uživatele vrátí tuto hodnotu jako součást odpovědi. Pole signedkeyversion určuje verzi služby úložiště, která se používá k získání klíče delegování uživatele. Toto pole musí obsahovat verzi 2018-11-09 nebo novější.

Zadání ID podepsaného objektu uživatele pro objekt zabezpečení

Volitelná pole signedAuthorizedObjectId (saoid) a signedUnauthorizedObjectId (suoid) umožňují integraci s úlohami Apache Hadoop a Apache Ranger pro úlohy Azure Data Lake Storage. Pomocí jednoho z těchto polí v tokenu SAS zadejte ID objektu pro objekt zabezpečení:

• Pole saoid určuje ID objektu objektu pro objekt zabezpečení Microsoft Entra, který je autorizovaný vlastníkem klíče delegování uživatele k provedení akce udělené tokenem SAS. Azure Storage ověří token SAS a zajistí, že vlastník klíče delegování uživatele má požadovaná oprávnění před tím, než Azure Storage udělí přístup. Neprovádí se žádná další kontrola oprávnění u seznamů ACL pro POSIX.
• Pole suoid určuje ID objektu objektu pro objekt zabezpečení Microsoft Entra, pokud je pro účet úložiště povolený hierarchický obor názvů. Pole suoid je platné pouze pro účty, které mají hierarchický obor názvů. Když je pole suoid součástí tokenu SAS, Azure Storage před autorizaci operace provede kontrolu seznamu ACL poSIX s ID objektu. Pokud tato kontrola seznamu ACL není úspěšná, operace selže. Pokud je pole suoid součástí tokenu SAS, musí být pro účet úložiště povolený hierarchický obor názvů. Jinak kontrola oprávnění selže s chybou autorizace.

ID objektu objektu pro objekt zabezpečení, který požaduje klíč delegování uživatele, se zachytí v požadovaném poli skoid. Pokud chcete zadat ID objektu v tokenu SAS pomocí pole saoid nebo suoid, Objekt zabezpečení, který je identifikován v poli skoid, musí mít přiřazenou roli RBAC, která zahrnuje Microsoft.Storage/storageAccounts/blobServices/containers/blobs/runAsSuperUser/action nebo Microsoft.Storage/storageAccounts/blobServices/containers/blobs/manageOwnership/action. Další informace o těchto akcích najdete v tématu operace poskytovatele prostředků Azure.

Zadáním ID objektu do pole saoid nebo suoid také omezíte operace, které souvisejí s vlastnictvím adresáře nebo objektu blob, následujícími způsoby:

• Pokud operace vytvoří adresář nebo objekt blob, Azure Storage nastaví vlastníka adresáře nebo objektu blob na hodnotu určenou ID objektu. Pokud není zadané ID objektu, Azure Storage nastaví vlastníka adresáře nebo objektu blob na hodnotu určenou parametrem skoid.
• Pokud je bit sticky nastaven na nadřazený adresář a operace odstraní nebo přejmenuje adresář nebo objekt blob, ID objektu vlastníka nadřazeného adresáře nebo vlastníka prostředku musí odpovídat hodnotě zadané ID objektu.
• Pokud operace nastaví vlastníka adresáře nebo objektu blob a je zadána hlavička x-ms-owner, hodnota zadaná ID objektu se musí shodovat s hodnotou zadanou hlavičkou x-ms-owner.
• Pokud operace nastaví skupinu pro adresář nebo objekt blob a je zadána hlavička x-ms-group, hodnota zadaná ID objektu musí být členem skupiny určené hlavičkou x-ms-group.
• Pokud operace nastaví oprávnění nebo seznam ACL pro adresář nebo objekt blob, musí být splněna také jedna z následujících dvou podmínek:
  • Hodnota zadaná pro ID objektu musí být vlastníkem adresáře nebo objektu blob.
  • Hodnota pole signedPermissions (sp) musí kromě oprávnění Ownership (o) obsahovat oprávnění Permissions (p).

ID objektu zadané v poli saoid nebo suoid je součástí diagnostických protokolů při provádění požadavků pomocí tokenu SAS.

Pole saoid nebo suoid je podporováno pouze v případě, že je pole signedVersion (sv) nastaveno na verzi 2020-02-10 nebo novější. Token SAS může obsahovat pouze jedno z těchto polí.

Zadání ID korelace

Pole signedCorrelationId (scid) určuje ID korelace, které se dá použít ke korelaci protokolů auditu úložiště s protokoly auditu, které používá objekt zabezpečení, který generuje a distribuuje SAS. Například důvěryhodná autorizační služba má obvykle spravovanou identitu, která ověřuje a autorizuje uživatele, generuje SAS, přidává položku do místního protokolu auditu a vrací SAS uživateli, který pak může použít SAS pro přístup k prostředkům Azure Storage. Zahrnutím ID korelace do místního protokolu auditu i protokolu auditu úložiště povolíte pozdější korelaci těchto událostí. Hodnota je IDENTIFIKÁTOR GUID bez závorek a s malými písmeny.

Toto pole je podporováno ve verzi 2020-02-10 a novější.

Zadejte hloubku adresáře.

Pokud pole signedResource určuje adresář (sr=d), musíte také zadat pole signedDirectoryDepth (sdd), které určuje počet podadresářů v kořenovém adresáři. Hodnota pole sdd musí být nezáporné celé číslo.

Například kořenový adresář https://{account}.blob.core.windows.net/{container}/ má hloubku 0. Každý podadresář v kořenovém adresáři přidá do hloubky o 1. Adresář https://{account}.blob.core.windows.net/{container}/d1/d2 má hloubku 2.

Toto pole je podporováno ve verzi 2020-02-10 a novější.

Zadání parametrů dotazu pro přepsání hlaviček odpovědí

Pokud chcete definovat hodnoty pro určité hlavičky odpovědi, které se mají vrátit při použití sdíleného přístupového podpisu v požadavku, můžete v parametrech dotazu zadat hlavičky odpovědi. Hlavičky odpovědi a odpovídající parametry dotazu jsou následující:

Pokud například zadáte parametr dotazu rsct=binary tokenu SAS, hlavička Content-Type odpovědi se nastaví na binary. Tato hodnota přepíše hodnotu hlavičky Content-Type uloženou pro objekt blob pro požadavek pouze pomocí tohoto sdíleného přístupového podpisu.

Pokud vytvoříte sdílený přístupový podpis, který jako parametry dotazu určuje hlavičky odpovědi, musíte tyto hlavičky odpovědi zahrnout do řetězce k podpisu, který se používá k vytvoření řetězce podpisu. Další informace najdete v části "Určení podpisu".

Určení rozsahu šifrování

Pole signed encryption scope (ses) určuje obor šifrování, který klientská aplikace používá při nahrávání objektů blob pomocí tokenu SAS prostřednictvím operace Put Blob. Pole signed encryption scope se podporuje, když je pole podepsané verze (sv) tokenu SAS verze 2020–12-06 nebo novější. Pokud pole podepsané verze určuje verzi, která je starší než podporovaná verze, vrátí služba kód odpovědi na chybu 403 (Zakázáno).

Pokud je pro kontejner nebo systém souborů nastavený výchozí obor šifrování, bude pole ses respektovat zásady šifrování kontejneru. Pokud došlo k neshodě mezi parametrem dotazu ses a hlavičkou x-ms-default-encryption-scope a hlavička x-ms-deny-encryption-scope-override je nastavená na true, vrátí služba kód chybové odpovědi 403 (Zakázáno).

Pokud je v požadavku PUT k dispozici hlavička x-ms-encryption-scope a parametr dotazu ses i neshoda, vrátí služba kód odpovědi na chybu 400 (Chybný požadavek).

Zadání podpisu

Pole signature (sig) slouží k autorizaci požadavku provedeného klientem se sdíleným přístupovým podpisem. Řetězec na znaménko je jedinečný řetězec vytvořený z polí, která musí být ověřena k autorizaci požadavku. Podpis je HMAC vypočítaný přes řetězec-znaménko a klíč pomocí algoritmu SHA256 a pak kódovaný pomocí kódování Base64.

Pokud chcete vytvořit řetězec podpisu SAS delegování uživatele, vytvořte z polí, která tvoří požadavek, zakódujte řetězec jako UTF-8 a potom podpis vypočítáte pomocí algoritmu HMAC-SHA256. Pole zahrnutá v řetězci na znaménko musí být dekódovaná adresou URL.

Pole požadovaná v řetězcovém podpisu závisí na verzi služby, která se používá k autorizaci (sv pole). Následující části popisují konfiguraci typu string-to-sign pro verze, které podporují SAS delegování uživatele.

Verze 2020-12-06 a novější

Řetězec-podpis pro autorizaci verze 2020-12-06 a novější má následující formát:

StringToSign =  signedPermissions + "\n" +
                signedStart + "\n" +
                signedExpiry + "\n" +
                canonicalizedResource + "\n" +
                signedKeyObjectId + "\n" +
                signedKeyTenantId + "\n" +
                signedKeyStart + "\n" +
                signedKeyExpiry  + "\n" +
                signedKeyService + "\n" +
                signedKeyVersion + "\n" +
                signedAuthorizedUserObjectId + "\n" +
                signedUnauthorizedUserObjectId + "\n" +
                signedCorrelationId + "\n" +
                signedIP + "\n" +
                signedProtocol + "\n" +
                signedVersion + "\n" +
                signedResource + "\n" +
                signedSnapshotTime + "\n" +
                signedEncryptionScope + "\n" +
                rscc + "\n" +
                rscd + "\n" +
                rsce + "\n" +
                rscl + "\n" +
                rsct

Verze 2020-02-10

Řetězec pro autorizaci verze 2020-02-10 má následující formát:

StringToSign =  signedPermissions + "\n" +
                signedStart + "\n" +
                signedExpiry + "\n" +
                canonicalizedResource + "\n" +
                signedKeyObjectId + "\n" +
                signedKeyTenantId + "\n" +
                signedKeyStart + "\n" +
                signedKeyExpiry  + "\n" +
                signedKeyService + "\n" +
                signedKeyVersion + "\n" +
                signedAuthorizedUserObjectId + "\n" +
                signedUnauthorizedUserObjectId + "\n" +
                signedCorrelationId + "\n" +
                signedIP + "\n" +
                signedProtocol + "\n" +
                signedVersion + "\n" +
                signedResource + "\n" +
                signedSnapshotTime + "\n" +
                rscc + "\n" +
                rscd + "\n" +
                rsce + "\n" +
                rscl + "\n" +
                rsct

Verze starší než 2020-02-10

Podpis řetězce pro autorizační verze starší než 2020-02-10 má následující formát:

StringToSign =  signedPermissions + "\n" +  
                signedStart + "\n" +  
                signedExpiry + "\n" +  
                canonicalizedResource + "\n" +  
                signedKeyObjectId + "\n" +
                signedKeyTenantId + "\n" +
                signedKeyStart + "\n" +
                signedKeyExpiry  + "\n" +
                signedKeyService + "\n" +
                signedKeyVersion + "\n" +
                signedAuthorizedUserObjectId + "\n" +
                signedUnauthorizedUserObjectId + "\n" +
                signedCorrelationId + "\n" +
                signedIP + "\n" +  
                signedProtocol + "\n" +  
                signedVersion + "\n" +  
                signedResource + "\n" +
                rscc + "\n" +
                rscd + "\n" +  
                rsce + "\n" +  
                rscl + "\n" +  
                rsct

Kanonizovaný prostředek

canonicalizedResource část řetězce je kanonická cesta k podepsanému prostředku. Musí obsahovat koncový bod služby Blob Storage a název prostředku a musí být dekódovaný adresou URL. Cesta k objektu blob musí obsahovat svůj kontejner. Cesta k adresáři musí obsahovat počet podadresářů, které odpovídají parametru sdd.

Kanonický řetězec prostředku pro kontejner musí vynechat koncové lomítko (/) pro SAS, který poskytuje přístup k ho kontejneru.

Následující příklady ukazují, jak sestavit canonicalizedResource část řetězce v závislosti na typu prostředku.

Příklad kontejneru (Azure Blob Storage)

URL = https://myaccount.blob.core.windows.net/music  
canonicalizedResource = "/blob/myaccount/music"  

Příklad objektu blob (Azure Blob Storage)

URL = https://myaccount.blob.core.windows.net/music/intro.mp3  
canonicalizedResource = "/blob/myaccount/music/intro.mp3"  

Příklad kontejneru (Azure Data Lake Storage)

URL = https://myaccount.dfs.core.windows.net/music  
canonicalizedResource = "/blob/myaccount/music"  

Příklad adresáře (Azure Data Lake Storage)

URL = https://myaccount.dfs.core.windows.net/music/instruments/guitar/  
canonicalizedResource = "/blob/myaccount/music/instruments/guitar/"  

Příklad objektu blob (Azure Data Lake Storage)

URL = https://myaccount.dfs.core.windows.net/music/intro.mp3  
canonicalizedResource = "/blob/myaccount/music/intro.mp3"  

Volitelná pole

Pokud je pole volitelné a nezadá se jako součást tokenu SAS, zadejte prázdný řetězec pole. Nezapomeňte za prázdný řetězec zahrnout znak nového řádku (\n).

Příklad SAS delegování uživatele

Následující příklad ukazuje identifikátor URI objektu blob s připojeným tokenem SAS delegování uživatele. Token SAS delegování uživatele poskytuje oprávnění ke čtení a zápisu objektu blob.

https://myaccount.blob.core.windows.net/sascontainer/blob1.txt?sp=rw&st=2023-05-24T01:13:55Z&se=2023-05-24T09:13:55Z&skoid=<object-id>&sktid=<tenant-id>&skt=2023-05-24T01:13:55Z&ske=2023-05-24T09:13:55Z&sks=b&skv=2022-11-02&sip=198.51.100.10-198.51.100.20&spr=https&sv=2022-11-02&sr=b&sig=<signature>

Každá část identifikátoru URI je popsaná v následující tabulce:

Odvolání sdíleného přístupového podpisu delegování uživatele

Pokud se domníváte, že došlo k ohrožení sdíleného přístupového podpisu, měli byste ho odvolat. Sas delegování uživatele můžete odvolat odvoláním klíče delegování uživatele nebo změnou nebo odebráním přiřazení rolí RBAC a seznamů ACL POSIX pro objekt zabezpečení, který se používá k vytvoření SAS.

Odvolání klíče delegování uživatele

Klíč delegování uživatele můžete odvolat voláním odvolat klíče delegování uživatele operace. Když odvoláte klíč delegování uživatele, všechny sdílené přístupové podpisy, které na daném klíči spoléhají, se stanou neplatnými. Potom můžete znovu volat Získat klíč delegování uživatele operace a pomocí klíče vytvořit nové sdílené přístupové podpisy. Jedná se o nejrychlejší způsob odvolání sdíleného přístupového podpisu delegování uživatele.

Změna nebo odebrání přiřazení rolí nebo seznamů ACL

Přiřazení role RBAC a seznamy ACL poSIX pro objekt zabezpečení, který se používá k vytvoření sdíleného přístupového podpisu, můžete změnit nebo odebrat. Když klient používá SAS pro přístup k prostředku, Azure Storage ověří, že objekt zabezpečení, jehož přihlašovací údaje byly použity k zabezpečení SAS, má požadovaná oprávnění k prostředku.

Viz také

• Delegovat přístup pomocí sdíleného přístupového podpisu
• Vytvoření SAS služby
• Vytvoření sas účtu
• kódy chyb SAS