基于角色的 Azure Blob 存储访问

Question

我有 Azure 存储帐户和 Azure VM，上面部署了我的应用程序。我正在使用托管身份验证从 VM 访问 Azure 存储帐户。

现在我希望能够通过使用角色来限制访问。

如何启用角色驱动程序对存储帐户的访问？

我尝试过的场景。

1. 在网络中为存储帐户启用公共访问，无论是否有角色，我都可以访问存储帐户。
2. 禁用公共访问，无论我的角色如何，我总是收到 403 Unauthorized。

Answer 1

我认为您误解了网络下的公共访问。 这并不限制某人根据角色进行访问。 它允许任何公共 IP 地址连接到服务。

如果您禁用公网访问，则需要部署私有端点来访问该服务。

如果要控制基于角色的访问，则需要配置访问控制（IAM）/RBAC。并确保禁用匿名访问，禁用存储密钥访问（可选）。 您可以通过分配存储数据角色之一来配置访问权限https://learn.microsoft.com/en-us/azure/role-based-access-control/built-in-roles#storage（例如存储 Blob 数据）贡献者）可以在存储帐户上，也可以仅在一个容器上。

https://learn.microsoft.com/en-us/azure/storage/blobs/assign-azure-role-data-access?tabs=portal