Microsoft Entra ID で承認する

Azure Storage Microsoft Entra ID との統合により、BLOB、ファイル、キュー、および Table サービスへの要求の ID ベースの承認が可能になります。 Microsoft Entra ID を使用すると、ロールベースのアクセス制御 (RBAC) を使用して、BLOB、ファイル、キュー、テーブルのリソースへのアクセスをユーザー、グループ、またはアプリケーションに許可できます。 個々のコンテナー、共有、キュー、またはテーブルのレベルをスコープとするアクセス許可を付与できます。

Azure Storage での Microsoft Entra ID 統合の詳細については、「Microsoft Entra IDを使用して Azure BLOB とキューへのアクセスを承認する」を参照してください。

アプリケーションで Microsoft Entra ID を使用する利点の詳細については、「Microsoft ID プラットフォームとの統合」を参照してください。

認証に OAuth アクセス トークンを使用する

Azure Storage では、ストレージ アカウントを含むサブスクリプションに関連付けられている Microsoft Entra テナントから、OAuth 2.0 アクセス トークンを受け入れます。 Azure Storage では、次のアクセス トークンを受け入れます。

• ユーザーとグループ
• サービス プリンシパル
• Azure リソースのマネージド ID
• ユーザーによって委任されたアクセス許可を使用するアプリケーション

Azure Storage では、user_impersonation という名前の単一の委任スコープが公開され、アプリケーションはユーザーが許可するアクションを実行できます。

Azure Storage のトークンを要求するには、リソース ID に https://storage.azure.com/ 値を指定します。 リソース ID の詳細については、Microsoft ID プラットフォームのスコープ、アクセス許可、& 同意に関するページを参照してください。

ユーザーとサービス プリンシパルに対して Microsoft Entra ID からアクセス トークンを要求する方法の詳細については、「認証フローとアプリケーション シナリオを参照してください。

マネージド ID で構成されたリソースのアクセス トークンの要求の詳細については、「Azure VM 上の Azure リソースのマネージド ID を使用してアクセス トークンを取得する方法」を参照してください。

OAuth トークンを使用してストレージ操作を呼び出す

OAuth アクセス トークンを使用して BLOB、ファイル、キュー、および Table サービスの操作を呼び出すには、Bearer スキームを使用して、Authorization ヘッダーにアクセス トークンを渡します。 2017-11-09 (File リソースと Directory リソースに対する操作の場合は 2022-11-02)、FileService リソースおよび FileShare リソースに対する操作には 2024-11-04) を指定します。 次の例に示すように、

Request:
GET /container/file.txt
x-ms-version: 2017-11-09
Authorization: Bearer eyJ0eXAiO...V09ccgQ
User-Agent: PostmanRuntime/7.6.0
Accept: */*
Host: sampleoautheast2.blob.core.windows.net
accept-encoding: gzip, deflate

Response:
HTTP/1.1 200
status: 200
Content-Length: 28
Content-Type: text/plain
Content-MD5: dxG7IgOBzApXPcGHxGg5SA==
Last-Modified: Wed, 30 Jan 2019 07:21:32 GMT
Accept-Ranges: bytes
ETag: "0x8D686838F9E8BA7"
Server: Windows-Azure-Blob/1.0 Microsoft-HTTPAPI/2.0
x-ms-request-id: 09f31964-e01e-00a3-8066-d4e6c2000000
x-ms-version: 2017-11-09
x-ms-creation-time: Wed, 29 Aug 2018 04:22:47 GMT
x-ms-lease-status: unlocked
x-ms-lease-state: available
x-ms-blob-type: BlockBlob
x-ms-server-encrypted: true
Date: Wed, 06 Mar 2019 21:50:50 GMT
Welcome to Azure Storage!!

ベアラー チャレンジ

ベアラー チャレンジは、RFC 6750 OAuth プロトコルの一部であり、機関の検出に使用されます。 BLOB サービスへの匿名要求の場合、または無効な OAuth ベアラー トークンを使用して行われた要求の場合、サーバーは ID プロバイダーとリソース情報を含む状態コード 401 (Unauthorized) を返します。 Microsoft Entra ID による認証時にこれらの値を使用する方法については、リンク を参照してください。

Azure Storage BLOB サービスと Queue サービスは、バージョン 2019-12-12 以降のベアラー チャレンジを返します。 Azure Storage Table Service は、バージョン 2020-12-06 以降のベアラー チャレンジを返します。 Azure Data Lake Storage Gen2 は、バージョン 2017-11-09 以降のベアラー チャレンジを返します。 Azure File サービスは、バージョン 2022-11-02 以降のベアラー チャレンジを返します。

匿名読み取り要求への応答

Blob Storage が匿名要求を受信すると、次の条件がすべて満たされた場合、その要求は成功します。

• ストレージ アカウントに対して匿名パブリック アクセスが許可されます。
• コンテナーは、匿名のパブリック アクセスを許可するように構成されています。
• 要求は読み取りアクセス用です。

これらの条件のいずれかが true でない場合、要求は失敗します。 エラーに対する応答コードは、ベアラー チャレンジをサポートするサービスのバージョンで匿名要求が行われたかどうかによって異なります。 ベアラー チャレンジは、サービス バージョン 2019-12-12 以降でサポートされています。

• ベアラー チャレンジをサポートするサービス バージョンで匿名要求が行われた場合、サービスはエラー コード 401 (Unauthorized) を返します。
• ベアラー チャレンジをサポートしていないサービス バージョンで匿名要求が行われ、ストレージ アカウントに対して匿名パブリック アクセスが許可されていない場合、サービスはエラー コード 409 (競合) を返します。
• ベアラー チャレンジをサポートしていないサービス バージョンで匿名要求が行われ、ストレージ アカウントに対して匿名パブリック アクセスが許可されている場合、サービスはエラー コード 404 (Not Found) を返します。

ベアラーチャレンジの詳細については、ベアラーチャレンジ参照してください。

ベアラー チャレンジへの応答のサンプル

クライアント要求に匿名ダウンロード BLOB 要求にベアラー トークンが含まれていない場合のベアラー チャレンジ応答の例を次に示します。

Request:
GET /container/file.txt
x-ms-version: 2019-12-12
Host: sampleoautheast2.blob.core.windows.net

Response:
HTTP/1.1 401 Unauthorized
WWW-Authenticate: Bearer authorization_uri=https://login.microsoftonline.com/<tenant_id>/oauth2/authorize resource_id=https://storage.azure.com

<?xml version="1.0" encoding="utf-8"?>
<Error>
    <Code>NoAuthenticationInformation</Code>
    <Message>Server failed to authenticate the request. Please refer to the information in the www-authenticate header.
RequestId:ec4f02d7-1003-0006-21f9-c55bc8000000
Time:2020-01-08T08:01:46.2063459Z</Message>
</Error>

RBAC を使用してアクセス権を管理する

Microsoft Entra ID は、RBAC を介してセキュリティで保護されたリソースへのアクセスの承認を処理します。 RBAC を使用すると、ユーザー、グループ、またはサービス プリンシパルにロールを割り当てることができます。 各ロールには、リソースのアクセス許可のセットが含まれます。 ロールがユーザー、グループ、またはサービス プリンシパルに割り当てられると、そのリソースにアクセスできます。 アクセス権は、Azure portal、Azure コマンド ライン ツール、および Azure Management API を使用して割り当てることができます。 RBAC の詳細については、「Role-Based Access Controlの概要」を参照してください。

Azure Storage の場合、ストレージ アカウント内のコンテナーまたはキュー内のデータへのアクセス権を付与できます。 Azure Storage には、Microsoft Entra ID で使用するために、次の組み込みの RBAC ロールが用意されています。

• ストレージ BLOB データ所有者 の
• Storage BLOB データ共同作成者
• Storage BLOB データ 閲覧者の
• Storage Blob Delegator
• ストレージ キュー データ共同作成者
• Storage Queue Data Reader
• ストレージ キュー データ メッセージ プロセッサ の
• Storage Queue Data Message Sender
• ストレージ テーブル データ リーダー
• ストレージ テーブル データ共同作成者
• ストレージ ファイル データの特権共同作成者 の
• ストレージ ファイル データの特権リーダー の

Azure Storage に対して組み込みロールを定義する方法の詳細については、「Azure リソースのロール定義について」を参照してください。

BLOB ストレージと Azure キューで使用するカスタム ロールを定義することもできます。 詳細については、「Azure Role-Based Access Controlのカスタム ロールを作成する」を参照してください。

データ操作を呼び出すためのアクセス許可

次の表では、Microsoft Entra ユーザー、グループ、マネージド ID、またはサービス プリンシパルが特定の Azure Storage 操作を呼び出すために必要なアクセス許可について説明します。 クライアントが特定の操作を呼び出せるようにするには、クライアントの割り当てられた RBAC ロールがその操作に対して十分なアクセス許可を提供していることを確認します。

BLOB サービス操作のアクセス許可

Queue サービス操作のアクセス許可

Table service 操作のアクセス許可

ファイル サービス操作のアクセス許可

関連項目

• Azure Storage への要求を承認する