使用 Microsoft Entra ID 授权

Azure 存储提供与 Microsoft Entra ID 的集成，以便对 Blob、文件、队列和表服务的请求进行基于标识的授权。 使用 Microsoft Entra ID，可以使用基于角色的访问控制（RBAC）向用户、组或应用程序授予对 blob、文件、队列和表资源的访问权限。 可以授予限定为单个容器、共享、队列或表级别的权限。

若要了解有关 Azure 存储中Microsoft Entra ID 集成的详细信息，请参阅 使用 Microsoft Entra ID授权访问 Azure blob 和队列。

有关在应用程序中使用 Microsoft Entra ID 的优点的详细信息，请参阅 与Microsoft标识平台集成。

使用 OAuth 访问令牌进行身份验证

Azure 存储接受与包含存储帐户的订阅关联的Microsoft Entra 租户 OAuth 2.0 访问令牌。 Azure 存储接受以下项的访问令牌：

• 用户和组
• 服务主体
• Azure 资源的托管标识
• 使用用户委托的权限的应用程序

Azure 存储公开名为 user_impersonation 的单个委派范围，允许应用程序执行用户允许的任何操作。

若要请求 Azure 存储的令牌，请指定资源 ID 的值 https://storage.azure.com/。 有关资源 ID 的详细信息，请参阅 Microsoft 标识平台范围、权限、& 同意。

有关从用户和服务主体Microsoft Entra ID 请求访问令牌的详细信息，请参阅 身份验证流和应用程序方案。

有关为配置托管标识的资源请求访问令牌的详细信息，请参阅 如何使用 Azure VM 上的 Azure 资源的托管标识来获取访问令牌。

使用 OAuth 令牌调用存储操作

若要使用 OAuth 访问令牌调用 Blob、文件、队列和表服务操作，请使用 Bearer 方案在 授权 标头中传递访问令牌， 并指定 2017-11-09 的服务版本（2022-11-02，用于 文件 资源和 Directory 资源或 2024-11-04，用于对 FileService 资源和 FileShare 资源）或更高版本的操作， 如以下示例所示：

Request:
GET /container/file.txt
x-ms-version: 2017-11-09
Authorization: Bearer eyJ0eXAiO...V09ccgQ
User-Agent: PostmanRuntime/7.6.0
Accept: */*
Host: sampleoautheast2.blob.core.windows.net
accept-encoding: gzip, deflate

Response:
HTTP/1.1 200
status: 200
Content-Length: 28
Content-Type: text/plain
Content-MD5: dxG7IgOBzApXPcGHxGg5SA==
Last-Modified: Wed, 30 Jan 2019 07:21:32 GMT
Accept-Ranges: bytes
ETag: "0x8D686838F9E8BA7"
Server: Windows-Azure-Blob/1.0 Microsoft-HTTPAPI/2.0
x-ms-request-id: 09f31964-e01e-00a3-8066-d4e6c2000000
x-ms-version: 2017-11-09
x-ms-creation-time: Wed, 29 Aug 2018 04:22:47 GMT
x-ms-lease-status: unlocked
x-ms-lease-state: available
x-ms-blob-type: BlockBlob
x-ms-server-encrypted: true
Date: Wed, 06 Mar 2019 21:50:50 GMT
Welcome to Azure Storage!!

持有者挑战

持有者挑战是 OAuth 协议 RFC 6750 的一部分，用于颁发机构发现。 对于对 Blob 服务的匿名请求，或者对于使用无效 OAuth 持有者令牌发出的请求，服务器将使用标识提供者和资源信息返回状态代码 401（未授权）。 请参阅 链接，了解如何在身份验证期间将这些值与 Microsoft Entra ID 配合使用。

Azure 存储 Blob 和队列服务返回版本 2019-12-12 及更新版本的持有者质询。 Azure 存储表服务返回版本 2020-12-06 及更新版本的持有者挑战。 Azure Data Lake Storage Gen2 为版本 2017-11-09 及更新版本返回持有者挑战。 Azure 文件服务从版本 2022-11-02 和更新版本返回持有者质询。

对匿名读取请求的响应

当 Blob 存储收到匿名请求时，如果满足以下所有条件，该请求将成功：

• 允许对存储帐户进行匿名公共访问。
• 容器配置为允许匿名公共访问。
• 请求用于读取访问。

如果上述任一条件不为 true，则请求将失败。 失败的响应代码取决于匿名请求是否使用支持持有者质询的服务版本发出。 服务版本 2019-12-12 及更新版支持持有者质询：

• 如果匿名请求是使用支持持有者质询的服务版本发出的，则服务将返回错误代码 401（未授权）。
• 如果使用不支持持有者质询的服务版本发出匿名请求，并且不允许对存储帐户进行匿名公共访问，则服务将返回错误代码 409（冲突）。
• 如果使用不支持持有者质询的服务版本发出匿名请求，并且允许对存储帐户进行匿名公共访问，则服务将返回错误代码 404（找不到）。

有关持有者挑战的详细信息，请参阅 持有者挑战。

对持有者挑战的示例响应

下面是当客户端请求不包括匿名下载 Blob 请求中的持有者令牌时，持有者质询响应的示例：

Request:
GET /container/file.txt
x-ms-version: 2019-12-12
Host: sampleoautheast2.blob.core.windows.net

Response:
HTTP/1.1 401 Unauthorized
WWW-Authenticate: Bearer authorization_uri=https://login.microsoftonline.com/<tenant_id>/oauth2/authorize resource_id=https://storage.azure.com

<?xml version="1.0" encoding="utf-8"?>
<Error>
    <Code>NoAuthenticationInformation</Code>
    <Message>Server failed to authenticate the request. Please refer to the information in the www-authenticate header.
RequestId:ec4f02d7-1003-0006-21f9-c55bc8000000
Time:2020-01-08T08:01:46.2063459Z</Message>
</Error>

使用 RBAC 管理访问权限

Microsoft Entra ID 通过 RBAC 处理对受保护资源的访问授权。 使用 RBAC，可以将角色分配给用户、组或服务主体。 每个角色都包含一组资源的权限。 将角色分配给用户、组或服务主体后，他们有权访问该资源。 可以使用 Azure 门户、Azure 命令行工具和 Azure 管理 API 分配访问权限。 有关 RBAC 的详细信息，请参阅 Role-Based 访问控制入门。

对于 Azure 存储，可以授予对存储帐户中容器或队列中的数据的访问权限。 Azure 存储提供这些内置 RBAC 角色，用于 Microsoft Entra ID：

• 存储 Blob 数据所有者
• 存储 Blob 数据参与者
• 存储 Blob 数据读取器
• 存储 Blob 委派器
• 存储队列数据参与者
• 存储队列数据读取器
• 存储队列数据消息处理器
• 存储队列数据消息发送方
• 存储表数据读取器
• 存储表数据参与者
• 存储文件数据特权参与者
• 存储文件数据特权读取者

有关如何为 Azure 存储定义内置角色的详细信息，请参阅 了解 Azure 资源的角色定义。

还可以定义用于 Blob 存储和 Azure 队列的自定义角色。 有关详细信息，请参阅 为 Azure Role-Based 访问控制创建自定义角色。

调用数据操作的权限

下表描述了Microsoft Entra 用户、组、托管标识或服务主体调用特定 Azure 存储操作所需的权限。 若要使客户端能够调用特定操作，请确保客户端的分配的 RBAC 角色为该操作提供足够的权限。

Blob 服务操作的权限

队列服务操作的权限

表服务操作的权限

文件服务操作的权限

另请参阅

• 授权对 Azure 存储 的请求