Создание SAS делегирования пользователей

Маркер подписанного URL-адреса (SAS) можно защитить для доступа к контейнеру, каталогу или BLOB-объекту с помощью учетных данных Microsoft Entra или ключа учетной записи. SAS, защищенный учетными данными Microsoft Entra, называется делегированием пользователей SAS. Рекомендуется использовать учетные данные Microsoft Entra, если это возможно, а не ключ учетной записи, который может быть проще скомпрометирован. Если для разработки приложения требуются подписанные URL-адреса, используйте учетные данные Microsoft Entra для создания SAS делегирования пользователей, чтобы обеспечить более высокую безопасность.

Каждый SAS подписан ключом. Чтобы создать SAS делегирования пользователей, необходимо сначала запросить ключ делегирования пользователей, который затем используется для подписи SAS. Ключ делегирования пользователей аналогиен ключу учетной записи, используемому для подписи SAS службы или SAS учетной записи, за исключением того, что он использует учетные данные Microsoft Entra. Чтобы запросить ключ делегирования пользователей, вызовите операцию получить ключ делегирования пользователей. Затем можно использовать ключ делегирования пользователей для создания SAS.

SAS делегирования пользователей поддерживается для хранилища BLOB-объектов Azure и Azure Data Lake Storage. Хранимые политики доступа не поддерживаются для SAS делегирования пользователей.

Сведения об использовании ключа учетной записи для защиты SAS см. в статье Создание SAS службы и создание SAS учетной записи.

Поддержка SAS делегирования пользователей для доступа к каталогу

SAS делегирования пользователей поддерживает область каталога (sr=d), если версия авторизации (sv) — 2020-02-10 или более поздней версии, а иерархическое пространство имен (HNS) включено. Семантика для области каталога (sr=d) аналогична области контейнера (sr=c), за исключением того, что доступ ограничен каталогом и любыми файлами и подкаталогами в нем. При указании sr=d также требуется параметр запроса sdd.

Формат входа в строку для авторизации версии 2020-02-10 не изменяется.

Поддержка SAS делегирования пользователей для пользовательского OID

SAS делегирования пользователей поддерживает необязательный идентификатор объекта пользователя (OID), который выполняется в параметре saoid или suoid, если версия авторизации (sv) — 2020-02-10 или более поздней версии. Параметры saoid и suoid соответствуют субъекту безопасности для конечного пользователя, который использует SAS, и предоставляет расширенную модель авторизации для рабочих нагрузок кластера с несколькими пользователями, таких как Hadoop и Spark.

Маркеры SAS могут быть ограничены определенной операцией файловой системы и пользователем, что обеспечивает менее уязвимый маркер доступа, который безопаснее распространять в кластере с несколькими пользователями. Одним из вариантов использования этих функций является интеграция драйвера Hadoop ABFS с Apache Ranger.

Дополнительные сведения о необязательных параметрах saoid и suoid см. в статье Указание подписанного идентификатора объекта пользователя.

Авторизация SAS делегирования пользователей

Когда клиент обращается к ресурсу хранилища BLOB-объектов с SAS делегирования пользователей, запрос к службе хранилища Azure авторизован с учетными данными Microsoft Entra, которые использовались для создания SAS. Доступ клиента к ресурсу определяется следующими разрешениями:

• Разрешения управления доступом на основе ролей (RBAC), предоставляемые субъекту безопасности Microsoft Entra, запрашивающим ключ делегирования пользователей.
• Разрешения списка управления доступом POSIX (ACL), предоставленные субъекту безопасности, запрашивающим ключ делегирования пользователей. Эта дополнительная проверка происходит только в том случае, если разрешения RBAC не могут предоставлять доступ, и только если иерархическое пространство имен включено в учетной записи хранения.
• Разрешения, которые явно предоставляются маркеру SAS.

Этот подход обеспечивает дополнительный уровень безопасности и помогает избежать необходимости хранить ключ доступа к учетной записи с помощью кода приложения. По этим причинам создание SAS с помощью учетных данных Microsoft Entra рекомендуется для обеспечения безопасности.

Разрешения, предоставленные клиенту, обладающему SAS, являются пересечением разрешений, предоставленных субъекту безопасности, запрашивающему ключ делегирования пользователей и разрешения, предоставленные ресурсу маркера SAS с помощью поля signedPermissions (sp) . Если разрешение, предоставленное субъекту безопасности через ACL RBAC или POSIX, также не предоставляется маркеру SAS, это разрешение не предоставляется клиенту, который пытается использовать SAS для доступа к ресурсу. При создании SAS делегирования пользователей убедитесь, что разрешения, предоставленные через списки управления доступом RBAC и POSIX, и разрешения, предоставленные с помощью маркера SAS, соответствуют уровню доступа, который требуется клиенту.

Чтобы создать SAS делегирования пользователей, сделайте следующее:

1. Используйте списки ACL RBAC или POSIX, чтобы предоставить необходимые разрешения субъекту безопасности, запрашивающему ключ делегирования пользователей.
2. Получение маркера OAuth 2.0 из идентификатора Microsoft Entra.
3. Используйте маркер для запроса ключа делегирования пользователей, вызвав операцию получить ключ делегирования пользователей.
4. Используйте ключ делегирования пользователей для создания маркера SAS с соответствующими полями.

Назначение разрешений с помощью RBAC

Субъект безопасности, запрашивающий ключ делегирования пользователей, должен иметь соответствующие разрешения. Субъект безопасности Идентификатора Microsoft Entra может быть пользователем, группой, субъектом-службой или управляемым удостоверением.

Чтобы запросить ключ делегирования пользователей, необходимо назначить субъекту безопасности действие Microsoft.Storage/storageAccounts/blobServices/generateUserDelegationKey. Следующие встроенные роли RBAC включают Microsoft.Storage/storageAccounts/blobServices/generateUserDelegationKey действие, явно или как часть определения подстановочных знаков:

• участника
• участник учетной записи хранения
• участник данных BLOB-объектов хранилища
• владельца данных BLOB-объектов хранилища
• средства чтения данных BLOB-объектов хранилища
• хранилище BLOB-объектов Delegator

Так как операция получения ключа делегирования пользователей действует на уровне учетной записи хранения, действие Microsoft.Storage/storageAccounts/blobServices/generateUserDelegationKey должно быть ограничено на уровне учетной записи хранения, группы ресурсов или подписки. Если субъект безопасности назначен любой из перечисленных ранее встроенных ролей или настраиваемой роли, которая включает в себя Microsoft.Storage/storageAccounts/blobServices/generateUserDelegationKey действие, на уровне учетной записи хранения, группы ресурсов или подписки, субъект безопасности может запросить ключ делегирования пользователей.

Если субъекту безопасности назначена роль, которая разрешает доступ к данным, но ограничена уровнем контейнера, можно дополнительно назначить роль Blob Delegator хранилища субъекту безопасности на уровне учетной записи хранения, группы ресурсов или подписки. Роль хранилища BLOB-объектов хранилища предоставляет субъекту безопасности разрешения на запрос ключа делегирования пользователей.

Дополнительные сведения о ролях RBAC для службы хранилища Azure см. в статье Авторизация с помощью Microsoft Entra.

Получение маркера OAuth 2.0

Чтобы получить ключ делегирования пользователей, сначала запросите маркер OAuth 2.0 из идентификатора Microsoft Entra. Предоставьте маркер схеме носителя, чтобы авторизовать вызов получить ключ делегирования пользователей. Дополнительные сведения о запросе маркера OAuth из идентификатора Microsoft Entra см. в потоках проверки подлинности и сценариях приложений.

Запрос ключа делегирования пользователей

Вызов получения ключа делегирования пользователей возвращает ключ в виде набора значений, используемых в качестве параметров маркера SAS делегирования пользователей. Эти параметры описаны в справочнике по получения ключа делегирования пользователей и в следующем разделе "Создание SAS делегирования пользователей".

Когда клиент запрашивает ключ делегирования пользователей с помощью маркера OAuth 2.0, служба хранилища Azure возвращает ключ делегирования пользователей от имени субъекта безопасности. SAS, созданный с помощью ключа делегирования пользователей, предоставляет разрешения, предоставленные субъекту безопасности.

После получения ключа делегирования пользователей его можно использовать для создания любого количества подписанных URL-адресов делегирования пользователей в течение времени существования ключа. Ключ делегирования пользователей не зависит от маркера OAuth 2.0, используемого для его получения, поэтому маркер не должен быть продлен до тех пор, пока ключ по-прежнему действителен. Можно указать, что ключ действителен в течение семи дней.

Создание SAS делегирования пользователей

В следующей таблице приведены поля, поддерживаемые маркером SAS делегирования пользователей. В последующих разделах содержатся дополнительные сведения об указании этих параметров.

Укажите поле подписанной версии

Необходимое поле signedVersion (sv) указывает версию службы для подписанного URL-адреса. Это значение указывает версию службы, которая используется для создания поля signature, и указывает версию службы, которая обрабатывает запрос, сделанный с помощью этой подписанной url-адреса. Значение поля sv должно быть версии 2018-11-09 или более поздней.

Укажите подписанное поле ресурса

Необходимое поле signedResource (sr) указывает, какие ресурсы доступны с помощью подписанного URL-адреса. В следующей таблице описывается, как ссылаться на большой двоичный объект, контейнер или ресурс каталога в маркере SAS:

Укажите длительность срока действия подписи

Поля signedStart (st) и signedExpiry (se) указывают время начала и истечения срока действия SAS. Требуется поле signedExpiry. Поле signedStart является необязательным. Если это опущено, текущее время в формате UTC используется в качестве времени начала.

Для SAS делегирования пользователей время начала и истечения срока действия SAS должно находиться в пределах интервала, определенного для ключа делегирования пользователей. Если клиент пытается использовать SAS после истечения срока действия ключа делегирования пользователей, SAS завершится ошибкой авторизации независимо от того, является ли сам SAS допустимым.

Дополнительные сведения о принятых форматах UTC см. в разделе Формат значений DateTime.

Указание разрешений

Разрешения, указанные для поля signedPermissions (sp) маркера SAS, указывают, какие операции выполняет клиент, имеющий SAS, может выполняться в ресурсе.

Разрешения можно объединить, чтобы разрешить клиенту выполнять несколько операций с одинаковым SAS. При создании SAS необходимо включить разрешения в следующем порядке:

racwdxltmeop

Примеры допустимых параметров разрешений для контейнера включают rw, rd, rl, wd, wlи rl. Примеры недопустимых параметров включают wr, dr, lrи dw. Указание назначения разрешений несколько раз не разрешено.

SAS делегирования пользователей не может предоставить доступ к определенным операциям:

• Контейнеры не могут быть созданы, удалены или перечислены.
• Метаданные и свойства контейнера не могут быть прочитаны или записаны.
• Контейнеры не могут быть арендованы.

Чтобы создать SAS, предоставляющий доступ к этим операциям, используйте SAS учетной записи. Дополнительные сведения см. в статье СозданиеSAS учетной записи.

Разрешения, поддерживаемые для каждого типа ресурса, описаны в следующей таблице.

Указание IP-адреса или диапазона IP-адресов

Необязательное поле signedIp (sip) указывает общедоступный IP-адрес или диапазон общедоступных IP-адресов, из которых следует принимать запросы. Если IP-адрес, из которого создается запрос, не соответствует диапазону IP-адресов или диапазону адресов, указанному в маркере SAS, запрос не авторизован. Поддерживаются только адреса IPv4.

При указании диапазона IP-адресов диапазон включается включительно. Например, указание sip=198.51.100.0 или sip=198.51.100.10-198.51.100.20 в SAS ограничивает запрос на эти IP-адреса.

В следующей таблице описывается, следует ли включить поле signedIp в маркер SAS для заданного сценария в зависимости от клиентской среды и расположения учетной записи хранения.

Указание протокола HTTP

Необязательное поле signedProtocol (spr) указывает протокол, разрешенный для запросов, выполненных с помощью SAS. Возможные значения : HTTPS и HTTP (https,http) или только HTTPS (https). Значение по умолчанию — https,http.

Укажите идентификатор подписанного объекта

Поле signedObjectId (skoid) требуется для SAS делегирования пользователей. Операция получения ключа делегирования пользователей возвращает это значение в рамках ответа. Подписанный идентификатор объекта — это значение GUID, которое служит неизменяемым идентификатором субъекта безопасности на платформе удостоверений Майкрософт.

Указание подписанного идентификатора клиента

Поле signedTenantId (sktid) требуется для SAS делегирования пользователей. Операция получения ключа делегирования пользователей возвращает это значение в рамках ответа. Подписанный идентификатор клиента — это значение GUID, представляющее клиент Microsoft Entra, в котором определен субъект безопасности.

Указание времени начала подписанного ключа

Необходимое поле signedKeyStartTime (skt) указывает начало времени существования ключа делегирования пользователя в формате ISO Date. Операция получения ключа делегирования пользователей возвращает это значение в рамках ответа.

Указание срока действия подписанного ключа

Поле signedKeyExpiryTime (ske) требуется для SAS делегирования пользователей в формате ISO Date. Операция получения ключа делегирования пользователей возвращает это значение в рамках ответа. Время истечения срока действия подписанного ключа указывает конец времени существования ключа делегирования пользователей. Значение срока действия может быть не более семи дней с момента начала SAS.

Указание службы подписанных ключей

Поле signedKeyService (sks) требуется для SAS делегирования пользователей. Операция получения ключа делегирования пользователей возвращает это значение в рамках ответа. Поле службы подписанных ключей указывает службу, для которой допустимы ключ делегирования пользователей. Значение поля службы подписанных ключей для хранилища BLOB-объектов b.

Указание версии подписанного ключа

Поле signedkeyversion (skv) требуется для SAS делегирования пользователей. Операция получения ключа делегирования пользователей возвращает это значение в рамках ответа. Поле signedkeyversion указывает версию службы хранилища, которая используется для получения ключа делегирования пользователей. Это поле должно указать версию 2018-11-09 или более позднюю.

Указание подписанного идентификатора объекта пользователя для субъекта безопасности

Необязательные поля signedAuthorizedObjectId (saoid) и signedUnauthorizedObjectId (suoid) позволяют интегрироваться с Apache Hadoop и Apache Ranger для рабочих нагрузок Azure Data Lake Storage. Используйте одно из этих полей в маркере SAS, чтобы указать идентификатор объекта для субъекта безопасности:

• Поле saoid указывает идентификатор объекта для субъекта безопасности Microsoft Entra, авторизованного владельцем ключа делегирования пользователей для выполнения действия, предоставленного маркером SAS. Служба хранилища Azure проверяет маркер SAS и гарантирует, что владелец ключа делегирования пользователя имеет необходимые разрешения, прежде чем служба хранилища Azure предоставляет доступ. Дополнительная проверка разрешений на списки ACL POSIX не выполняется.
• Поле suoid указывает идентификатор объекта для субъекта безопасности Microsoft Entra, если иерархическое пространство имен включено для учетной записи хранения. Поле suoid допустимо только для учетных записей с иерархическим пространством имен. Если поле suoid входит в маркер SAS, служба хранилища Azure выполняет проверку ACL POSIX по идентификатору объекта перед авторизацией операции. Если эта проверка ACL не выполнена, операция завершается ошибкой. Иерархическое пространство имен должно быть включено для учетной записи хранения, если поле suoid входит в маркер SAS. В противном случае проверка разрешений завершится ошибкой авторизации.

Идентификатор объекта для субъекта безопасности, запрашивающего ключ делегирования пользователей, фиксируется в требуемом поле skoid. Чтобы указать идентификатор объекта для маркера SAS с помощью поля saoid или suoid, Субъект безопасности, определенный в поле skoid, должен быть назначен роль RBAC, которая включает Microsoft.Storage/storageAccounts/blobServices/container/blobs/runAsSuperUser/action или Microsoft.Storage/storageAccounts/blobServices/container/blobs/manageOwnership/action. Дополнительные сведения об этих действиях см. в операциях поставщика ресурсов Azure.

Указав идентификатор объекта в поле saoid или suoid, можно также ограничить операции, связанные с владельцем каталога или БОЛЬШОго двоичного объекта, следующим образом:

• Если операция создает каталог или большой двоичный объект, служба хранилища Azure задает владельцу каталога или большого двоичного объекта значение, указанное идентификатором объекта. Если идентификатор объекта не указан, служба хранилища Azure задает владельцу каталога или большого двоичного объекта значение, указанное параметром skoid.
• Если в родительском каталоге задана липкая бита, а операция удаляет или переименовывает каталог или большой двоичный объект, идентификатор объекта владельца родительского каталога или владельца ресурса должен соответствовать значению, указанному идентификатором объекта.
• Если операция задает владельца каталога или большого двоичного объекта и заголовок x-ms-owner, то значение, указанное идентификатором объекта, должно соответствовать значению, заданному заголовком x-ms-owner.
• Если операция задает группу для каталога или большого двоичного объекта и заголовок x-ms-group, то значение, указанное идентификатором объекта, должно быть членом группы, указанной заголовком x-ms-group.
• Если операция задает разрешения или ACL для каталога или большого двоичного объекта, необходимо выполнить одно из следующих двух условий:
  • Значение, указанное для идентификатора объекта, должно быть владельцем каталога или большого двоичного объекта.
  • Значение поля signedPermissions (sp) должно содержать разрешение Ownership (o) в дополнение к разрешению Permissions (p) .

Идентификатор объекта, указанный в поле saoid или suoid, включается в журналы диагностики при выполнении запросов с помощью маркера SAS.

Поле saoid или suoid поддерживается только в том случае, если для поля signedVersion (sv) задано значение версии 2020-02-10 или более поздней. В маркер SAS можно включить только одно из этих полей.

Указание идентификатора корреляции

Поле signedCorrelationId (scid) указывает идентификатор корреляции, который может использоваться для сопоставления журналов аудита хранилища с журналами аудита, используемыми субъектом, создающим и распространяющим SAS. Например, у доверенной службы авторизации обычно есть управляемое удостоверение, которое выполняет проверку подлинности и авторизацию пользователей, создает SAS, добавляет запись в локальный журнал аудита и возвращает SAS пользователю, который затем может использовать SAS для доступа к ресурсам службы хранилища Azure. Включив идентификатор корреляции как в локальный журнал аудита, так и в журнал аудита хранилища, эти события можно сопоставить позже. Значением является GUID без фигурных скобок и строчных символов.

Это поле поддерживается с версией 2020-02-10 и более поздними версиями.

Указание глубины каталога

Если поле signedResource указывает каталог (sr=d), необходимо также указать поле signedDirectoryDepth (sdd), чтобы указать количество подкаталогов в корневом каталоге. Значение поля sdd должно быть неотрицательное целое число.

Например, корневой каталог https://{account}.blob.core.windows.net/{container}/ имеет глубину 0. Каждая подкаталога в корневом каталоге добавляется к глубине на 1. Каталог https://{account}.blob.core.windows.net/{container}/d1/d2 имеет глубину 2.

Это поле поддерживается с версией 2020-02-10 и более поздними версиями.

Указание параметров запроса для переопределения заголовков ответа

Чтобы определить значения для определенных заголовков ответа, возвращаемых при использовании подписанного URL-адреса в запросе, можно указать заголовки ответа в параметрах запроса. Заголовки ответа и соответствующие параметры запроса приведены следующим образом:

Например, если указать параметр запроса rsct=binary для маркера SAS, заголовок ответа Content-Type имеет значение binary. Это значение переопределяет значение заголовка Content-Type, хранящееся для большого двоичного объекта для запроса, используя только эту подпись общего доступа.

При создании подписанного URL-адреса, указывающего заголовки ответов в качестве параметров запроса, необходимо включить эти заголовки ответа в подписи, которая используется для создания строки подписи. Дополнительные сведения см. в разделе "Указаниеподписи".

Указание области шифрования

Поле signed encryption scope (ses) указывает область шифрования, которую клиентское приложение использует при отправке больших двоичных объектов с помощью маркера SAS через операцию Put BLOB-объект. Поле signed encryption scope поддерживается при использовании подписанной версии (sv) маркера SAS версии 2020-12-06 или более поздней. Если поле подписанной версии указывает версию, которая выше поддерживаемой версии, служба возвращает код ответа об ошибке 403 (запрещено).

Если для контейнера или файловой системы задана область шифрования по умолчанию, поле ses учитывает политику шифрования контейнеров. Если между параметром запроса ses и заголовком x-ms-default-encryption-scope имеется несоответствие, а заголовок x-ms-deny-encryption-scope-override имеет значение true, служба возвращает код ответа на ошибку 403 (запрещено).

Если заголовок x-ms-encryption-scope и параметр запроса ses указаны как в запросе PUT, так и есть несоответствие, служба возвращает код ответа на ошибку 400 (недопустимый запрос).

Указание подписи

Поле signature (sig) используется для авторизации запроса, сделанного клиентом с подписью общего доступа. Строка —это уникальная строка, созданная из полей, которые должны быть проверены для авторизации запроса. Сигнатура — это HMAC, вычисленная по протоколу "строка — подпись" с помощью алгоритма SHA256, а затем закодированная с помощью кодировки Base64.

Чтобы создать строку подписи SAS делегирования пользователей, создайте строку для входа из полей, составляющих запрос, закодируйте строку как UTF-8, а затем вычислить подпись с помощью алгоритма HMAC-SHA256. Поля, включенные в вход, должны быть декодированы ПО URL-адресу.

Поля, необходимые в строковом входе, зависят от версии службы, используемой для авторизации (полеsv). В следующих разделах описана конфигурация входа в строку для версий, поддерживающих SAS делегирования пользователей.

Версия 2020-12-06 и более поздних версий

Строковый вход для авторизации версии 2020-12-06 и более поздних версий имеет следующий формат:

StringToSign =  signedPermissions + "\n" +
                signedStart + "\n" +
                signedExpiry + "\n" +
                canonicalizedResource + "\n" +
                signedKeyObjectId + "\n" +
                signedKeyTenantId + "\n" +
                signedKeyStart + "\n" +
                signedKeyExpiry  + "\n" +
                signedKeyService + "\n" +
                signedKeyVersion + "\n" +
                signedAuthorizedUserObjectId + "\n" +
                signedUnauthorizedUserObjectId + "\n" +
                signedCorrelationId + "\n" +
                signedIP + "\n" +
                signedProtocol + "\n" +
                signedVersion + "\n" +
                signedResource + "\n" +
                signedSnapshotTime + "\n" +
                signedEncryptionScope + "\n" +
                rscc + "\n" +
                rscd + "\n" +
                rsce + "\n" +
                rscl + "\n" +
                rsct

Версия 2020-02-10

Строковый вход для авторизации версии 2020-02-10 имеет следующий формат:

StringToSign =  signedPermissions + "\n" +
                signedStart + "\n" +
                signedExpiry + "\n" +
                canonicalizedResource + "\n" +
                signedKeyObjectId + "\n" +
                signedKeyTenantId + "\n" +
                signedKeyStart + "\n" +
                signedKeyExpiry  + "\n" +
                signedKeyService + "\n" +
                signedKeyVersion + "\n" +
                signedAuthorizedUserObjectId + "\n" +
                signedUnauthorizedUserObjectId + "\n" +
                signedCorrelationId + "\n" +
                signedIP + "\n" +
                signedProtocol + "\n" +
                signedVersion + "\n" +
                signedResource + "\n" +
                signedSnapshotTime + "\n" +
                rscc + "\n" +
                rscd + "\n" +
                rsce + "\n" +
                rscl + "\n" +
                rsct

Версии ранее 2020-02-10

Строка входа для версий авторизации, предшествующих версии 2020-02-10, имеет следующий формат:

StringToSign =  signedPermissions + "\n" +  
                signedStart + "\n" +  
                signedExpiry + "\n" +  
                canonicalizedResource + "\n" +  
                signedKeyObjectId + "\n" +
                signedKeyTenantId + "\n" +
                signedKeyStart + "\n" +
                signedKeyExpiry  + "\n" +
                signedKeyService + "\n" +
                signedKeyVersion + "\n" +
                signedAuthorizedUserObjectId + "\n" +
                signedUnauthorizedUserObjectId + "\n" +
                signedCorrelationId + "\n" +
                signedIP + "\n" +  
                signedProtocol + "\n" +  
                signedVersion + "\n" +  
                signedResource + "\n" +
                rscc + "\n" +
                rscd + "\n" +  
                rsce + "\n" +  
                rscl + "\n" +  
                rsct

Канонизированный ресурс

canonicalizedResource часть строки является каноническим путем к подписанному ресурсу. Он должен включать конечную точку хранилища BLOB-объектов и имя ресурса, а также декодировать URL-адрес. Путь большого двоичного объекта должен содержать его контейнер. Путь к каталогу должен содержать количество подкаталогов, соответствующих параметру sdd.

Каноническая строка ресурса для контейнера должна опустить косую черту (/) для SAS, предоставляющей доступ к такому контейнеру.

В следующих примерах показано, как создать canonicalizedResource часть строки в зависимости от типа ресурса.

Пример контейнера (хранилище BLOB-объектов Azure)

URL = https://myaccount.blob.core.windows.net/music  
canonicalizedResource = "/blob/myaccount/music"  

Пример BLOB-объектов (хранилище BLOB-объектов Azure)

URL = https://myaccount.blob.core.windows.net/music/intro.mp3  
canonicalizedResource = "/blob/myaccount/music/intro.mp3"  

Пример контейнера (Azure Data Lake Storage)

URL = https://myaccount.dfs.core.windows.net/music  
canonicalizedResource = "/blob/myaccount/music"  

Пример каталога (Azure Data Lake Storage)

URL = https://myaccount.dfs.core.windows.net/music/instruments/guitar/  
canonicalizedResource = "/blob/myaccount/music/instruments/guitar/"  

Пример BLOB-объектов (Azure Data Lake Storage)

URL = https://myaccount.dfs.core.windows.net/music/intro.mp3  
canonicalizedResource = "/blob/myaccount/music/intro.mp3"  

Необязательные поля

Если поле является необязательным и не предоставляется в рамках маркера SAS, укажите пустую строку для поля. Не забудьте включить новый символ (\n) после пустой строки.

Пример SAS делегирования пользователей

В следующем примере показан URI BLOB-объектов с маркером SAS делегирования пользователей, добавленным к нему. Маркер SAS делегирования пользователей предоставляет разрешения на чтение и запись большого двоичного объекта.

https://myaccount.blob.core.windows.net/sascontainer/blob1.txt?sp=rw&st=2023-05-24T01:13:55Z&se=2023-05-24T09:13:55Z&skoid=<object-id>&sktid=<tenant-id>&skt=2023-05-24T01:13:55Z&ske=2023-05-24T09:13:55Z&sks=b&skv=2022-11-02&sip=198.51.100.10-198.51.100.20&spr=https&sv=2022-11-02&sr=b&sig=<signature>

Каждая часть URI описана в следующей таблице:

Отмена SAS делегирования пользователей

Если вы считаете, что SAS скомпрометирован, его следует отозвать. Вы можете отменить SAS делегирования пользователей, отменив ключ делегирования пользователей или изменив или удалив назначения ролей RBAC и списки ACL POSIX для субъекта безопасности, используемого для создания SAS.

Отзыв ключа делегирования пользователей

Ключ делегирования пользователя можно отозвать, вызвав операцию отмены ключей делегирования пользователей. При отмене ключа делегирования пользователей все подписанные URL-адреса, использующие этот ключ, становятся недействительными. Затем можно снова вызвать операцию получить ключ делегирования пользователей и использовать ключ для создания новых подписанных URL-адресов. Это самый быстрый способ отозвать SAS делегирования пользователей.

Изменение или удаление назначений ролей или списков управления доступом

Вы можете изменить или удалить назначение ролей RBAC и списки ACL POSIX для субъекта безопасности, используемого для создания SAS. Когда клиент использует SAS для доступа к ресурсу, служба хранилища Azure проверяет, что субъект безопасности, учетные данные которого использовались для защиты SAS, имеют необходимые разрешения для ресурса.

См. также

• Делегирование доступа с помощью подписанного URL-адреса
• создание SAS службы
• Создание учетной записи SAS
• коды ошибок SAS