Volba způsobu autorizace přístupu k datům objektů blob na webu Azure Portal

Když přistupujete k datům objektů blob pomocí webu Azure Portal, portál odešle požadavky do služby Azure Storage v rámci krytu. Požadavek na službu Azure Storage je možné autorizovat pomocí vašeho účtu Microsoft Entra nebo pomocí přístupového klíče účtu úložiště. Na portálu vidíte, jakou metodu používáte, a pokud máte příslušná oprávnění, můžete mezi těmito dvěma metodami přepínat.

Oprávnění potřebná pro přístup k datům objektů blob

V závislosti na tom, jak chcete autorizovat přístup k datům objektů blob na webu Azure Portal, potřebujete konkrétní oprávnění. Ve většině případů se tato oprávnění poskytují prostřednictvím řízení přístupu na základě role v Azure (Azure RBAC). Další informace o Azure RBAC najdete v tématu Co je řízení přístupu na základě role v Azure (Azure RBAC)?

Použití přístupového klíče účtu

Pokud chcete získat přístup k datům objektů blob pomocí přístupového klíče účtu, musíte mít přiřazenou roli Azure, která zahrnuje akci Azure RBAC Microsoft.Storage/storageAccounts/listkeys/action. Tato role Azure může být integrovaná nebo vlastní role.

Následující předdefinované role uvedené od nejmenších po největší oprávnění podporují Microsoft.Storage/storageAccounts/listkeys/action:

• Čtenář a přístup k datům
• Přispěvatel účtů úložiště
• Přispěvatel Azure Resource Manageru
• Vlastník Azure Resource Manageru

Když se pokusíte získat přístup k datům objektů blob na webu Azure Portal, portál nejprve zkontroluje, jestli máte přiřazenou roli s Microsoft.Storage/storageAccounts/listkeys/action. Pokud jste k této akci přiřadili roli, použije portál klíč účtu pro přístup k datům objektů blob. Pokud jste k této akci nepřiřadili roli, portál se pokusí získat přístup k datům pomocí účtu Microsoft Entra.

Důležité

Pokud je účet úložiště uzamčený zámkem Jen pro čtení Azure Resource Manageru, operace Výpis klíčů není pro tento účet úložiště povolená. Seznam klíčů je operace POST a všechny operace POST jsou znemožněné, pokud je pro účet nakonfigurovaný zámek Jen pro čtení . Z tohoto důvodu musí uživatelé při uzamčení účtu použít přihlašovací údaje Microsoft Entra pro přístup k datům objektů blob na portálu. Informace o přístupu k datům objektů blob na portálu s ID Microsoft Entra najdete v tématu Použití účtu Microsoft Entra.

Poznámka:

Klasické role správce předplatného Service Administrator a Spolusprávce zahrnují ekvivalent role vlastníka Azure Resource Manageru. Role Vlastník zahrnuje všechny akce, včetně Microsoft.Storage/storageAccounts/listkeys/action, takže uživatel s jednou z těchto rolí pro správu může také přistupovat k datům objektů blob pomocí klíče účtu. Další informace najdete v tématu Role Azure, role Microsoft Entra a klasické role správce předplatného.

Použití účtu Microsoft Entra

Pokud chcete získat přístup k datům objektů blob z webu Azure Portal pomocí účtu Microsoft Entra, musí být pro vás oba následující příkazy pravdivé:

• Máte přiřazenou předdefinované nebo vlastní roli, která poskytuje přístup k datům objektů blob.
• Máte přiřazenou minimálně roli Čtenář v Azure Resource Manageru s rozsahem vymezeným na úroveň účtu úložiště nebo vyšší. Role Čtenář uděluje nejomezenější oprávnění, ale je možné použít také jinou roli Azure Resource Manageru, která uděluje přístup k prostředkům pro správu účtu úložiště.

Role Čtenář Azure Resource Manageru umožňuje uživatelům zobrazovat prostředky účtu úložiště, ale ne je upravovat. Neposkytuje oprávnění ke čtení dat ve službě Azure Storage, ale pouze k prostředkům pro správu účtů. Role Čtenář je nezbytná, aby uživatelé mohli přejít na kontejnery objektů blob na webu Azure Portal.

Informace o předdefinovaných rolích, které podporují přístup k datům objektů blob, najdete v tématu Autorizace přístupu k objektům blob pomocí ID Microsoft Entra.

Vlastní role můžou podporovat různé kombinace stejných oprávnění poskytovaných předdefinovanými rolemi. Další informace o vytváření vlastních rolí Azure najdete v tématu Vlastní role Azure a Vysvětlení definic rolí pro prostředky Azure.

Přechod na objekty blob na webu Azure Portal

Pokud chcete zobrazit data objektů blob na portálu, přejděte do přehledu účtu úložiště a vyberte odkazy pro objekty blob. Alternativně můžete přejít do části Kontejnery v nabídce.

Určení aktuální metody ověřování

Když přejdete do kontejneru, Azure Portal označuje, jestli k ověření aktuálně používáte přístupový klíč účtu nebo účet Microsoft Entra.

Ověření pomocí přístupového klíče účtu

Pokud ověřujete pomocí přístupového klíče účtu, zobrazí se přístupový klíč zadaný jako metoda ověřování na portálu:

Pokud chcete přepnout na používání účtu Microsoft Entra, vyberte na obrázku zvýrazněný odkaz. Pokud máte příslušná oprávnění prostřednictvím rolí Azure, které jsou vám přiřazené, můžete pokračovat. Pokud nemáte správná oprávnění, zobrazí se chybová zpráva a v seznamu se nezobrazí žádné objekty blob.

Pokud chcete znovu použít přístupový klíč pro ověření, vyberte odkaz Přepnout na přístupový klíč.

Ověření pomocí účtu Microsoft Entra

Pokud ověřujete pomocí svého účtu Microsoft Entra, na portálu se zobrazí uživatelský účet Microsoft Entra zadaný jako metoda ověřování:

Pokud chcete přepnout na použití přístupového klíče účtu, vyberte na obrázku zvýrazněný odkaz. Pokud máte přístup k klíči účtu, můžete pokračovat. Pokud nemáte přístup k klíči účtu, zobrazí se chybová zpráva a v seznamu se nezobrazí žádné objekty blob.

Vyberte odkaz Přepnout na uživatelský účet Microsoft Entra a znovu použijte svůj účet Microsoft Entra pro ověření.

Výchozí oprávnění Microsoft Entra na webu Azure Portal

Když vytvoříte nový účet úložiště, můžete určit, že azure Portal ve výchozím nastavení autorizaci pomocí ID Microsoft Entra při přechodu uživatele na data objektů blob. Toto nastavení můžete také nakonfigurovat pro existující účet úložiště. Toto nastavení určuje pouze výchozí metodu autorizace, proto mějte na paměti, že uživatel může toto nastavení přepsat a rozhodnout se autorizovat přístup k datům pomocí klíče účtu.

Pokud chcete určit, že portál by měl při vytváření účtu úložiště používat autorizaci Microsoft Entra ve výchozím nastavení pro přístup k datům, postupujte takto:

1. Vytvořte nový účet úložiště podle pokynů v části Vytvoření účtu úložiště.

2. Na kartě Upřesnit v části Zabezpečení zaškrtněte na webu Azure Portal políčko Vedle výchozí autorizace Microsoft Entra.

   

3. Výběrem tlačítka Zkontrolovat a vytvořit spusťte ověření a vytvořte účet.

Chcete-li aktualizovat toto nastavení pro existující účet úložiště, postupujte takto:

1. Na webu Azure Portal přejděte na přehled účtu.

2. V části Nastavení vyberte Konfigurace.

3. Na webu Azure Portal nastavte výchozí oprávnění Microsoft Entra na Povoleno.

   

Výchozí vlastnostToOAuthAuthentication účtu úložiště není ve výchozím nastavení nastavená a nevrací hodnotu, dokud ji explicitně nenastavíte.

Další kroky

• Autorizace přístupu k datům ve službě Azure Storage
• Přiřazení role Azure pro přístup k datům objektů blob