Bagikan melalui

Tutorial: Menambahkan kondisi penetapan peran untuk membatasi akses ke blob menggunakan portal Microsoft Azure

Dalam kebanyakan kasus, penetapan peran memberikan izin yang Anda butuhkan ke sumber daya Azure. Namun, dalam beberapa kasus Anda mungkin ingin memberikan kontrol akses yang lebih terperinci dengan menambahkan kondisi penetapan peran.

Dalam tutorial ini, Anda akan belajar cara:

  • Menambahkan kondisi ke penetapan peran
  • Membatasi akses ke blob berdasarkan tag indeks pada blob

Penting

Kontrol akses berbasis atribut Azure (Azure ABAC) sekarang tersedia secara umum (GA) untuk mengendalikan akses ke Azure Blob Storage, Azure Data Lake Storage Gen2, dan Azure Queues dengan menggunakan atribut request, resource, environment, dan principal pada tingkat kinerja akun penyimpanan standar dan premium. Saat ini, atribut permintaan daftar blob dan atribut permintaan cuplikan untuk namespace hierarkis sedang dalam PRATINJAU. Untuk informasi lengkap tentang status fitur ABAC untuk Azure Storage, lihat Status fitur kondisi di Azure Storage.

Lihat Ketentuan Penggunaan Tambahan untuk Pratinjau Microsoft Azure untuk mengetahui ketentuan hukum yang berlaku untuk fitur Azure yang dalam tahap beta, pratinjau, atau belum dirilis ke ketersediaan umum.

Prasyarat

Untuk informasi tentang prasyarat untuk menambah atau mengedit kondisi penetapan peran, lihat Prasyarat kondisi.

Keadaan

Dalam tutorial ini, Anda membatasi akses ke blob dengan tag tertentu. Misalnya, Anda menambahkan kondisi ke penetapan peran sehingga Chandra hanya dapat membaca file dengan tag Project=Cascade.

Diagram penetapan peran dengan kondisi.

Jika Chandra mencoba membaca blob tanpa tag Project=Cascade, akses tidak diizinkan.

Diagram memperlihatkan akses baca ke blob dengan tag Project=Cascade.

Berikut tampilan kondisi dalam kode:

(
    (
        !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'}
        AND NOT
        SubOperationMatches{'Blob.List'})
    )
    OR
    (
        @Resource[Microsoft.Storage/storageAccounts/blobServices/containers/blobs/tags:Project<$key_case_sensitive$>] StringEqualsIgnoreCase 'Cascade'
    )
)

Langkah 1: Membuat pengguna

  1. Masuk ke portal Azure sebagai Pemilik langganan.

  2. Pilih Microsoft Entra ID.

  3. Buat pengguna atau temukan pengguna yang sudah ada. Tutorial ini menggunakan Chandra sebagai contoh.

Langkah 2: Menyiapkan penyimpanan

  1. Buat akun penyimpanan yang kompatibel dengan fitur tag indeks blob. Untuk informasi selengkapnya, lihat Mengelola dan menemukan data Azure Blob dengan tag indeks blob.

  2. Buat kontainer baru dalam akun penyimpanan dan atur tingkat akses anonim ke Privat (tanpa akses anonim).

  3. Di kontainer, pilih Unggah untuk membuka panel Unggah blob.

  4. Temukan file teks untuk diunggah.

  5. Pilih Tingkat Lanjut untuk memperluas panel.

  6. Di bagian Tag indeks Blob , tambahkan tag indeks blob berikut ke file teks.

    Jika Anda tidak melihat bagian Tag indeks Blob dan Anda baru saja mendaftarkan langganan, Anda mungkin perlu menunggu beberapa menit agar perubahan disebarluaskan. Untuk informasi selengkapnya, lihat Menggunakan tag indeks blob untuk mengelola dan menemukan data di Azure Blob Storage.

    Nota

    Blob juga mendukung kemampuan untuk menyimpan metadata nilai-kunci arbitrer yang ditentukan pengguna. Meskipun metadata mirip dengan tag indeks blob, Anda harus menggunakan tag indeks blob sesuai dengan kondisi tertentu.

    Kunci Nilai
    Proyek Air terjun

Cuplikan layar memperlihatkan panel Unggah blob dengan bagian Tag indeks blog.

  1. Pilih tombol Unggah untuk mengunggah file.

  2. Unggah file teks kedua.

  3. Tambahkan tag indeks blob berikut ke file teks kedua.

    Kunci Nilai
    Proyek Tukang roti

Langkah 3: Menetapkan peran data blob penyimpanan

  1. Buka grup sumber daya.

  2. Pilih Kontrol akses (IAM).

  3. Pilih tab Penetapan peran untuk melihat penetapan peran pada cakupan ini.

  4. Pilih Tambah>Tambahkan penugasan peran. Halaman Tambahkan penetapan peran terbuka:

Cuplikan layar menu Tambah > penugasan peran.

  1. Pada tab Peran , pilih peran Pembaca Data Blob Penyimpanan .

Cuplikan layar halaman Tambahkan penetapan peran dengan tab Peran.

  1. Pada tab Anggota , pilih pengguna yang Anda buat sebelumnya.

Cuplikan layar halaman Tambahkan penetapan peran dengan tab Anggota.

  1. (Opsional) Dalam kotak Deskripsi , masukkan Akses baca ke blob dengan tag Project=Cascade.

  2. Pilih Selanjutnya.

Langkah 4: Tambahkan kondisi

  1. Pada tab Kondisi (opsional), pilih Tambahkan kondisi. Halaman kondisi penetapan peran tambahan muncul:

Cuplikan layar halaman Tambah kondisi penetapan peran untuk kondisi baru.

  1. Di bagian Tambahkan tindakan, pilih Tambahkan tindakan.

    Panel Pilih tindakan muncul. Panel ini menampilkan daftar tindakan data yang telah difilter berdasarkan pengaturan peran yang akan menjadi target kondisi Anda. Centang kotak di samping Baca blob, lalu pilih Pilih:

Cuplikan layar panel 'Pilih Tindakan' dengan tindakan yang telah dipilih.

  1. Di bagian Ekspresi build, pilih Tambahkan ekspresi.

    Bagian Ekspresi diperluas.

  2. Tentukan pengaturan ekspresi berikut:

    Pengaturan Nilai
    Sumber atribut Sumber Daya
    Karakteristik Tag indeks blob [Nilai dalam kunci]
    Kunci Proyek
    Pengoperasi StringEqualsIgnoreCase
    Nilai Air terjun

Cuplikan layar bagian Build Expression untuk tag indeks blob.

  1. Gulir ke atas ke Jenis editor dan pilih Kode.

    Kondisi ditampilkan sebagai kode. Anda dapat membuat perubahan pada kondisi di editor kode ini. Untuk kembali ke editor visual, pilih Visual.

Cuplikan layar kondisi yang ditampilkan di editor kode.

  1. Pilih Simpan untuk menambahkan kondisi dan kembali ke halaman Tambahkan penetapan peran.

  2. Pilih Selanjutnya.

  3. Pada tab Tinjau dan Tetapkan, pilih Tinjau dan Tetapkan untuk menetapkan peran dengan kondisi.

    Setelah beberapa saat, perwakilan keamanan akan ditetapkan peran di cakupan yang dipilih.

Cuplikan layar daftar penetapan peran setelah menetapkan peran.

Langkah 5: Tetapkan peran Pembaca

  • Ulangi langkah-langkah sebelumnya untuk menetapkan peran Pembaca kepada pengguna yang Anda buat sebelumnya di cakupan grup sumber daya.

    Nota

    Anda biasanya tidak perlu menetapkan peran Pembaca. Namun, ini dilakukan agar Anda dapat menguji kondisi menggunakan portal Microsoft Azure.

Langkah 6: Uji kondisi

  1. Di jendela baru, masuk ke portal Azure.

  2. Masuk sebagai pengguna yang Anda buat sebelumnya.

  3. Buka akun penyimpanan dan kontainer yang Anda buat.

  4. Pastikan bahwa metode autentikasi diatur ke Akun pengguna Microsoft Entra dan bukan kunci Akses.

Cuplikan layar kontainer penyimpanan dengan file pengujian.

  1. Pilih file teks Baker.

    Anda SEHARUSNYA TIDAK dapat melihat atau mengunduh blob, dan pesan gagal otorisasi seharusnya ditampilkan.

  2. Pilih file teks Cascade.

    Anda harus dapat melihat dan mengunduh blob.

Langkah 7: Membersihkan sumber daya

  1. Hapus penetapan peran yang Anda tambahkan.

  2. Hapus akun penyimpanan pengujian yang Anda buat.

  3. Hapus pengguna yang Anda buat.

Langkah selanjutnya

  • Last updated on