Настройка политики истечения срока действия для подписей общего доступа

С помощью строковой подписи (SAS) можно делегировать доступ к ресурсам в вашей учетной записи хранения Azure. Маркер SAS содержит сведения о целевом ресурсе, предоставленных разрешениях и интервале времени, в течение которого разрешен доступ. Рекомендуется придерживаться лучших практик и ограничивать интервал для SAS на случай, если он окажется скомпрометированным. Задав политику истечения срока действия SAS для учетных записей хранения, можно рекомендовать или применить верхний предел срока действия (максимальный интервал срока действия), когда пользователь создает SAS делегирования пользователей, SAS службы или SAS учетной записи.

Для получения дополнительной информации об общих ключах доступа см. статью Предоставление ограниченного доступа к ресурсам хранилища Azure с помощью общих ключей доступа (SAS).

Сведения о политиках срока действия SAS

Вы можете настроить политику срока действия SAS в учетной записи хранения. Политика истечения срока действия SAS задает верхний предел для интервала допустимости для SAS делегирования пользователей, SAS службы или SAS учетной записи. Верхний предел указывается как значение даты и времени, которое представляет собой объединенное количество дней, часов, минут и секунд.

Период действия для SAS вычисляется путем вычитания значения даты и времени в подписанном поле начала срока действия из значения даты и времени в поле завершения срока действия. Если полученное значение не превышает рекомендуемый верхний предел, то SAS соответствует политике истечения срока действия SAS.

Если политика срока действия SAS действует для учетной записи хранения, подписанное поле начала срока действия нужно указать для каждого SAS. Если подписанное поле запуска не включено в SAS, и вы настроили параметр диагностики для ведения журнала с помощью Azure Monitor, служба хранилища Azure записывает сообщение в свойство SasExpiryStatus в журналах всякий раз, когда пользователь использует SAS без значения для подписанного начального поля.

После настройки политики истечения срока действия SAS любой пользователь, создающий SAS с интервалом, превышающим рекомендуемый верхний предел, увидит предупреждение, а также рекомендуемый максимальный интервал.

Определение действия по истечении срока действия SAS

Политика истечения срока действия SAS поддерживает два действия:

• [По умолчанию] Журнал: Разрешены запросы, сделанные с использованием SAS вне политики. Если вы настроили параметр диагностики для ведения журнала с помощью Azure Monitor, служба хранилища Azure записывает сообщение в свойство SasExpiryStatus в журналах всякий раз, когда пользователь использует SAS, срок действия которого истекает после рекомендуемого интервала. Сообщение указывает на то, что период действия SAS превышает рекомендуемый интервал. Этот параметр рекомендуется для мониторинга и аудита доступа без нарушения рабочих процессов. 

• Блок: Запросы, сделанные с использованием sas вне политики, запрещены. Это самый строгий вариант применения элементов управления доступом в соответствии с требованиями организации. 

SAS вне политики — это те, которые не имеют подписанного запуска или имеют интервал допустимости, превышающий верхний предел.

Начните с просмотра текущего использования маркера SAS и настройки соответствующей политики истечения срока действия для учетных записей хранения. Мы рекомендуем начать с действия журнала для мониторинга журналов диагностики для нарушений политики. Настоятельно рекомендуется использовать действие блокировки , чтобы убедиться, что если маркер SAS прошел срок действия срока действия учетной записи хранения, то доступ к хранилищу должен быть заблокирован.

Настройка политики истечения срока действия SAS

При настройке политики истечения срока действия SAS в учетной записи хранения эта политика применяется к каждому типу SAS: делегированных пользователей SAS, служебного SAS и SAS учетной записи. Типы SAS для службы и учетной записи подписаны ключом учетной записи, а SAS делегирования пользователей подписаны учетными данными Microsoft Entra.

Нужно ли сначала повернуть ключи доступа к учетной записи?

Этот раздел касается типов SAS для служб и учетных записей, которые подписаны ключом учетной записи. Прежде чем настроить политику истечения срока действия SAS, возможно, потребуется сменить все ключи доступа к учетной записи по крайней мере один раз. Если свойство keyCreationTime учетной записи хранилища имеет значение NULL для любого из ключей доступа (ключ1 или ключ2), необходимо выполнить их ротацию. Чтобы определить, имеет ли свойство keyCreationTime значение NULL, см. раздел "Получение времени создания ключей доступа к учетной записи хранения". Если вы пытаетесь настроить политику истечения срока действия SAS, а ключи должны быть предварительно обновлены, операция завершается неудачей.

Настройка политики истечения срока действия SAS

Политику истечения срока действия SAS можно настроить с помощью портал Azure, PowerShell или Azure CLI.

$account = Set-AzStorageAccount -ResourceGroupName <resource-group> `
    -Name <storage-account-name> `
    -SasExpirationPeriod <days>.<hours>:<minutes>:<seconds>
	-SasExpirationAction <action>

$account.SasPolicy

az storage account update \
  --name <storage-account> \
  --resource-group <resource-group> \
  --sas-exp <days>.<hours>:<minutes>:<seconds>
  --sas-expiration-action <action>

az storage account show \
  --name <storage-account> \
  --resource-group <resource-group> \
  --query "{SasPolicy:sasPolicy}"

{
  "SasPolicy": {
    "expirationAction": "Log",
    "sasExpirationPeriod": "1.12:05:06"
  }
}

Запрос данных журналов о нарушениях политики

Чтобы регистрировать использование SAS, который действителен в течение более длительного промежутка времени, чем это рекомендуется политикой истечения срока действия SAS, сначала создайте настройку диагностики, которая отправляет журналы в рабочую область Azure Log Analytics. Дополнительные сведения см. в разделе Отправка журналов в Azure Log Analytics

Затем используйте запрос журнала Azure Monitor, чтобы отслеживать, была ли нарушена политика. Создайте новый запрос в рабочей области Log Analytics, добавьте следующий текст запроса и нажмите кнопку Выполнить.

StorageBlobLogs 
| where SasExpiryStatus startswith "Policy violated"
| summarize count() by AccountName, SasExpiryStatus

Использование встроенной политики для мониторинга соответствия

Вы можете контролировать учетные записи хранения с помощью Azure Policy, чтобы убедиться, что для учетных записей хранения в вашей подписке настроены политики истечения срока действия SAS. Служба хранилища Azure предоставляет встроенную политику, которая контролирует применение этого параметра для учетных записей. Дополнительные сведения о встроенной политике см. в разделе учетные записи хранилища должны иметь настроенные политики маркер общей подписи доступа (SAS) в Списке определений встроенных политик.

Назначьте встроенную политику для области ресурсов

Чтобы назначить встроенную политику соответствующей области на портале Azure, выполните указанные ниже действия:

1. На портале Azure выполните поиск по слову Политика, чтобы найти панель мониторинга "Политика Azure".

2. В разделе Создание выберите Задания.

3. Выберите Назначить политику.

4. На вкладке Основные сведения страницы Назначение политики в разделе Область укажите область назначения политики. Чтобы выбрать подписку и группу ресурсов (при желании), нажмите кнопку Дополнительно.

5. В поле Определение политики нажмите кнопку Дополнительно и введите текст ключи учетной записи хранения в поле Поиск. Выберите определение политики Ключи учетной записи хранения не должны быть просрочены.

   

6. Чтобы назначить определение политики для указанной области действия, выберите Обзор + создание.

   

Контроль соответствия политике срока действия ключей

Чтобы отслеживать учетные записи хранения на соответствие политике срока действия ключей, выполните указанные ниже действия:

1. На панели мониторинга Политики Azure найдите встроенное определение политики для области, указанной в назначении политики. Чтобы отфильтровать встроенную политику, можно найти Storage accounts should have shared access signature (SAS) policies configured в поле поиска .

2. Выберите название политики с нужной областью.

3. На странице Назначение политики для встроенной политики выберите Просмотр соответствия. Все учетные записи хранения в указанной подписке и группе ресурсов, которые не соответствуют требованиям политики, отображаются в отчете о соответствии.

   

Чтобы обеспечить соответствие учетной записи хранения, настройте политику истечения срока действия SAS для этой учетной записи, как описано в разделе "Настройка политики истечения срока действия SAS".

См. также

• Предоставление ограниченного доступа к ресурсам службы хранилища Azure с помощью подписанных URL-адресов (SAS)
• Создать SAS на уровне службы
• Создать учетную запись SAS