Autorizzare l'accesso alle code usando Microsoft Entra ID
Archiviazione di Azure supporta l'uso di Microsoft Entra ID per autorizzare le richieste ai dati della coda. Con Microsoft Entra ID è possibile usare il controllo degli accessi in base al ruolo di Azure per concedere le autorizzazioni a un'entità di sicurezza, che può essere un utente, un gruppo o un'entità servizio dell'applicazione. L'entità di sicurezza viene autenticata da Microsoft Entra ID per restituire un token OAuth 2.0. Il token può quindi essere usato per autorizzare una richiesta al servizio di accodamento.
L'autorizzazione con Microsoft Entra ID offre maggiore sicurezza e facilità d'uso tramite l'autorizzazione con chiave condivisa. Microsoft consiglia di usare l'autorizzazione Di Microsoft Entra con le applicazioni di accodamento quando possibile per garantire l'accesso con privilegi minimi necessari.
L'autorizzazione con Microsoft Entra ID è disponibile per tutti gli account di archiviazione per utilizzo generico in tutte le aree pubbliche e nei cloud nazionali. Solo gli account di archiviazione creati con il modello di distribuzione Azure Resource Manager supportano l'autorizzazione Microsoft Entra.
Panoramica dell'ID Microsoft Entra per le code
Quando un'entità di sicurezza (un utente, un gruppo o un'applicazione) tenta di accedere a una risorsa della coda, la richiesta deve essere autorizzata, a meno che non sia disponibile una coda per l'accesso anonimo. Con Microsoft Entra ID, l'accesso a una risorsa è un processo in due passaggi:
Viene prima di tutto autenticata l'identità dell'entità di sicurezza e viene restituito un token OAuth 2.0.
Per il passaggio di autenticazione è necessario che un'applicazione richieda un token di accesso OAuth 2.0 in fase di esecuzione. Se un'applicazione viene eseguita da un'entità di Azure, ad esempio una macchina virtuale di Azure, un set di scalabilità di macchine virtuali o un'app Funzioni di Azure, può usare un'identità gestita per accedere ai dati della coda.
Successivamente, il token viene passato come parte di una richiesta al servizio di accodamento e usato dal servizio per autorizzare l'accesso alla risorsa specificata.
Il passaggio di autorizzazione richiede che uno o più ruoli controllo degli accessi in base al ruolo di Azure vengano assegnati all'entità di sicurezza che effettua la richiesta. Per altre informazioni, vedere Assegnare ruoli di Azure per i diritti di accesso.
Usare un account Microsoft Entra con il portale, PowerShell o l'interfaccia della riga di comando di Azure
Per informazioni su come accedere ai dati nella portale di Azure con un account Microsoft Entra, vedere Accesso ai dati dal portale di Azure. Per informazioni su come chiamare i comandi di Azure PowerShell o dell'interfaccia della riga di comando di Azure con un account Microsoft Entra, vedere Accesso ai dati da PowerShell o dall'interfaccia della riga di comando di Azure.
Usare Microsoft Entra ID per autorizzare l'accesso nel codice dell'applicazione
Per autorizzare l'accesso a Archiviazione di Azure con Microsoft Entra ID, è possibile usare una delle librerie client seguenti per acquisire un token OAuth 2.0:
- La libreria client di Identità di Azure è consigliata per la maggior parte degli scenari di sviluppo.
- Microsoft Authentication Library (MSAL) può essere adatto per determinati scenari avanzati.
Libreria client di Identità di Azure
La libreria client di Identità di Azure semplifica il processo di recupero di un token di accesso OAuth 2.0 per l'autorizzazione con Microsoft Entra ID tramite Azure SDK. Le versioni più recenti delle librerie client di Archiviazione di Azure per .NET, Java, Python, JavaScript e Go si integrano con le librerie di identità di Azure per ognuno di questi linguaggi per fornire un modo semplice e sicuro per acquisire un token di accesso per l'autorizzazione delle richieste di Archiviazione di Azure.
Un vantaggio della libreria client di Identità di Azure è che consente di usare lo stesso codice per acquisire il token di accesso se l'applicazione è in esecuzione nell'ambiente di sviluppo o in Azure. La libreria client di Identità di Azure restituisce un token di accesso per un'entità di sicurezza. Quando il codice è in esecuzione in Azure, l'entità di sicurezza può essere un'identità gestita per le risorse di Azure, un'entità servizio o un utente o un gruppo. Nell'ambiente di sviluppo, la libreria client fornisce un token di accesso per un utente o un'entità servizio a scopo di test.
Il token di accesso restituito dalla libreria client di Identità di Azure viene incapsulato in una credenziale del token. È quindi possibile usare le credenziali del token per ottenere un oggetto client del servizio da usare per eseguire operazioni autorizzate su Archiviazione di Azure. Un modo semplice per ottenere il token di accesso e le credenziali del token consiste nell'usare la classe DefaultAzureCredential fornita dalla libreria client di Identità di Azure. DefaultAzureCredential tenta di ottenere le credenziali del token provando in sequenza diversi tipi di credenziali. DefaultAzureCredential funziona sia nell'ambiente di sviluppo che in Azure.
La tabella seguente punta a informazioni aggiuntive per autorizzare l'accesso ai dati in vari scenari:
Microsoft Authentication Library (MSAL)
Anche se Microsoft consiglia di usare la libreria client di Identità di Azure quando possibile, la libreria MSAL potrebbe essere appropriata per l'uso in determinati scenari avanzati. Per altre informazioni, vedere Informazioni su MSAL.
Quando si usa MSAL per acquisire un token OAuth per l'accesso a Archiviazione di Azure, è necessario fornire un ID risorsa Microsoft Entra. L'ID risorsa Microsoft Entra indica il gruppo di destinatari per il quale è possibile usare un token rilasciato per fornire l'accesso a una risorsa di Azure. Nel caso di Archiviazione di Azure, l'ID della risorsa può essere specifico di un singolo account di archiviazione o essere valido per qualsiasi account di archiviazione.
Quando si specifica un ID risorsa specifico di un singolo account di archiviazione e servizio, l'ID risorsa viene usato per acquisire un token per autorizzare le richieste solo all'account e al servizio specificati. La tabella seguente elenca il valore da usare per l'ID risorsa, in base al cloud in uso. Sostituire <account-name> con il nome del proprio account di archiviazione.
| Cloud | ID risorsa |
|---|---|
| Azure Global | https://<account-name>.queue.core.windows.net |
| Azure Government | https://<account-name>.queue.core.usgovcloudapi.net |
| Azure Cina 21Vianet | https://<account-name>.queue.core.chinacloudapi.cn |
È anche possibile specificare un ID risorsa applicabile a qualsiasi account di archiviazione, come illustrato nella tabella seguente. Questo ID risorsa è lo stesso per tutti i cloud pubblici e sovrani e viene usato per acquisire un token per autorizzare le richieste a qualsiasi account di archiviazione.
| Cloud | ID risorsa |
|---|---|
| Azure Global Azure Government Azure Cina 21Vianet |
https://storage.azure.com/ |
Assegnare ruoli di Azure per i diritti di accesso
Microsoft Entra autorizza i diritti di accesso alle risorse protette tramite il controllo degli accessi in base al ruolo di Azure. Archiviazione di Azure definisce un set di ruoli controllo degli accessi in base al ruolo predefiniti che includono set comuni di autorizzazioni usate per accedere ai dati della coda. È anche possibile definire ruoli personalizzati per l'accesso ai dati della coda. Per altre informazioni sull'assegnazione dei ruoli di Azure per l'accesso alla coda, vedere Assegnare un ruolo di Azure per l'accesso ai dati della coda.
Un'entità di sicurezza Di Microsoft Entra può essere un utente, un gruppo, un'entità servizio dell'applicazione o un'identità gestita per le risorse di Azure. I ruoli controllo degli accessi in base al ruolo assegnati a un'entità di sicurezza determinano le autorizzazioni che l'entità avrà. Per altre informazioni sull'assegnazione dei ruoli di Azure per l'accesso alla coda, vedere Assegnare un ruolo di Azure per l'accesso ai dati della coda
In alcuni casi potrebbe essere necessario abilitare l'accesso granulare alle risorse della coda o semplificare le autorizzazioni quando si dispone di un numero elevato di assegnazioni di ruolo per una risorsa di archiviazione. È possibile usare il controllo degli accessi in base all'attributo di Azure per configurare le condizioni per le assegnazioni di ruolo. È possibile usare le condizioni con un ruolo personalizzato o selezionare ruoli predefiniti. Per altre informazioni sulla configurazione delle condizioni per le risorse di archiviazione di Azure con il controllo degli accessi in base al ruolo, vedere Autorizzare l'accesso alle code usando le condizioni di assegnazione di ruolo di Azure. Per informazioni dettagliate sulle condizioni supportate per le operazioni sui dati della coda, vedere Azioni e attributi per le condizioni di assegnazione di ruolo di Azure per le code di Azure.
Nota
Quando si crea un account Archiviazione di Azure, non vengono assegnate automaticamente le autorizzazioni per accedere ai dati tramite Microsoft Entra ID. È necessario assegnare in modo esplicito a se stessi un ruolo di Azure per l'accesso a Queue Archiviazione. È possibile assegnarlo a livello di sottoscrizione, gruppo di risorse, account di archiviazione o coda.
Ambito risorsa
Prima di assegnare un ruolo controllo degli accessi in base al ruolo di Azure a un'entità di sicurezza, determinare l'ambito di accesso che l'entità di sicurezza deve avere. In base alle procedure consigliate, è sempre preferibile concedere solo l'ambito più restrittivo possibile. I ruoli controllo degli accessi in base al ruolo di Azure definiti in un ambito più ampio vengono ereditati dalle risorse sottostanti.
È possibile definire l'ambito dell'accesso alle risorse della coda di Azure ai livelli seguenti, a partire dall'ambito più ristretto:
- Una singola coda. In questo ambito, un'assegnazione di ruolo si applica ai messaggi nella coda e alle proprietà e ai metadati della coda.
- L'account di archiviazione. In questo ambito, un'assegnazione di ruolo si applica a tutte le code e ai relativi messaggi.
- Il gruppo di risorse. In questo ambito, un'assegnazione di ruolo si applica a tutte le code in tutti gli account di archiviazione nel gruppo di risorse.
- La sottoscrizione. In questo ambito, un'assegnazione di ruolo si applica a tutte le code in tutti gli account di archiviazione in tutti i gruppi di risorse nella sottoscrizione.
- Un gruppo di gestione. In questo ambito, un'assegnazione di ruolo si applica a tutte le code in tutti gli account di archiviazione in tutti i gruppi di risorse in tutte le sottoscrizioni del gruppo di gestione.
Per altre informazioni sull'ambito per le assegnazioni di ruolo di Controllo degli accessi in base al ruolo di Azure, vedere Informazioni sull'ambito per il controllo degli accessi in base al ruolo di Azure.
Ruoli predefiniti di Azure per le code
Il controllo degli accessi in base al ruolo di Azure offre diversi ruoli predefiniti per autorizzare l'accesso ai dati della coda usando Microsoft Entra ID e OAuth. Alcuni esempi di ruoli che forniscono autorizzazioni per le risorse dati in Archiviazione di Azure includono:
- Collaboratore ai dati della coda di archiviazione: Consente di concedere le autorizzazioni di lettura, scrittura ed eliminazione alle code di Azure.
- Lettore dei dati della coda di archiviazione: Consente di concedere le autorizzazioni di sola lettura alle code di Azure.
- Ruolo con autorizzazioni di elaborazione per i messaggi sui dati della coda di archiviazione: consente di concedere autorizzazioni di visualizzazione, recupero ed eliminazione per i messaggi nelle code di Archiviazione di Azure.
- Mittente dei messaggi sui dati della coda di archiviazione: consente di concedere autorizzazioni di aggiunta per i messaggi nelle code di Archiviazione di Azure.
Per informazioni su come assegnare un ruolo predefinito di Azure a un'entità di sicurezza, vedere Assegnare un ruolo di Azure per l'accesso ai dati della coda. Per informazioni su come elencare i ruoli controllo degli accessi in base al ruolo di Azure e le relative autorizzazioni, vedere Elencare le definizioni dei ruoli di Azure.
Per altre informazioni sul modo in cui vengono definiti i ruoli predefiniti per Archiviazione di Azure, vedere Informazioni sulle definizioni di ruolo. Per informazioni sulla creazione di ruoli personalizzati di Azure, vedere Ruoli personalizzati di Azure.
Solo i ruoli definiti in modo esplicito per l'accesso ai dati consentono a un'entità di sicurezza di accedere ai dati della coda. I ruoli predefiniti, ad esempio Proprietario, Collaboratore e Archiviazione Collaboratore account, consentono a un'entità di sicurezza di gestire un account di archiviazione, ma non forniscono l'accesso ai dati della coda all'interno di tale account tramite Microsoft Entra ID. Tuttavia, se un ruolo include Microsoft.Archiviazione/storageAccounts/listKeys/action, quindi un utente a cui è assegnato tale ruolo può accedere ai dati nell'account di archiviazione tramite l'autorizzazione chiave condivisa con le chiavi di accesso dell'account. Per altre informazioni, vedere Scegliere come autorizzare l'accesso ai dati della coda nel portale di Azure.
Per informazioni dettagliate sui ruoli predefiniti di Azure per Archiviazione di Azure, sia per i servizi dati che per il servizio di gestione, vedere la sezione Archiviazione in Ruoli predefiniti di Azure per il controllo degli accessi in base al ruolo di Azure. Per informazioni sui diversi tipi di ruoli che forniscono autorizzazioni in Azure, vedere Ruoli di Azure, ruoli di Microsoft Entra e ruoli di amministratore della sottoscrizione classica.
Importante
La propagazione delle assegnazioni di ruolo di Azure può richiedere fino a 30 minuti.
Autorizzazioni di accesso per le operazioni dei dati
Per informazioni dettagliate sulle autorizzazioni necessarie per chiamare operazioni specifiche del servizio di accodamento, vedere Autorizzazioni per chiamare le operazioni sui dati.
Accedere ai dati con un account Microsoft Entra
L'accesso ai dati della coda tramite il portale di Azure, PowerShell o l'interfaccia della riga di comando di Azure può essere autorizzato usando l'account Microsoft Entra dell'utente o usando le chiavi di accesso dell'account (autorizzazione con chiave condivisa).
Attenzione
L'autorizzazione con chiave condivisa non è consigliata perché potrebbe essere meno sicura. Per una sicurezza ottimale, disabilitare l'autorizzazione tramite chiave condivisa per l'account di archiviazione, come descritto in Impedire l'autorizzazione con chiave condivisa per un account Archiviazione di Azure.
L'uso di chiavi di accesso e stringa di connessione deve essere limitato alle app di verifica iniziali o ai prototipi di sviluppo che non accedono a dati sensibili o di produzione. In caso contrario, le classi di autenticazione basate su token disponibili in Azure SDK devono essere sempre preferite quando si esegue l'autenticazione alle risorse di Azure.
Microsoft consiglia ai client di usare l'ID Microsoft Entra o una firma di accesso condiviso per autorizzare l'accesso ai dati in Archiviazione di Azure. Per altre informazioni, vedere Autorizzare le operazioni per l'accesso ai dati.
Accesso ai dati dal portale di Azure
Il portale di Azure può usare l'account Microsoft Entra o le chiavi di accesso dell'account per accedere ai dati della coda in un account di archiviazione di Azure. Lo schema di autorizzazione usato dal portale di Azure dipende dai ruoli di Azure assegnati all'utente.
Quando si tenta di accedere ai dati della coda, il portale di Azure controlla prima di tutto se è stato assegnato un ruolo di Azure con Microsoft.Archiviazione/storageAccounts/listkeys/action. Se è stato assegnato un ruolo con questa azione, il portale di Azure usa la chiave dell'account per accedere ai dati della coda tramite l'autorizzazione con chiave condivisa. Se non è stato assegnato un ruolo con questa azione, il portale di Azure tenta di accedere ai dati usando l'account Microsoft Entra.
Per accedere ai dati della coda dal portale di Azure usando l'account Microsoft Entra, sono necessarie autorizzazioni per accedere ai dati della coda e sono necessarie anche le autorizzazioni per spostarsi tra le risorse dell'account di archiviazione nel portale di Azure. I ruoli predefiniti forniti da Archiviazione di Azure concedere l'accesso alle risorse della coda, ma non concedono le autorizzazioni alle risorse dell'account di archiviazione. Per questo motivo, l'accesso al portale richiede anche l'assegnazione di un ruolo di Azure Resource Manager, ad esempio il ruolo Lettore, il cui ambito rientra nel livello di account di archiviazione o superiore. Il ruolo Lettore concede le autorizzazioni più limitate, ma è accettabile anche un altro ruolo di Azure Resource Manager che conceda l'accesso alle risorse di gestione degli account di archiviazione. Per altre informazioni su come assegnare autorizzazioni agli utenti per l'accesso ai dati nel portale di Azure con un account Microsoft Entra, vedere Assegnare un ruolo di Azure per l'accesso ai dati della coda.
Il portale di Azure indica quale schema di autorizzazione è in uso quando si passa a una coda. Per altre informazioni sull'accesso ai dati nel portale, vedere Scegliere come autorizzare l'accesso ai dati della coda nel portale di Azure.
Accesso ai dati da PowerShell o dall'interfaccia della riga di comando di Azure
L'interfaccia della riga di comando di Azure e PowerShell supportano l'accesso con le credenziali di Microsoft Entra. Dopo l'accesso, la sessione viene eseguita con tali credenziali. Per altre informazioni, vedere uno degli articoli seguenti:
- Scegliere come autorizzare l'accesso ai dati della coda con l'interfaccia della riga di comando di Azure
- Eseguire comandi di PowerShell con le credenziali di Microsoft Entra per accedere ai dati della coda