Формат и синтаксис условия назначения роли Azure

Определенное условие — это дополнительная проверка, которую можно дополнительно добавить к назначению роли, чтобы обеспечить более детализированный контроль доступа. Например, можно добавить условие, которое требует наличия у объекта конкретного тега для чтения объекта. В этой статье описываются формат и синтаксис условий назначения ролей.

Формат условия

Чтобы лучше понять условия назначения ролей, полезно обращать внимание на формат.

Простое условие

Наиболее простое условие состоит из целевого действия и выражения. Действие — это операция, которую пользователь может выполнять с типом ресурса. Выражение — это оператор, который возвращает значение true или false, определяющее, разрешено ли выполнение действия.

Ниже представлен формат простого условия.

(
    (
        !(ActionMatches{'<action>'})
    )
    OR
    (
        <attribute> <operator> <value>
    )
)

Следующее условие имеет действие "Чтение большого двоичного объекта". Выражение проверяет, является ли имя контейнера "blobs-example-container".

(
    (
        !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'})
    )
    OR 
    (
        @Resource[Microsoft.Storage/storageAccounts/blobServices/containers:name]
        StringEquals 'blobs-example-container'
    )
)

Как оценивается условие

Если пользователь пытается выполнить действие в назначении роли, которое не равно <action>, !(ActionMatches) возвращает значение true, и общее условие принимает значение true, чтобы разрешить выполнение действия.

Если пользователь пытается выполнить действие <action> в назначении роли, !(ActionMatches) принимает значение false, поэтому выражение вычисляется. Если результат выражения равен true, то общее условие принимает значение true, чтобы разрешить выполнение действия <action>. В противном случае выполнение действия <action> не допускается.

В следующем псевдокоде представлен еще один способ чтения этого условия.

if a user tries to perform an action in the role assignment that does not match <action>
{
    Allow action to be performed
}
else
{
    if <attribute> <operator> <value> is true
    {
        Allow <action> to be performed
    }
    else
    {
        Do not allow <action> to be performed
    }
}

Субоперации

Некоторые действия имеют субоперации. Например, действие Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read данных содержит подоперацию "Список объектов blob". Условия с субоперациями имеют следующий формат.

(
    (
        !(ActionMatches{'<action>'}
        AND
        SubOperationMatches{'<subOperation>'})

    )
    OR
    (
        <attribute> <operator> <value>
    )
)

Множество действий

Условие может включать несколько действий, которые необходимо разрешить, если условие истинно. Если вы выберете несколько действий для одного условия, количество доступных атрибутов для этого условия может уменьшиться, поскольку атрибуты должны быть доступны во всех выбранных действиях.

(
    (
        !(ActionMatches{'<action>'})
        AND
        !(ActionMatches{'<action>'})
    )
    OR
    (
        <attribute> <operator> <value>
    )
)

Множество выражений

Условие может включать несколько выражений. В зависимости от оператора атрибуты можно проверять по нескольким значениям.

(
    (
        !(ActionMatches{'<action>'})
    )
    OR
    (
        <attribute> <operator> <value>
        AND | OR
        <attribute> <operator> {<value>, <value>, <value>}
        AND | OR
        <attribute> <operator> <value>
    )
)

Множество условий

Можно также сочетать условия для выполнения нескольких действий.

(
    (
        !(ActionMatches{'<action>'})
    )
    OR
    (
        <attribute> <operator> <value>
        AND | OR
        <attribute> <operator> {<value>, <value>, <value>}
        AND | OR
        <attribute> <operator> <value>
    )
)
AND
(
    (
        !(ActionMatches{'<action>'})
    )
    OR
    (
        <attribute> <operator> <value>
        AND | OR
        <attribute> <operator> <value>
    )
)

Синтаксис условия

Ниже представлен синтаксис для условия назначения роли.

(
    (
        !(ActionMatches{'<action>'} AND SubOperationMatches{'<subOperation>'})
        AND
        !(ActionMatches{'<action>'} AND SubOperationMatches{'<subOperation>'})
        AND
        ...
    )
    OR
    (
        <attribute> <operator> {<value, <value>, ...}
        AND | OR
        <attribute> <operator> {<value>, <value>, ...}
        AND | OR
        ...
    )
)
AND
(
    (
        !(ActionMatches{'<action>'} AND SubOperationMatches{'<subOperation>'})
        AND
        !(ActionMatches{'<action>'} AND SubOperationMatches{'<subOperation>'})
        AND
        ...
    )
    OR
    (
        <attribute> <operator> {<value, <value>, ...}
        AND | OR
        <attribute> <operator> {<value>, <value>, ...}
        AND | OR
        ...
    )
)
AND
...

Действия

В настоящее время можно добавить условия к встроенным или пользовательским назначениям на роли, которые включают действия с данными в хранилище BLOB-объектов или очередей. К ним относятся следующие встроенные роли:

• участник данных BLOB-объектов хранилища;
• владелец данных объектов BLOB-хранилища
• читатель данных больших двоичных объектов хранилища.
• Вкладчик данных очереди хранилища
• Очередь хранения данных - обработчик сообщений
• Отправитель данных сообщений в очередь хранения
• Считыватель данных очереди хранения

См. список действий хранилища, которые можно использовать в условиях:

• Действия и атрибуты условий назначения ролей Azure для хранилища объектов Azure Blob
• Действия и атрибуты для условий назначения ролей Azure для Azure Queue Storage.

Атрибуты

В зависимости от выбранных действий атрибут может находиться в разных местах. При выборе нескольких действий для одного условия может быть меньше атрибутов, так как атрибуты должны быть доступны во всех выбранных действиях. Чтобы указать атрибут, необходимо включить источник в качестве префикса.

Полный список атрибутов хранилища, которые можно использовать в условиях, см. в следующих разделах:

• атрибуты Хранилища BLOB-объектов Azure
• Атрибуты хранилища очередей Azure

Атрибуты среды

Атрибуты среды связаны с обстоятельствами, при которых выполняется запрос на доступ, например дату и время дня или сетевую среду. Сетевая среда может подразумевать доступ через определенный закрытый конечный узел, подсеть виртуальной сети или, возможно, через любое частное соединение.

В следующей таблице перечислены поддерживаемые атрибуты среды для условий.

¹ Для операций копирования, атрибуты Is private link, Private endpoint и Subnet применяются только к назначению, например учетной записи хранения, а не к источнику. Чтобы получить больше информации об операциях копирования, к которым это относится, выберите атрибут в таблице и просмотрите подробнее.
² Можно использовать Private endpoint атрибут только в том случае, если в настоящее время в подписке настроена хотя бы одна частная конечная точка.
³ Можно использовать Subnet атрибут только в том случае, если в настоящее время у вас есть по крайней мере одна подсеть виртуальной сети с помощью конечных точек служб, настроенных в вашей подписке.

Основные атрибуты

Основные атрибуты — это настраиваемые атрибуты безопасности, назначенные субъекту безопасности, запрашивающим доступ к ресурсу. Субъект безопасности может быть пользователем или корпоративным приложением (служебный субъект).

Чтобы использовать основные атрибуты, необходимо иметь следующее:

• Разрешения Microsoft Entra для пользователя, выполнившего вход, например роль администратора назначения атрибутов
• Настраиваемые атрибуты безопасности, определенные в идентификаторе Microsoft Entra

Дополнительные сведения о настраиваемых атрибутах безопасности см. в следующем разделе:

• Добавление или отключение настраиваемых атрибутов безопасности в идентификаторе Microsoft Entra
• Разрешить доступ на чтение больших двоичных объектов на основе тегов и настраиваемых атрибутов безопасности
• Субъект не отображается в источнике атрибутов

Атрибуты запроса

Атрибуты запроса связаны с критериями, указанными в запросе доступа, например, с указанным префиксом BLOB, которые должны быть включены в список.

Атрибуты ресурсов

Атрибуты ресурсов связаны с объектом, к которому запрашивается доступ, например имя учетной записи хранения, имя контейнера или включено ли иерархическое пространство имен для учетной записи хранения.

Операторы функций

В этом разделе перечислены операторы функций, доступные для создания условий.

ActionMatches

SubOperationMatches

Существует

¹ Оператор Exists поддерживается только для этих атрибутов в визуальном построителе условий ABAC в портале Azure. Оператор Exists можно добавить к любому атрибуту с помощью других средств, таких как PowerShell, Azure CLI, REST API и редактор кода условий в портале Azure.

Логические операторы

В этом разделе перечислены логические операторы, доступные для создания условий.

И

Или

Не

Логические операторы сравнения

В этом разделе перечислены логические операторы сравнения, доступные для создания условий.

Операторы сравнения строк

В этом разделе перечислены операторы сравнения строк, доступные для создания условий.

StringEquals

StringNotEquals

СтрокаНачинаетсяС

СтрокаНеНачинаетсяС

StringLike

StringNotLike

Операторы числовых сравнений

В этом разделе перечислены числовые операторы сравнения, доступные для создания условий.

Операторы сравнения DateTime

В этом разделе перечислены операторы сравнения даты и времени, доступные для создания условий.

Операторы сравнения GUID

В этом разделе перечислены глобально уникальные операторы сравнения идентификаторов (GUID), доступные для создания условий.

Перекрестные операторы сравнения продуктов

В этом разделе перечислены операторы сравнения продуктов, доступные для создания условий.

ДляЛюбогоИзЛюбыхЗначений

ForAllOfAnyValues

ForAnyOfAllValues

ForAllOfAllValues

Специальные символы

Группирование и приоритет

Если у вас есть три или более выражений для целевого действия с разными операторами между выражениями, порядок оценки является неоднозначным. Скобки () используются для группирования выражений и указания порядка вычисления выражений. Выражения, взятые в скобки, имеют самый высокий приоритет. Например, предположим, что имеется следующее выражение:

a AND b OR c

Добавлять скобки необходимо одним из следующих способов.

(a AND b) OR c

a AND (b OR c)

Следующие шаги

• Пример условий назначения ролей Azure для хранилища BLOB-объектов
• Добавление или изменение условий назначения ролей Azure с помощью портал Azure