Авторизация с помощью идентификатора Microsoft Entra

Служба хранилища Azure обеспечивает интеграцию с идентификатором Microsoft Entra ID для авторизации на основе удостоверений запросов к службам BLOB-объектов, файлов, очередей и таблиц. С помощью идентификатора Microsoft Entra можно использовать управление доступом на основе ролей (RBAC) для предоставления доступа к BLOB-объектам, файлам, очередям и ресурсам таблицы пользователям, группам или приложениям. Вы можете предоставить разрешения, которые относятся к уровню отдельного контейнера, общего доступа, очереди или таблицы.

Дополнительные сведения об интеграции идентификатора Microsoft Entra в службе хранилища Azure см. в статье Авторизация доступа к blob-объектам Azure и очередям с помощьюидентификатора Microsoft Entra.

Дополнительные сведения о преимуществах использования идентификатора Microsoft Entra в приложении см. в интеграции с платформой удостоверений Майкрософт.

Использование маркеров доступа OAuth для проверки подлинности

Служба хранилища Azure принимает маркеры доступа OAuth 2.0 из клиента Microsoft Entra, связанного с подпиской, содержащей учетную запись хранения. Служба хранилища Azure принимает маркеры доступа для:

• Пользователи и группы
• Субъекты-службы
• Управляемые удостоверения для ресурсов Azure
• Приложения, использующие разрешения, делегированные пользователями

Служба хранилища Azure предоставляет одну область делегирования с именем user_impersonation, которая позволяет приложениям выполнять любые действия, разрешенные пользователем.

Чтобы запросить маркеры для службы хранилища Azure, укажите значение https://storage.azure.com/ для идентификатора ресурса. Дополнительные сведения об идентификаторе ресурса см. в разделе области платформы удостоверений Майкрософт, разрешения, & согласие.

Дополнительные сведения о запросе маркеров доступа из идентификатора Microsoft Entra для пользователей и субъектов-служб см. в потоках проверки подлинности и сценариях приложений.

Дополнительные сведения о запросе маркеров доступа для ресурсов, настроенных с помощью управляемых удостоверений, см. в статье Использование управляемых удостоверений для ресурсов Azure на виртуальной машине Azure для получения маркера доступа.

Вызов операций хранения с маркерами OAuth

Чтобы вызвать операции службы BLOB-объектов, файлов, очередей и таблиц с помощью маркеров доступа OAuth, передайте маркер доступа в заголовке авторизации с помощью схемы носителя, и укажите версию службы 2017-11-09 (2022-11-02 для операций с ресурсом файловых и ресурса каталога или ресурса 2024-11-04 для операций с ресурсом FileService и ресурсом FileShare) или более поздней версии. Как показано в следующем примере:

Request:
GET /container/file.txt
x-ms-version: 2017-11-09
Authorization: Bearer eyJ0eXAiO...V09ccgQ
User-Agent: PostmanRuntime/7.6.0
Accept: */*
Host: sampleoautheast2.blob.core.windows.net
accept-encoding: gzip, deflate

Response:
HTTP/1.1 200
status: 200
Content-Length: 28
Content-Type: text/plain
Content-MD5: dxG7IgOBzApXPcGHxGg5SA==
Last-Modified: Wed, 30 Jan 2019 07:21:32 GMT
Accept-Ranges: bytes
ETag: "0x8D686838F9E8BA7"
Server: Windows-Azure-Blob/1.0 Microsoft-HTTPAPI/2.0
x-ms-request-id: 09f31964-e01e-00a3-8066-d4e6c2000000
x-ms-version: 2017-11-09
x-ms-creation-time: Wed, 29 Aug 2018 04:22:47 GMT
x-ms-lease-status: unlocked
x-ms-lease-state: available
x-ms-blob-type: BlockBlob
x-ms-server-encrypted: true
Date: Wed, 06 Mar 2019 21:50:50 GMT
Welcome to Azure Storage!!

Вызов носителя

Вызов носителя является частью протокола OAuth RFC 6750 и используется для обнаружения центра. Для анонимных запросов к службе BLOB-объектов или запросов, выполненных с недопустимым маркером носителя OAuth, сервер вернет код состояния 401 (несанкционированный) с сведениями о поставщике удостоверений и ресурсах. Сведения об использовании этих значений при проверке подлинности с помощью идентификатора Microsoft Entra см. в ссылке.

Службы BLOB-объектов и очередей службы хранилища Azure возвращают вызов носителя для версии 2019-12-12 и более поздних версий. Служба таблиц хранилища Azure возвращает вызов носителя для версии 2020-12-06 и более поздних версий. Azure Data Lake Storage 2-го поколения возвращает вызов носителя для версии 2017-11-09 и более поздних версий. Служба файлов Azure возвращает вызов носителя версии 2022-11-02 и более поздней версии.

Ответы на анонимные запросы на чтение

Если хранилище BLOB-объектов получает анонимный запрос, этот запрос будет выполнен успешно, если выполнены все следующие условия:

• Анонимный общедоступный доступ разрешен для учетной записи хранения.
• Контейнер настроен для предоставления анонимного общедоступного доступа.
• Запрос предназначен для доступа на чтение.

Если любое из этих условий не соответствует действительности, запрос завершится ошибкой. Код ответа от сбоя зависит от того, был ли выполнен анонимный запрос с версией службы, поддерживающей вызов носителя. Задача носителя поддерживается с версиями служб 2019-12-12 и более поздними версиями:

• Если анонимный запрос был выполнен с версией службы, поддерживающей вызов носителя, служба возвращает код ошибки 401 (несанкционированный).
• Если анонимный запрос был выполнен с версией службы, которая не поддерживает вызов носителя и анонимный общедоступный доступ запрещен для учетной записи хранения, служба возвращает код ошибки 409 (конфликт).
• Если анонимный запрос был выполнен с версией службы, которая не поддерживает вызов носителя и анонимный общедоступный доступ разрешен для учетной записи хранения, служба возвращает код ошибки 404 (не найден).

Дополнительные сведения о вызове носителя см. в вызов носителя.

Пример ответа на вызов носителя

Ниже приведен пример ответа на вызов носителя, если запрос клиента не включает маркер носителя в запрос анонимного скачивания BLOB-объектов:

Request:
GET /container/file.txt
x-ms-version: 2019-12-12
Host: sampleoautheast2.blob.core.windows.net

Response:
HTTP/1.1 401 Unauthorized
WWW-Authenticate: Bearer authorization_uri=https://login.microsoftonline.com/<tenant_id>/oauth2/authorize resource_id=https://storage.azure.com

<?xml version="1.0" encoding="utf-8"?>
<Error>
    <Code>NoAuthenticationInformation</Code>
    <Message>Server failed to authenticate the request. Please refer to the information in the www-authenticate header.
RequestId:ec4f02d7-1003-0006-21f9-c55bc8000000
Time:2020-01-08T08:01:46.2063459Z</Message>
</Error>

Управление правами доступа с помощью RBAC

Идентификатор Microsoft Entra обрабатывает авторизацию доступа к защищенным ресурсам через RBAC. С помощью RBAC можно назначать роли пользователям, группам или субъектам-службам. Каждая роль включает набор разрешений для ресурса. После назначения роли пользователю, группе или субъекту-службе у них есть доступ к данному ресурсу. Вы можете назначить права доступа с помощью портала Azure, средств командной строки Azure и API управления Azure. Дополнительные сведения о RBAC см. в статье Начало работы с Role-Basedуправления доступом.

Для службы хранилища Azure можно предоставить доступ к данным в контейнере или очереди в учетной записи хранения. Служба хранилища Azure предлагает следующие встроенные роли RBAC для использования с идентификатором Microsoft Entra:

• владельца данных BLOB-объектов хранилища
• участник данных BLOB-объектов хранилища
• средства чтения данных BLOB-объектов хранилища
• хранилище BLOB-объектов Delegator
• участника данных очереди хранилища
• средства чтения данных очереди хранилища
• обработчика сообщений очереди хранилища
• отправителя сообщений о очереди хранилища
• средства чтения таблиц хранилища
• участник данных таблицы хранилища
• участник привилегированных данных хранилища
• хранилища данных с привилегированным доступом

Дополнительные сведения о том, как определены встроенные роли для службы хранилища Azure, см. в статье Общие сведения об определениях ролей для ресурсов Azure.

Можно также определить пользовательские роли для использования с хранилищем BLOB-объектов и очередями Azure. Дополнительные сведения см. в статье Создание пользовательских ролей для Role-Based управления доступом Azure.

Разрешения для вызова операций с данными

В следующих таблицах описаны разрешения, необходимые для пользователя Microsoft Entra, группы, управляемого удостоверения или субъекта-службы для вызова определенных операций службы хранилища Azure. Чтобы клиент мог вызывать определенную операцию, убедитесь, что назначенная роль RBAC клиента предоставляет достаточные разрешения для этой операции.

Разрешения для операций службы BLOB-объектов

Разрешения для операций службы очередей

Разрешения для операций службы таблиц

Разрешения для операций службы файлов

См. также

• Авторизация запросов в службу хранилища Azure