Azure rol atama koşulu biçimi ve söz dizimi

Koşul, daha ayrıntılı erişim denetimi sağlamak için isteğe bağlı olarak rol atamanıza ekleyebileceğiniz ek bir denetimdir. Örneğin, bir nesnenin nesneyi okumak için belirli bir etikete sahip olmasını gerektiren bir koşul ekleyebilirsiniz. Bu makalede rol atama koşullarının biçimi ve söz dizimi açıklanmaktadır.

Koşul biçimi

Rol atama koşullarını daha iyi anlamak için biçime bakmaya yardımcı olur.

Basit koşul

En temel koşul, hedeflenen bir eylemden ve ifadeden oluşur. Eylem, kullanıcının kaynak türünde gerçekleştirebileceği bir işlemdir. İfade, eylemin gerçekleştirilmesine izin verilip verilmediğini belirleyen true veya false olarak değerlendirilen bir deyimdir.

Aşağıda basit bir koşulun biçimi gösterilmektedir.

(
    (
        !(ActionMatches{'<action>'})
    )
    OR
    (
        <attribute> <operator> <value>
    )
)

Aşağıdaki koşulda "Blob okuma" eylemi vardır. İfade, kapsayıcı adının blobs-example-container olup olmadığını denetler.

(
    (
        !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'})
    )
    OR 
    (
        @Resource[Microsoft.Storage/storageAccounts/blobServices/containers:name]
        StringEquals 'blobs-example-container'
    )
)

Koşulun değerlendirilme şekli

Kullanıcı rol atamasında <action>!(ActionMatches) olmayan bir eylem gerçekleştirmeyi denerse true olarak değerlendirilir ve eylemin gerçekleştirilmesine izin vermek için genel koşul true olarak değerlendirilir.

Kullanıcı rol atamasında gerçekleştirmeye <action> çalışırsa false !(ActionMatches) olarak değerlendirilir, böylece ifade değerlendirilir. İfade true olarak değerlendirilirse, genel koşul gerçekleştirilmesine izin <action> vermek için true olarak değerlendirilir. Aksi takdirde, <action> gerçekleştirilmesine izin verilmez.

Aşağıdaki sahte kod, bu koşulu okuyabileceğiniz başka bir yol gösterir.

if a user tries to perform an action in the role assignment that does not match <action>
{
    Allow action to be performed
}
else
{
    if <attribute> <operator> <value> is true
    {
        Allow <action> to be performed
    }
    else
    {
        Do not allow <action> to be performed
    }
}

Alt çalışma

Bazı eylemlerin alt işlemleri vardır. Örneğin, veri eylemi " Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read Blobları listele" alt işlemine sahiptir. Alt işlemleri olan koşullar aşağıdaki biçime sahiptir.

(
    (
        !(ActionMatches{'<action>'}
        AND
        SubOperationMatches{'<subOperation>'})

    )
    OR
    (
        <attribute> <operator> <value>
    )
)

Birden çok eylem

Koşul doğruysa, izin vermek istediğiniz birden çok eylem içerebilir. Tek bir koşul için birden çok eylem seçerseniz, özniteliklerin seçilen eylemlerde kullanılabilir olması gerektiğinden, koşulunuz için aralarından seçim yapabileceğiniz öznitelik sayısı daha az olabilir.

(
    (
        !(ActionMatches{'<action>'})
        AND
        !(ActionMatches{'<action>'})
    )
    OR
    (
        <attribute> <operator> <value>
    )
)

Birden çok ifade

Bir koşul birden çok ifade içerebilir. İşlecine bağlı olarak, öznitelikler birden çok değere karşı denetlenebilir.

(
    (
        !(ActionMatches{'<action>'})
    )
    OR
    (
        <attribute> <operator> <value>
        AND | OR
        <attribute> <operator> {<value>, <value>, <value>}
        AND | OR
        <attribute> <operator> <value>
    )
)

Birden çok koşul

Birden çok eylemi hedeflemek için koşulları birleştirebilirsiniz.

(
    (
        !(ActionMatches{'<action>'})
    )
    OR
    (
        <attribute> <operator> <value>
        AND | OR
        <attribute> <operator> {<value>, <value>, <value>}
        AND | OR
        <attribute> <operator> <value>
    )
)
AND
(
    (
        !(ActionMatches{'<action>'})
    )
    OR
    (
        <attribute> <operator> <value>
        AND | OR
        <attribute> <operator> <value>
    )
)

Koşul söz dizimi

Aşağıda, rol atama koşulunun söz dizimi gösterilmektedir.

(
    (
        !(ActionMatches{'<action>'} AND SubOperationMatches{'<subOperation>'})
        AND
        !(ActionMatches{'<action>'} AND SubOperationMatches{'<subOperation>'})
        AND
        ...
    )
    OR
    (
        <attribute> <operator> {<value, <value>, ...}
        AND | OR
        <attribute> <operator> {<value>, <value>, ...}
        AND | OR
        ...
    )
)
AND
(
    (
        !(ActionMatches{'<action>'} AND SubOperationMatches{'<subOperation>'})
        AND
        !(ActionMatches{'<action>'} AND SubOperationMatches{'<subOperation>'})
        AND
        ...
    )
    OR
    (
        <attribute> <operator> {<value, <value>, ...}
        AND | OR
        <attribute> <operator> {<value>, <value>, ...}
        AND | OR
        ...
    )
)
AND
...

Eylemler

Şu anda, blob depolama veya kuyruk depolama veri eylemlerine sahip yerleşik veya özel rol atamalarına koşullar eklenebilir. Bunlara aşağıdaki yerleşik roller dahildir:

• Depolama Blob Verileri Katkıda Bulunanı
• Depolama Blob Verileri Sahibi
• Depolama Blob Verileri Okuyucusu
• Depolama Kuyruğu Veri Katkıda Bulunanı
• Depolama Kuyruğu Veri İleti İşlemcisi
• Depolama Kuyruğu Veri İletisi Göndereni
• Depolama Kuyruğu Veri Okuyucusu

Koşullarda kullanabileceğiniz depolama eylemlerinin listesi için bkz:

• Azure Blob Depolama için Azure rol atama koşullarına yönelik eylemler ve öznitelikler
• Azure Kuyruk Depolama için Azure rol atama koşullarına yönelik eylemler ve öznitelikler.

Özellikler

Seçili eylemlere bağlı olarak, özniteliği farklı yerlerde bulunabilir. Tek bir koşul için birden çok eylem seçerseniz, özniteliklerin tüm seçili eylemlerde kullanılabilir olması gerektiğinden, koşulunuz için aralarından seçim yapabileceğiniz öznitelik sayısı daha az olabilir. Bir öznitelik belirtmek için kaynağı ön ek olarak eklemeniz gerekir.

Koşullarda kullanabileceğiniz depolama özniteliklerinin tam listesi için bkz:

• Azure Blob Depolama öznitelikleri
• Azure Kuyruk Depolama öznitelikleri

Ortam öznitelikleri

Ortam öznitelikleri, erişim isteğinin yapıldığı tarih ve saat veya ağ ortamı gibi koşullarla ilişkilendirilir. Ağ ortamı, erişimin belirli bir özel uç nokta veya sanal ağ alt ağı üzerinden veya belki de herhangi bir özel bağlantı üzerinden olması olabilir.

Aşağıdaki tabloda koşullar için desteklenen ortam öznitelikleri listelenmektedir.

¹ Kopyalama işlemleri için , Is private linkPrivate endpointve Subnet öznitelikleri yalnızca hedef için geçerlidir; örneğin, kaynak için değil, depolama hesabı. Bunun geçerli olduğu kopyalama işlemleri hakkında daha fazla bilgi için, daha fazla ayrıntı görmek için tablodaki her özniteliği seçin.
² Özniteliği yalnızca aboneliğinizde yapılandırılmış en az bir özel uç noktanız varsa kullanabilirsiniz Private endpoint .
³ Özniteliği yalnızca aboneliğinizde yapılandırılmış hizmet uç noktalarını kullanan en az bir sanal ağ alt ağınız varsa kullanabilirsinizSubnet.

Asıl öznitelikler

Asıl öznitelikler, bir kaynağa erişim isteyen güvenlik sorumlusuna atanan özel güvenlik öznitelikleridir. Güvenlik sorumlusu bir kullanıcı veya kurumsal uygulama (hizmet sorumlusu) olabilir.

Asıl öznitelikleri kullanmak için aşağıdakilere sahip olmanız gerekir:

• Oturum açmış kullanıcı için Öznitelik Atama Yöneticisi rolü gibi Microsoft Entra izinleri
• Microsoft Entra Id'de tanımlanan özel güvenlik öznitelikleri

Özel güvenlik öznitelikleri hakkında daha fazla bilgi için bkz:

• Microsoft Entra Id'de özel güvenlik öznitelikleri ekleme veya devre dışı bırakma
• Etiketlere ve özel güvenlik özniteliklerine göre bloblara okuma erişimine izin verme
• Sorumlu Öznitelik kaynağında görünmüyor

İstek öznitelikleri

İstek öznitelikleri, listelenecek blobların belirtilen ön eki gibi bir erişim isteğinde belirtilen ölçütlerle ilişkilendirilir.

Kaynak öznitelikleri

Kaynak öznitelikleri, depolama hesabı adı, kapsayıcı adı veya depolama hesabı için hiyerarşik ad alanının etkinleştirilip etkinleştirilmediği gibi erişim istenen nesneyle ilişkilendirilir.

İşlev işleçleri

Bu bölümde, koşulları oluşturmak için kullanılabilen işlev işleçleri listelenir.

ActionMatches

SubOperationMatches

Exists

¹ İşleç Exists , Azure portalındaki görsel ABAC koşul oluşturucusunda yalnızca bu öznitelikler için desteklenir. Azure portalında Exists PowerShell, Azure CLI, REST API ve koşul kodu düzenleyicisi gibi diğer araçları kullanarak işleci herhangi bir özniteliğe ekleyebilirsiniz.

Mantıksal işleçler

Bu bölümde, koşulları oluşturmak için kullanılabilen mantıksal işleçler listelenir.

And

Or

Not

Boole karşılaştırma işleçleri

Bu bölümde, koşulları oluşturmak için kullanılabilen Boole karşılaştırma işleçleri listelenir.

Dize karşılaştırma işleçleri

Bu bölümde, koşulları oluşturmak için kullanılabilen dize karşılaştırma işleçleri listelenir.

StringEquals

StringNotEquals

StringStartsWith

StringNotStartsWith

StringLike

StringNotLike

Sayısal karşılaştırma işleçleri

Bu bölümde, koşulları oluşturmak için kullanılabilen sayısal karşılaştırma işleçleri listelenir.

DateTime karşılaştırma işleçleri

Bu bölümde, koşulları oluşturmak için kullanılabilen tarih/saat karşılaştırma işleçleri listelenir.

GUID karşılaştırma işleçleri

Bu bölümde, koşulları oluşturmak için kullanılabilen genel benzersiz tanımlayıcı (GUID) karşılaştırma işleçleri listelenir.

Çapraz ürün karşılaştırma işleçleri

Bu bölümde, koşulları oluşturmak için kullanılabilen çapraz ürün karşılaştırma işleçleri listelenir.

ForAnyOfAnyValues

ForAllOfAnyValues

ForAnyOfAllValues

ForAllOfAllValues

Özel karakterler

Gruplandırma ve öncelik

İfadeler arasında farklı işleçlere sahip bir hedeflenen eylem için üç veya daha fazla ifadeniz varsa, değerlendirme sırası belirsizdir. İfadeleri () gruplandırmak ve ifadelerin değerlendirilme sırasını belirtmek için parantez kullanırsınız. Parantez içine alınmış ifadeler daha yüksek önceliğe sahiptir. Örneğin, aşağıdaki ifadeye sahipseniz:

a AND b OR c

Aşağıdaki yollardan biriyle parantez eklemeniz gerekir:

(a AND b) OR c

a AND (b OR c)

Sonraki adımlar

• Blob Depolama için örnek Azure rol atama koşulları
• Azure portalını kullanarak Azure rol atama koşullarını ekleme veya düzenleme