Hesap SAS'i oluşturma

2015-04-05 sürümünden itibaren Azure Depolama, depolama hesabı düzeyinde yeni bir paylaşılan erişim imzası (SAS) türü oluşturmayı destekler. Hesap SAS'sini oluşturarak şunları yapabilirsiniz:

• Get/Set Service Properties ve Get Service Stats işlemleri gibi hizmete özgü sas ile şu anda kullanılamayan hizmet düzeyi işlemlere temsilci erişimi.

• Bir depolama hesabında aynı anda birden fazla hizmete erişim yetkisi verin. Örneğin, hesap SAS'sini kullanarak hem Azure Blob Depolama'daki hem de Azure Dosyalar'daki kaynaklara erişim için temsilci atayabilirsiniz.

• Nesneye özgü SAS ile kullanılamayan kapsayıcılar, kuyruklar, tablolar ve dosya paylaşımları için yazma ve silme işlemlerine temsilci erişimi.

• İsteklerin kabul edildiği bir IP adresi veya IP adresi aralığı belirtin.

• İsteklerin kabul edildiği HTTP protokolunu belirtin (HTTPS veya HTTP/HTTPS).

Depolanan erişim ilkeleri şu anda bir hesap SAS'sinde desteklenmiyor.

Hesap SAS'sinin yetkilerini alma

Depolama hesabı anahtarı kullanarak bir hesap SAS'sinin güvenliğini sağlarsınız. Hesap SAS'sini oluşturduğunuzda, istemci uygulamanızın hesap anahtarına sahip olması gerekir.

Kapsayıcı veya blob için SAS güvenliğini sağlamak üzere Microsoft Entra kimlik bilgilerini kullanmak kullanıcı temsilcisi SASoluşturun.

Hesap SAS URI'si oluşturma

Hesap SAS URI'si, SAS'nin erişim temsilcisi olarak atanacağı kaynağa yönelik URI'lerden ve ardından bir SAS belirtecinden oluşur. SAS belirteci, kaynağa yönelik bir isteği yetkilendirmek için gereken tüm bilgileri içeren sorgu dizesidir. Erişim için kullanılabilen hizmet, kaynak ve izinleri ve imzanın geçerli olduğu süreyi belirtir.

Hesap SAS parametrelerini belirtme

SAS belirteci için gerekli ve isteğe bağlı parametreler aşağıdaki tabloda açıklanmıştır:

signedVersion alanını belirtin

signedVersion (sv) alanı, paylaşılan erişim imzasının hizmet sürümünü içerir. Bu değer, bu paylaşılan erişim imzası tarafından kullanılan Paylaşılan Anahtar yetkilendirme sürümünü belirtir (signature alanında). değeri, bu paylaşılan erişim imzası ile yapılan istekler için hizmet sürümünü de belirtir.

Paylaşılan erişim imzası aracılığıyla istekleri yürütürken hangi sürümün kullanıldığı hakkında bilgi için bkz. Azure Depolama hizmetleri için sürüm oluşturma.

Bu parametrenin paylaşılan erişim imzası ile yapılan isteklerin yetkilendirmesini nasıl etkilediği hakkında bilgi için bkz. Paylaşılan erişim imzası ile erişim yetkisi.

IP adresi veya IP aralığı belirtme

2015-04-05 sürümünden itibaren, isteğe bağlı signedIp (sip) alanı bir genel IP adresi veya istekleri kabul etmek için bir genel IP adresi aralığı belirtir. İsteğin kaynaklandığı IP adresi SAS belirtecinde belirtilen IP adresi veya adres aralığıyla eşleşmiyorsa istek yetkilendirilmedi. Yalnızca IPv4 adresleri desteklenir.

Bir IP adresi aralığı belirtirken aralığın dahil olduğunu unutmayın. Örneğin, SAS üzerinde sip=198.51.100.0 veya sip=198.51.100.10-198.51.100.20 belirtilmesi, isteği bu IP adresleriyle kısıtlar.

Aşağıdaki tabloda, istemci ortamına ve depolama hesabının konumuna bağlı olarak, belirtilen bir senaryo için sas belirtecine signedIp alanının eklenip eklenmeyeceği açıklanmaktadır.

HTTP protokolunu belirtme

2015-04-05 sürümünden itibaren, isteğe bağlı signedProtocol (spr) alanı SAS ile yapılan istek için izin verilen protokolü belirtir. Olası değerler hem HTTPS hem de HTTP (https,http) veya yalnızca HTTPS (https). Varsayılan değer https,http. Yalnızca HTTP'nin izin verilen bir değer olmadığını unutmayın.

Şifreleme kapsamını belirtme

URI'de signedEncryptionScope alanını kullanarak, istemci uygulamasının kullanabileceği şifreleme kapsamını belirtebilirsiniz. SAS belirteciyle blobları (PUT) karşıya yüklediğinizde belirtilen şifreleme kapsamıyla sunucu tarafı şifrelemesini zorlar. GET ve HEAD kısıtlanmaz ve daha önce olduğu gibi gerçekleştirilmeyecektir.

Aşağıdaki tabloda, URI'de imzalı bir şifreleme kapsamına nasıl başvuracakları açıklanmaktadır:

Bu alan, sürüm 2020-12-06 veya üzeri ile desteklenir. desteklenen sürümden önce ses eklerseniz, hizmet hata yanıt kodu 403 (Yasak) döndürür.

Kapsayıcı veya dosya sistemi için varsayılan şifreleme kapsamını ayarlarsanız, ses sorgu parametresi kapsayıcı şifreleme ilkesine saygı gösterir. ses sorgu parametresiyle x-ms-default-encryption-scope üst bilgisi arasında uyuşmazlık varsa ve x-ms-deny-encryption-scope-override üst bilgisi trueolarak ayarlanırsa, hizmet hata yanıt kodu 403 (Yasak) döndürür.

PUT isteğinde x-ms-encryption-scope üst bilgisini ve ses sorgu parametresini sağladığınızda, uyuşmazlık varsa hizmet hata yanıt kodu 400 (Hatalı İstek) döndürür.

İmza dizesini oluşturma

Bir hesap SAS'sinin imza dizesini oluşturmak için, önce isteği oluşturan alanlardan imzalanan dizeyi oluşturun, sonra dizeyi UTF-8 olarak kodlayın ve HMAC-SHA256 algoritmasını kullanarak imzayı hesaplayın.

Bir hesap SAS'sinin imza dizesi oluşturmak için aşağıdaki biçimi kullanın:

StringToSign = accountname + "\n" +  
    signedpermissions + "\n" +  
    signedservice + "\n" +  
    signedresourcetype + "\n" +  
    signedstart + "\n" +  
    signedexpiry + "\n" +  
    signedIP + "\n" +  
    signedProtocol + "\n" +  
    signedversion + "\n"  
  

Sürüm 2020-12-06, imzalı şifreleme kapsamı alanı için destek ekler. Bir hesap SAS'sinin imza dizesi oluşturmak için aşağıdaki biçimi kullanın:

StringToSign = accountname + "\n" +  
    signedpermissions + "\n" +  
    signedservice + "\n" +  
    signedresourcetype + "\n" +  
    signedstart + "\n" +  
    signedexpiry + "\n" +  
    signedIP + "\n" +  
    signedProtocol + "\n" +  
    signedversion + "\n" +
    signedEncryptionScope + "\n"  
  

İşleme göre hesap SAS izinleri

Aşağıdaki bölümlerde yer alan tablolarda her hizmet için çeşitli API'ler ve her işlem için desteklenen imzalı kaynak türleri ve imzalı izinler listelenmektedir.

Blob hizmeti

Aşağıdaki tabloda Blob hizmeti işlemleri listelenerek, bu işlemlere erişim yetkisi verildiğinde belirtilmesi gereken imzalı kaynak türü ve imzalı izinler gösterilir.

¹Delete izni, 2017-07-29 ve sonraki sürümlere sahip bir blob veya kapsayıcıda kirayı bozmaya olanak tanır.
²Delete Version izni, 2019-12-12 ve sonraki sürümlere sahip blob sürümlerinin silinmesine izin verir.
³Permanent Delete izni, blob anlık görüntüsünün veya sürüm 2020-02-10 ve sonraki sürümlerin kalıcı olarak silinmesine olanak tanır.

Kuyruk hizmeti

Aşağıdaki tabloda Kuyruk hizmeti işlemleri listelenerek, bu işlemlere erişim yetkisi verildiğinde belirtilmesi gereken imzalı kaynak türü ve imzalı izinler gösterilir.

Tablo hizmeti

Aşağıdaki tabloda Tablo hizmeti işlemleri listelenerek, bu işlemlere erişim yetkisi verildiğinde belirtilmesi gereken imzalı kaynak türü ve imzalı izinler gösterilir.

¹ Tablo hizmetindeki upsert işlemleri için Ekleme ve Güncelleştirme izinleri gereklidir.

Dosya hizmeti

Aşağıdaki tabloda Dosya hizmeti işlemleri listelenerek, bu işlemlere erişim yetkisi verildiğinde belirtilmesi gereken imzalı kaynak türü ve imzalı izinler gösterilir.

Hesap SAS URI'si örneği

Aşağıdaki örnekte, hesap SAS belirtecinin eklendiği bir Blob hizmeti URI'si gösterilmektedir. Hesap SAS belirteci hizmet, kapsayıcı ve nesneler için izinler sağlar. Tablo, URI'nin her bölümünü ayırır:

https://blobsamples.blob.core.windows.net/?sv=2022-11-02&ss=b&srt=sco&sp=rwlc&se=2023-05-24T09:51:36Z&st=2023-05-24T01:51:36Z&spr=https&sig=<signature>

İzinler hizmet düzeyiyle sınırlı olduğundan, bu SAS ile erişilebilir işlemler Blob Hizmeti Özelliklerini Alma (okuma) ve Blob Hizmeti Özelliklerini Ayarlama (yazma) . Ancak, farklı bir kaynak URI'siyle aynı SAS belirteci Blob Hizmeti İstatistiklerini Alma (okuma) için erişim temsilcisi seçmek için de kullanılabilir.

Ayrıca bkz.

• Paylaşılan erişim imzası erişim temsilcisi
• Kullanıcı temsilcisi SAS oluşturma
• Hizmet SAS oluşturma
• SAS hata kodları