コンテナーと BLOB 用の匿名読み取りアクセスを構成する

[アーティクル]
10/22/2023

Azure Storage は、オプションでコンテナーと BLOB の匿名読み取りアクセスをサポートします。既定では、データへの匿名アクセスは許可されません。匿名アクセスを明示的に有効にしない限り、コンテナーとその BLOB へのすべての要求には承認が必要です。コンテナーのアクセスレベル設定を構成して匿名アクセスを許可すると、クライアントは要求を承認することなくそのコンテナー内のデータを読み取ることができます。

警告

匿名アクセス用にコンテナーを構成すると、任意のクライアントがそのコンテナー内のデータを読み取ることができます。匿名アクセスによりセキュリティリスクの可能性が生まれるため、シナリオで必要な場合を除き、ストレージアカウントに対する匿名アクセスを修正するようお勧めします。

この記事では、コンテナーとその BLOB への匿名読み取りアクセスを構成する方法について説明します。最適なセキュリティのために匿名アクセスを修復する方法については、次のいずれかの記事を参照してください。

匿名読み取りアクセスについて

データへの匿名アクセスは既定で常に禁止されています。匿名アクセスに影響を与える 2 つの個別の設定があります。

ストレージアカウントの匿名アクセスの設定。 Azure Resource Manager ストレージアカウントは、アカウントの匿名アクセスを許可または禁止する設定を提供します。最適なセキュリティを確保するために、Microsoft はストレージアカウントに対する匿名アクセスを禁止することをお勧めします。

アカウントレベルで匿名アクセスを許可すると、ユーザーがコンテナーの匿名アクセス設定を明示的に構成する追加の手順を実行しない限り、BLOB データは匿名読み取りアクセス用に使用できません。
コンテナーの匿名アクセスの設定。 既定では、コンテナーの匿名アクセス設定は無効になっています。つまり、コンテナーやそのデータへのすべての要求には承認が必要となります。ストレージアカウントの匿名アクセスを許可している場合のみ、適切なアクセス許可を持つユーザーはコンテナーの匿名アクセス設定を変更して、匿名アクセスを有効化できます。

次の表に、この 2 つの設定がコンテナーの匿名アクセスにどのように影響するのかまとめます。

	コンテナーの匿名アクセスレベルがプライベートに設定されている (既定の設定)	コンテナーの匿名アクセスレベルがコンテナーに設定されている	コンテナーの匿名アクセスレベルが BLOB に設定されている
ストレージアカウントの匿名アクセスが禁止されている	ストレージアカウントのどのコンテナーにも匿名アクセスできない。	ストレージアカウントのどのコンテナーにも匿名アクセスできない。ストレージアカウントの設定は、コンテナーの設定をオーバーライドする。	ストレージアカウントのどのコンテナーにも匿名アクセスできない。ストレージアカウントの設定は、コンテナーの設定をオーバーライドする。
ストレージアカウントの匿名アクセスが許可されている	このコンテナーへの匿名アクセスはできない (既定の構成)。	このコンテナーとその BLOB への匿名アクセスが許可される。	このコンテナーの BLOB への匿名アクセスは許可されるが、コンテナーそのものに対しては許可されない。

ストレージアカウントで匿名アクセスが許可され、特定のコンテナーに対して構成されると、そのコンテナー内で Authorization ヘッダーなしで渡された BLOB を読み取る要求はサービスで受諾され、その BLOB のデータが応答で返されます。

ストレージアカウントの匿名読み取りアクセスを許可または禁止する

ストレージアカウントの匿名アクセスを許可すると、適切なアクセス許可を持つユーザーはコンテナーの匿名アクセス設定を変更して、そのコンテナー内のデータへの匿名アクセスを有効化できます。ユーザーが追加の手順を実施してコンテナーの匿名アクセス設定を明示的に構成しない限り、BLOB データへの匿名アクセスはできません。

コンテナーへの匿名アクセスは既定で常に無効化されているため、匿名の要求を許可するには明示的に構成する必要があることに注意してください。ストレージアカウントの設定に関わりなく、適切なアクセス許可を持つユーザーがこの追加手順によってコンテナー上で匿名アクセスを有効化しない限り、データへの匿名アクセスが可能になることはありません。

ストレージアカウントの匿名アクセスを禁止すると、そのストレージアカウント内のすべてのコンテナーのアクセス設定がオーバーライドされ、そのアカウント内の BLOB データへの匿名アクセスができなくなります。アカウントの匿名アクセスを禁止すると、コンテナーのアクセス設定を構成して匿名アクセスを許可することはできなくなり、それ以降のそのアカウントへの匿名アクセスは失敗します。この設定を変更する前に、ストレージアカウントのデータに匿名でアクセスしている可能性があるクライアントアプリケーションへの影響を理解しておいてください。詳細については、「コンテナーと BLOB への匿名読み取りアクセスを防止する」を参照してください。

重要

ストレージアカウントの匿名アクセスが禁止されると、匿名ベアラーチャレンジを使用するクライアントには Azure Storage から 401 エラー (未承認) ではなく 403 エラー (禁止) が返されます。この問題を軽減するために、すべてのコンテナーをプライベートにすることをお勧めします。コンテナーの匿名アクセス設定の変更の詳細については、「コンテナーのアクセスレベルを設定する」を参照してください。

匿名アクセスを許可または禁止するには、Azure Storage リソースプロバイダーのバージョンが 2019-04-01 以降である必要があります。詳細については、Azure Storage リソースプロバイダー REST API」に関するページを参照してください。

匿名アクセスを禁止するためのアクセス許可

ストレージアカウントの AllowBlobAnonymousAccess プロパティを設定するには、ストレージアカウントを作成および管理するためのアクセス許可がユーザーに必要です。これらのアクセス許可を提供する Azure ロールベースのアクセス制御 (Azure RBAC) ロールには、Microsoft.Storage/storageAccounts/write アクションが含まれています。このアクションの組み込みロールには、次のようなロールがあります。

Azure Resource Manager の所有者ロール
Azure Resource Manager の共同作成者ロール
Storage Account の共同作成者ロール

ユーザーがストレージアカウントの匿名アクセスを禁止できるようにするには、ロールの割り当てのスコープをストレージアカウント以上のレベルにする必要があります。ロールスコープの詳細については、「Azure RBAC のスコープについて」を参照してください。

これらのロールを割り当てる際には、ストレージアカウントを作成したり、そのプロパティを更新したりする機能を必要とする管理ユーザーにのみ割り当てるように、注意してください。最小限の特権の原則を使用して、ユーザーに、それぞれのタスクを実行するのに必要な最小限のアクセス許可を割り当てるようにします。 Azure RBAC でアクセスを管理する方法の詳細については、「Azure RBAC のベストプラクティス」を参照してください。

これらのロールでは、Microsoft Entra ID を使用してストレージアカウントのデータにアクセスすることはできません。ただし、アカウントアクセスキーへのアクセスを許可する Microsoft.Storage/storageAccounts/listkeys/action が含まれています。このアクセス許可では、ユーザーがアカウントアクセスキーを使用して、ストレージアカウント内のすべてのデータにアクセスできます。

Microsoft.Storage/storageAccounts/listkeys/action 自体は、アカウントキーを使用してデータアクセスを許可しますが、ストレージアカウントの AllowBlobPublicAccess プロパティを変更する機能はユーザーに付与されません。ストレージアカウント内のデータにアクセスする必要があるが、ストレージアカウントの構成を変更できないようにする必要があるユーザーの場合は、ストレージ BLOB データ共同作成者、ストレージ BLOB データ閲覧者、閲覧者とデータアクセスなどのロールを割り当てることを検討してください。

Note

従来のサブスクリプション管理者ロールであるサービス管理者と共同管理者には、Azure Resource Manager の所有者ロールと同等のものが含まれています。 所有者ロールにはすべてのアクションが含まれているため、これらの管理者ロールのいずれかを持つユーザーも、ストレージアカウントを作成し、アカウント構成を管理することができます。詳細については、「Azure ロール、Microsoft Entra ロール、従来のサブスクリプション管理者ロール」を参照してください。

ストレージアカウントの AllowBlobPublicAccess プロパティを設定する

ストレージアカウントの匿名アクセスを許可または禁止するには、アカウントの AllowBlobPublicAccess プロパティを設定します。このプロパティは、Azure Resource Manager デプロイモデルで作成されたすべてのストレージアカウントで使用できます。詳細については、「ストレージアカウントの概要」を参照してください。

Azure portal でストレージアカウントの匿名アクセスを許可または禁止するには、次の手順を実行します。

Azure Portal のストレージアカウントに移動します。
[設定] から [構成] 設定を探します。
[BLOB の匿名アクセスを許可する] を [有効] または [無効] に設定します。

PowerShell を使用してストレージアカウントの匿名アクセスを許可または禁止するには、Azure PowerShell バージョン 4.4.0 以降をインストールします。次に、新規または既存のストレージアカウントに AllowBlobPublicAccess プロパティを構成します。

次の例では、ストレージアカウントを作成し、明示的に AllowBlobPublicAccess プロパティを false に設定しています。かっこ内のプレースホルダー値を独自の値に置き換えることを忘れないでください。

$rgName = "<resource-group>"
$accountName = "<storage-account>"
$location = "<location>"

# Create a storage account with AllowBlobPublicAccess explicitly set to false.
New-AzStorageAccount -ResourceGroupName $rgName `
    -Name $accountName `
    -Location $location `
    -SkuName Standard_GRS `
    -AllowBlobPublicAccess $false

# Read the AllowBlobPublicAccess property for the newly created storage account.
(Get-AzStorageAccount -ResourceGroupName $rgName -Name $accountName).AllowBlobPublicAccess

Azure CLI を使用してストレージアカウントの匿名アクセスを許可または禁止するには、Azure CLI バージョン 2.9.0 以降をインストールします。詳細については、「 Azure CLI のインストール」を参照してください。次に、新規または既存のストレージアカウントに allowBlobPublicAccess プロパティを構成します。

次の例では、ストレージアカウントを作成し、明示的に allowBlobPublicAccess プロパティを false に設定しています。かっこ内のプレースホルダー値を独自の値に置き換えることを忘れないでください。

az storage account create \
    --name <storage-account> \
    --resource-group <resource-group> \
    --kind StorageV2 \
    --location <location> \
    --allow-blob-public-access false

az storage account show \
    --name <storage-account> \
    --resource-group <resource-group> \
    --query allowBlobPublicAccess \
    --output tsv

テンプレートを使用してストレージアカウントの匿名アクセスを許可または禁止するには、AllowBlobPublicAccess プロパティを true または false に設定してテンプレートを作成します。次の手順は、Azure portal でテンプレートを作成する方法について説明しています。

Azure portal で、 [リソースの作成] を選択します。
[Search services and marketplace] (サービスと Marketplace を検索) で「template deployment」と入力し、Enter キーを押します。
[Template deployment (deploy using custom templates) (preview)] (テンプレートのデプロイ (カスタムテンプレートを使用してデプロイ))、[作成]、[エディターで独自のテンプレートを作成する] の順に選びます。

テンプレートエディターで、次の JSON を貼り付けて新しいアカウントを作成し、AllowBlobPublicAccess プロパティを true または false に設定します。山かっこ内のプレースホルダーは、実際の値に置き換えてください。

{
    "$schema": "https://schema.management.azure.com/schemas/2015-01-01/deploymentTemplate.json#",
    "contentVersion": "1.0.0.0",
    "parameters": {},
    "variables": {
        "storageAccountName": "[concat(uniqueString(subscription().subscriptionId), 'template')]"
    },
    "resources": [
        {
        "name": "[variables('storageAccountName')]",
        "type": "Microsoft.Storage/storageAccounts",
        "apiVersion": "2019-06-01",
        "location": "<location>",
        "properties": {
            "allowBlobPublicAccess": false
        },
        "dependsOn": [],
        "sku": {
          "name": "Standard_GRS"
        },
        "kind": "StorageV2",
        "tags": {}
        }
    ]
}

テンプレートを保存します。
リソースグループパラメーターを指定し、 [レビューと作成] ボタンを選択してテンプレートをデプロイし、allowBlobPublicAccess プロパティが構成されたストレージアカウントを作成します。

Note

ストレージアカウントの匿名アクセスを禁止しても、そのストレージアカウントでホストされている静的な Web サイトには影響しません。 $web コンテナーは常にパブリックアクセスが可能です。

ストレージアカウントの匿名アクセス設定を更新した後、変更が完全に反映されるまでに最大で 30 秒かかることがあります。

匿名アクセス用にコンテナーを構成している場合、そのコンテナー内の BLOB を読み取る要求を許可する必要はありません。ただし、ストレージアカウントに対して構成されているファイアウォール規則は引き続き有効であり、構成された ACL を使用してトラフィックをインラインでブロックします。

このセクションの例では、ストレージアカウントの AllowBlobPublicAccess プロパティを読み取り、匿名アクセスが現在許可されているか禁止されているか確認する方法を示しました。匿名アクセスができなくなるようにアカウントの匿名アクセス設定が構成されていることを確認する方法については、「ストレージアカウントの匿名アクセスを修正する」を参照してください。

コンテナーの匿名アクセスレベルの設定

匿名ユーザーにコンテナーとその BLOB に対する読み取りアクセスを許可するには、まずストレージアカウントの匿名アクセスを許可してから、コンテナーの匿名アクセスレベルを設定します。ストレージアカウントの匿名アクセスが拒否されている場合、コンテナーの匿名アクセスを構成することはできません。

注意事項

Microsoft では、ストレージアカウント内の BLOB データへの匿名アクセスを許可しないようお勧めします。

ストレージアカウントの匿名アクセスが許可されている場合、次のアクセス許可を使用してコンテナーを構成できます。

パブリック読み取りアクセスなし: コンテナーとその BLOB には、承認された要求を使用しなければアクセスできません。このオプションは、すべての新しいコンテナーの既定値です。
BLOB に限定したパブリック読み取りアクセス: コンテナー内の BLOB は匿名要求で読み取り可能ですが、コンテナーデータは匿名では使用できません。匿名クライアントはコンテナー内の BLOB を列挙することはできません。
コンテナーとその BLOB に対するパブリック読み取りアクセス: コンテナーと BLOB のデータは、コンテナーのアクセス許可設定とコンテナーのメタデータを除いて、匿名要求によって読み取ることができます。クライアントは匿名要求でコンテナー内の BLOB を列挙できますが、ストレージアカウント内のコンテナーを列挙することはできません。

個々の BLOB の匿名アクセスレベルを変更することはできません。匿名アクセスレベルはコンテナーレベルでのみ設定されます。コンテナーの作成時にコンテナーの匿名アクセスレベルを設定することもできれば、既存のコンテナーで設定を更新することもできます。

Azure portal で 1 つ以上の既存のコンテナーの匿名アクセスレベルを更新するには、次の手順を実行します。

Azure portal でご利用のストレージアカウントの概要に移動します。
メニューブレードの [データストレージ] で [コンテナー] を選択します。
匿名アクセスレベルを設定するコンテナーを選択します。
[アクセスレベルの変更] ボタンを使用して、匿名アクセス設定を表示します。
[匿名アクセスレベル] ドロップダウンから目的の匿名アクセスレベルを選択し、[OK] ボタンをクリックして選択したコンテナーに変更を適用します。

ストレージアカウントの匿名アクセスが禁止されている場合、コンテナーの匿名アクセスレベルは設定できません。コンテナーの匿名アクセスレベルを設定しようとすると、アカウントの匿名アクセスが禁止されているため設定が無効化されます。

Screenshot showing that setting a container's anonymous access level is blocked when anonymous access disallowed for the account

PowerShell を使用して 1 つ以上のコンテナーの匿名アクセスレベルを更新するには、Set-AzStorageContainerAcl コマンドを呼び出します。アカウントキー、接続文字列、または Shared Access Signature (SAS) を渡すことによって、この操作を承認します。コンテナーの匿名アクセスレベルを設定する Set Container ACL 操作では、Microsoft Entra ID による承認はサポートされません。詳細については、「Blob および queue データ操作を呼び出す権限」を参照してください。

次の例では、匿名アクセスが無効なコンテナーを作成した後、コンテナーの匿名アクセス設定を更新してコンテナーとその BLOB への匿名アクセスを許可します。かっこ内のプレースホルダー値を独自の値に置き換えることを忘れないでください。

# Set variables.
$rgName = "<resource-group>"
$accountName = "<storage-account>"
# Get context object.
$storageAccount = Get-AzStorageAccount -ResourceGroupName $rgName -Name $accountName
$ctx = $storageAccount.Context
# Create a new container with anonymous access setting set to Off.
$containerName = "<container>"
New-AzStorageContainer -Name $containerName -Permission Off -Context $ctx
# Read the container's anonymous access setting.
Get-AzStorageContainerAcl -Container $containerName -Context $ctx
# Update the container's anonymous access setting to Container.
Set-AzStorageContainerAcl -Container $containerName -Permission Container -Context $ctx
# Read the container's anonymous access setting.
Get-AzStorageContainerAcl -Container $containerName -Context $ctx

ストレージアカウントの匿名アクセスが禁止されている場合、コンテナーの匿名アクセスレベルは設定できません。コンテナーの匿名アクセスレベルを設定しようとすると、ストレージアカウントで匿名アクセスが許可されていないことを知らせるエラーが Azure Storage から返されます。

Azure CLI を使用して 1 つ以上のコンテナーの匿名アクセスレベルを更新するには、az storage container set permission コマンドを呼び出します。アカウントキー、接続文字列、または Shared Access Signature (SAS) を渡すことによって、この操作を承認します。コンテナーの匿名アクセスレベルを設定する Set Container ACL 操作では、Microsoft Entra ID による承認はサポートされません。詳細については、「Blob および queue データ操作を呼び出す権限」を参照してください。

az storage container create \
    --name <container-name> \
    --account-name <account-name> \
    --resource-group <resource-group>
    --public-access off \
    --account-key <account-key> \
    --auth-mode key
az storage container show-permission \
    --name <container-name> \
    --account-name <account-name> \
    --account-key <account-key> \
    --auth-mode key
az storage container set-permission \
    --name <container-name> \
    --account-name <account-name> \
    --public-access container \
    --account-key <account-key> \
    --auth-mode key
az storage container show-permission \
    --name <container-name> \
    --account-name <account-name> \
    --account-key <account-key> \
    --auth-mode key

複数のコンテナーの匿名アクセス設定の確認

コンテナーを一覧表示して匿名アクセス設定を確認することによって、1 つ以上のストレージアカウントのどのコンテナーが匿名アクセス用に構成されているか確認できます。この方法は、ストレージアカウントに多数のコンテナーが含まれていない場合や、少数のストレージアカウントにまたがって設定を確認する場合に実用的な選択肢です。ただし、多数のコンテナーを列挙しようとすると、パフォーマンスが低下する可能性があります。

次の例では、PowerShell を使用して、ストレージアカウントのすべてのコンテナーの匿名アクセス設定を取得します。かっこ内のプレースホルダー値を独自の値に置き換えることを忘れないでください。

$rgName = "<resource-group>"
$accountName = "<storage-account>"
$storageAccount = Get-AzStorageAccount -ResourceGroupName $rgName -Name $accountName
$ctx = $storageAccount.Context
Get-AzStorageContainer -Context $ctx | Select Name, PublicAccess

機能サポート

Data Lake Storage Gen2、Network File System (NFS) 3.0 プロトコル、または SSH ファイル転送プロトコル (SFTP) を有効にすると、この機能のサポートが影響を受ける場合があります。これらの機能のいずれかを有効にしている場合は、「Azure Storage アカウントでの Blob Storage 機能のサポート」を参照して、この機能のサポートを評価してください。

コンテナーと BLOB 用の匿名読み取りアクセスを構成する

匿名読み取りアクセスについて

ストレージアカウントの匿名読み取りアクセスを許可または禁止する

匿名アクセスを禁止するためのアクセス許可

ストレージアカウントの AllowBlobPublicAccess プロパティを設定する

コンテナーの匿名アクセスレベルの設定

複数のコンテナーの匿名アクセス設定の確認

機能サポート

次のステップ

その他のリソース

コンテナーと BLOB 用の匿名読み取りアクセスを構成する

匿名読み取りアクセスについて

ストレージ アカウントの匿名読み取りアクセスを許可または禁止する

匿名アクセスを禁止するためのアクセス許可

ストレージ アカウントの AllowBlobPublicAccess プロパティを設定する

コンテナーの匿名アクセス レベルの設定

複数のコンテナーの匿名アクセス設定の確認

機能サポート

次のステップ

その他のリソース

ストレージアカウントの匿名読み取りアクセスを許可または禁止する

ストレージアカウントの AllowBlobPublicAccess プロパティを設定する

コンテナーの匿名アクセスレベルの設定