Autorizar o acesso a dados no Armazenamento do Azure

  • Artigo

Sempre que você acessar os dados na conta de armazenamento, seu aplicativo cliente fará uma solicitação sobre HTTP/HTTPS para o Armazenamento do Azure. Por padrão, todos os recursos no Armazenamento do Azure são protegidos e cada solicitação para um recurso seguro deve ser autorizada. A autorização garante que o aplicativo cliente tenha as permissões apropriadas para acessar um recurso específico na sua conta de armazenamento.

Entender a autorização para operações de dados

A seguinte tabela descreve as opções oferecidas pelo Armazenamento do Azure para autorizar o acesso aos dados:

Artefato do Azure Chave compartilhada (chave da conta de armazenamento) Assinatura de acesso compartilhado (SAS) ID do Microsoft Entra Active Directory Domain Services local Acesso de leitura anônimo Gerenciar usuários locais
Blobs do Azure Com suporte Com suporte Com suporte Sem suporte Com suporte, mas não recomendado Com suporte, somente para SFTP
Arquivos do Azure (SMB) Com suporte Sem suporte Com suporte, somente com o Microsoft Entra Domain Services para somente nuvem ou com a autenticação Kerberos do Microsoft Entra para identidades híbridas Com suporte, as credenciais devem ser sincronizadas com o Microsoft Entra ID Sem suporte Sem suporte
Arquivos do Azure (REST) Com suporte Com suporte Com suporte Sem suporte Sem suporte Sem suporte
Filas do Azure Com suporte Com suporte Com suporte Sem suporte Sem suporte Sem suporte
Tabelas do Azure Com suporte Com suporte Com suporte Sem suporte Sem suporte Sem suporte

Cada opção de autorização é descrita brevemente abaixo:

  • Autorização de chave compartilhada para blobs, arquivos, filas e tabelas. Um cliente usando a Chave Compartilhada passa um cabeçalho com cada solicitação assinada usando a chave de acesso da conta de armazenamento. Para obter mais informações, consulte Autorizar com Chave Compartilhada.

    A Microsoft recomenda que você não autorize a chave compartilhada na sua conta de armazenamento. Ao não autorizar a chave compartilhada, os clientes precisam usar o Microsoft Entra ID ou um SAS de delegação de usuário para autorizar as solicitações de dados nessa conta de armazenamento. Para obter mais informações, veja Impedir a autorização de chave compartilhada para uma conta do Armazenamento do Microsoft Azure.

  • Assinaturas de acesso compartilhado para blobs, arquivos, filas e tabelas. SAS (assinaturas de acesso compartilhado) fornecem acesso delegado limitado a recursos em uma conta de armazenamento por meio de uma URL assinada. A URL assinada especifica as permissões concedidas ao recurso e o intervalo sobre o qual a assinatura é válida. Um SAS de serviço ou de conta é assinado com a chave de conta, enquanto o SAS de delegação de usuário é assinado com credenciais do Microsoft Entra e se aplica somente a blobs. Para saber mais, confira Usar SAS (Assinaturas de Acesso Compartilhado) para saber mais.

  • Integração do Microsoft Entra para autorizar solicitações para recursos de blob, fila e tabela. A Microsoft recomenda usar as credenciais do Microsoft Entra quando possível para otimização da segurança e facilidade de uso ao autorizar solicitações de dados. Para obter mais informações sobre a integração do Microsoft Entra, confira os artigos para recursos de blob, fila ou tabela.

    Você pode usar o RBAC (controle de acesso baseado em função) do Azure para gerenciar as permissões de uma entidade de segurança para os recursos de blob, fila e tabela em uma conta de armazenamento. Você também pode usar o ABAC (controle de acesso baseado em atributo) do Azure para adicionar condições às atribuições de função do Azure para recursos de blob.

    Para saber mais sobre o RBAC, confira O que é o RBAC (controle de acesso baseado em função) do Azure?.

    Para obter mais informações sobre o ABAC e o status do recurso, consulte:

    O que é o ABAC do Azure (controle de acesso baseado em atributo do Azure)?

    O status dos recursos de condição do ABAC

    O status dos recursos de condição do ABAC no Armazenamento do Azure

  • Autenticação do Microsoft Entra Domain Services para os Arquivos do Azure. Os Arquivos do Azure dão suporte à autorização baseada em identidade por SMB (protocolo SMB) por meio do Microsoft Entra Domain Services. É possível usar o RBAC do Azure para ter controle granular do acesso de um cliente aos recursos dos Arquivos do Azure em uma conta de armazenamento. Para saber mais sobre a autenticação nos Arquivos do Azure com serviços de domínio, confira a visão geral.

  • Autenticação do Active Directory Domain Services local (AD DS ou AD DS local) para Arquivos do Azure. O Arquivos do Azure oferece suporte à autorização baseada em identidade com o protocolo SMB por meio do AD DS. Seu ambiente do AD DS pode ser hospedado em computadores locais ou em VMs do Azure. O acesso do SMB ao Arquivos tem suporte usando as credenciais do AD DS por meio de computadores ingressados no domínio, tanto no local quanto no Azure. É possível usar uma combinação de RBAC do Azure para controle de acesso de nível de compartilhamento e DACLs NTFS para a aplicação da permissão no nível de diretório/arquivo. Para saber mais sobre a autenticação nos Arquivos do Azure com serviços de domínio, confira a visão geral.

  • Há suporte para acesso de leitura anônimo para dados de blob, mas não é recomendado. Quando o acesso anônimo for configurado, os clientes poderão ler os dados blob sem autorização. É recomendável desabilitar o acesso anônimo para todas as contas de armazenamento. Para obter mais informações, consulte Visão geral: corrigir o acesso de leitura anônimo para dados de blob.

  • Usuários Locais para Armazenamento podem ser usados para acessar blobs com SFTP ou arquivos com SMB. Usuários Locais para Armazenamento dão suporte a permissões de nível de contêiner para autorização. Consulte Conexão para Armazenamento de Blobs do Azure usando o SFTP (Protocolo de Transferência de Arquivo SSH) para obter mais informações sobre como Usuários Locais para Armazenamento podem ser usados com o SFTP.

Proteger suas chaves de acesso

As chaves de acesso da conta de armazenamento fornecem acesso total à configuração de uma conta de armazenamento, bem como aos dados. Sempre tenha cuidado para proteger as suas chaves de acesso. Utilize o Azure Key Vault para gerenciar e girar suas chaves com segurança. O acesso à chave compartilhada concede a um usuário acesso completo à configuração de uma conta de armazenamento e seus dados. O acesso a chaves compartilhadas deve ser cuidadosamente limitado e monitorado. Use tokens SAS com escopo limitado de acesso em cenários, em que a autorização baseada no Microsoft Entra ID não pode ser usada. Evite fazer hard-coding das chaves de acesso ou salvá-las em qualquer lugar como texto simples que seja acessível a outras pessoas. Gire suas chaves se achar que elas foram comprometidas.

Importante

A Microsoft recomenda usar o Microsoft Entra ID para autorizar solicitações em dados de fila, de blob e de tabela, se possível, em vez de usar as chaves de conta (autorização de chave compartilhada). A autorização com o Microsoft Entra ID fornece segurança superior e facilidade de uso em relação à autorização da chave compartilhada. Para obter mais informações sobre como usar a autorização do Microsoft Entra dos aplicativos, confira Como autenticar aplicativos do .NET com os serviços do Azure. Para compartilhamentos de arquivos do Azure do SMB, a Microsoft recomenda usar a integração do AD DS (Serviços de Domínio do Active Directory) local ou a autenticação Kerberos do Microsoft Entra.

Para impedir que os usuários acessem dados em sua conta de armazenamento com a Chave Compartilhada, você pode cancelar a autorização da Chave Compartilhada para a conta de armazenamento. O acesso granular a dados com privilégios mínimos necessários é recomendado como uma prática recomendada de segurança. A autorização baseada no Microsoft Entra ID deve ser usada para cenários que dão suporte ao OAuth. O Kerberos ou o SMTP deve ser usado para Arquivos do Azure via SMB. Para Arquivos do Azure via REST, podem ser usados os tokens SAS. O acesso de chave compartilhada deve ser desabilitado se não for necessário para impedir seu uso inadvertido. Para obter mais informações, veja Impedir a autorização de chave compartilhada para uma conta do Armazenamento do Microsoft Azure.

Para proteger uma conta de Armazenamento do Microsoft Azure com as políticas de Acesso Condicional do Microsoft Entra, você não deve permitir a autorização de Chave Compartilhada para a conta de armazenamento.

Se você desabilitou o acesso à chave compartilhada e está vendo a autorização da Chave Compartilhada relatada nos logs de diagnóstico, isso indica que o acesso confiável está sendo utilizado para acessar o armazenamento. Para obter mais detalhes, confira Acesso confiável aos recursos registrados em sua assinatura.

Próximas etapas