Авторизация с помощью идентификатора Microsoft Entra

Служба хранилища Azure обеспечивает интеграцию с идентификатором Microsoft Entra для авторизации на основе удостоверений запросов к службам BLOB-объектов, файлов, очередей и таблиц. С помощью идентификатора Microsoft Entra можно использовать управление доступом на основе ролей (RBAC) для предоставления доступа к BLOB-объектам, файлам, очередям и ресурсам таблицы пользователям, группам или приложениям. Вы можете предоставить разрешения, которые относятся к уровню отдельного контейнера, общего доступа, очереди или таблицы.

Дополнительные сведения об интеграции идентификатора Microsoft Entra в службе хранилища Azure см. в статье "Авторизация доступа к большим двоичным объектам Azure" и очередям с помощью идентификатора Microsoft Entra.

Дополнительные сведения о преимуществах использования идентификатора Microsoft Entra в приложении см. в разделе "Интеграция с платформа удостоверений Майкрософт".

Использование маркеров доступа OAuth для проверки подлинности

Служба хранилища Azure принимает маркеры доступа OAuth 2.0 из клиента Microsoft Entra, связанного с подпиской, содержащей учетную запись хранения. Служба хранилища Azure принимает маркеры доступа для:

• Пользователи и группы
• Субъекты-службы
• Управляемые удостоверения для ресурсов Azure
• Приложения, использующие разрешения, делегированные пользователями

Служба хранилища Azure предоставляет одну область делегирования с именем user_impersonation , которая позволяет приложениям выполнять любые действия, разрешенные пользователем.

Чтобы запросить маркеры для службы хранилища Azure, укажите значение https://storage.azure.com/ идентификатора ресурса. Дополнительные сведения об идентификаторе ресурса см. в разделе "Области платформы удостоверений Майкрософт", "Разрешения" и "Согласие".

Дополнительные сведения о запросе маркеров доступа из идентификатора Microsoft Entra для пользователей и субъектов-служб см. в сценариях проверки подлинности и приложений.

Дополнительные сведения о запросе маркеров доступа для ресурсов, настроенных с помощью управляемых удостоверений, см. в статье Об использовании управляемых удостоверений для ресурсов Azure на виртуальной машине Azure для получения маркера доступа.

Вызов операций хранения с маркерами OAuth

Чтобы вызвать большой двоичный объект, Операции службы файлов, очередей и таблиц с помощью маркеров доступа OAuth передают маркер доступа в заголовке авторизации с помощью схемы носителя и указывают версию службы 2017-11-09 (2022-11-02 для операций с ресурсом file и directory или 2024-11-04 для операций с ресурсом FileService и ресурсом FileShare), как показано в следующем примере:

Request:
GET /container/file.txt
x-ms-version: 2017-11-09
Authorization: Bearer eyJ0eXAiO...V09ccgQ
User-Agent: PostmanRuntime/7.6.0
Accept: */*
Host: sampleoautheast2.blob.core.windows.net
accept-encoding: gzip, deflate

Response:
HTTP/1.1 200
status: 200
Content-Length: 28
Content-Type: text/plain
Content-MD5: dxG7IgOBzApXPcGHxGg5SA==
Last-Modified: Wed, 30 Jan 2019 07:21:32 GMT
Accept-Ranges: bytes
ETag: "0x8D686838F9E8BA7"
Server: Windows-Azure-Blob/1.0 Microsoft-HTTPAPI/2.0
x-ms-request-id: 09f31964-e01e-00a3-8066-d4e6c2000000
x-ms-version: 2017-11-09
x-ms-creation-time: Wed, 29 Aug 2018 04:22:47 GMT
x-ms-lease-status: unlocked
x-ms-lease-state: available
x-ms-blob-type: BlockBlob
x-ms-server-encrypted: true
Date: Wed, 06 Mar 2019 21:50:50 GMT
Welcome to Azure Storage!!

Вызов носителя

Вызов носителя является частью протокола OAuth RFC 6750 и используется для обнаружения центра. Для анонимных запросов к службе BLOB-объектов или запросов, выполненных с недопустимым маркером носителя OAuth, сервер вернет код состояния 401 (несанкционированный) с сведениями о поставщике удостоверений и ресурсах. См. ссылку на использование этих значений во время проверки подлинности с помощью идентификатора Microsoft Entra.

Службы BLOB-объектов и очередей службы хранилища Azure возвращают вызов носителя для версии 2019-12-12 и более поздних версий. Служба таблиц хранилища Azure возвращает вызов носителя для версии 2020-12-06 и более поздних версий. Azure Data Lake Storage 2-го поколения возвращает вызов носителя для версии 2017-11-09 и более поздних версий. Служба файлов Azure возвращает вызов носителя версии 2022-11-02 и более поздней версии.

Ответы на анонимные запросы на чтение

Если хранилище BLOB-объектов получает анонимный запрос, этот запрос будет выполнен успешно, если выполнены все следующие условия:

• Анонимный общедоступный доступ разрешен для учетной записи хранения.
• Контейнер настроен для предоставления анонимного общедоступного доступа.
• Запрос предназначен для доступа на чтение.

Если любое из этих условий не соответствует действительности, запрос завершится ошибкой. Код ответа от сбоя зависит от того, был ли выполнен анонимный запрос с версией службы, поддерживающей вызов носителя. Задача носителя поддерживается с версиями служб 2019-12-12 и более поздними версиями:

• Если анонимный запрос был выполнен с версией службы, поддерживающей вызов носителя, служба возвращает код ошибки 401 (несанкционированный).
• Если анонимный запрос был выполнен с версией службы, которая не поддерживает вызов носителя и анонимный общедоступный доступ запрещен для учетной записи хранения, служба возвращает код ошибки 409 (конфликт).
• Если анонимный запрос был выполнен с версией службы, которая не поддерживает вызов носителя и анонимный общедоступный доступ разрешен для учетной записи хранения, служба возвращает код ошибки 404 (не найден).

Дополнительные сведения о вызове носителя см. в разделе "Вызов носителя".

Пример ответа на вызов носителя

Ниже приведен пример ответа на вызов носителя, если запрос клиента не включает маркер носителя в запрос анонимного скачивания BLOB-объектов:

Request:
GET /container/file.txt
x-ms-version: 2019-12-12
Host: sampleoautheast2.blob.core.windows.net

Response:
HTTP/1.1 401 Unauthorized
WWW-Authenticate: Bearer authorization_uri=https://login.microsoftonline.com/<tenant_id>/oauth2/authorize resource_id=https://storage.azure.com

<?xml version="1.0" encoding="utf-8"?>
<Error>
    <Code>NoAuthenticationInformation</Code>
    <Message>Server failed to authenticate the request. Please refer to the information in the www-authenticate header.
RequestId:ec4f02d7-1003-0006-21f9-c55bc8000000
Time:2020-01-08T08:01:46.2063459Z</Message>
</Error>

Управление правами доступа с помощью RBAC

Идентификатор Microsoft Entra обрабатывает авторизацию доступа к защищенным ресурсам через RBAC. С помощью RBAC можно назначать роли пользователям, группам или субъектам-службам. Каждая роль включает набор разрешений для ресурса. После назначения роли пользователю, группе или субъекту-службе у них есть доступ к данному ресурсу. Вы можете назначить права доступа с помощью портала Azure, средств командной строки Azure и API управления Azure. Дополнительные сведения о RBAC см. в статье "Начало работы с управлением доступом Role-Based".

Для службы хранилища Azure можно предоставить доступ к данным в контейнере или очереди в учетной записи хранения. Служба хранилища Azure предлагает следующие встроенные роли RBAC для использования с идентификатором Microsoft Entra:

• Администратор данных BLOB-объектов хранилища
• Конрибутор данных хранилища Blob
• Читатель данных блобов хранилища
• Delegator хранилища BLOB-объектов
• Конструктор данных очереди хранилища
• Считыватель данных очереди хранения
• Очередь хранения данных - обработчик сообщений
• Отправитель данных сообщений в очередь хранения
• Читатель данных таблицы хранилища
• Сотрудник по работе с данными в таблицах хранилища
• Вкладчик с привилегированным доступом к данным файлов хранилища
• Привилегированный читатель данных файлов хранилища

Дополнительные сведения о том, как определены встроенные роли для службы хранилища Azure, см. в статье "Общие сведения о определениях ролей для ресурсов Azure".

Можно также определить пользовательские роли для использования с хранилищем BLOB-объектов и очередями Azure. Дополнительные сведения см. в статье "Создание пользовательских ролей для Управления доступом Azure Role-Based".

Разрешения для вызова операций с данными

В следующих таблицах описаны разрешения, необходимые для пользователя Microsoft Entra, группы, управляемого удостоверения или субъекта-службы для вызова определенных операций службы хранилища Azure. Чтобы клиент мог вызывать определенную операцию, убедитесь, что назначенная роль RBAC клиента предоставляет достаточные разрешения для этой операции.

Разрешения для операций службы BLOB-объектов

Разрешения для операций службы очередей

Разрешения для операций службы таблиц

Разрешения для операций службы файлов

См. также

• Авторизация запросов в службу хранилища Azure