通知中樞安全性
概觀
本主題描述 Azure 通知中樞的安全性模型。
共用存取簽章安全性
通知中樞會實作稱為 共用存取簽章 （SAS） 的實體層級安全性配置。 每個規則都包含名稱、金鑰值（共享密碼）和一組許可權，如安全性宣告稍後所述。
建立中樞時，會自動建立兩個規則：一個具有 接聽 許可權（用戶端應用程式使用），另一個具有 所有 許可權（應用程式後端使用）：
- DefaultListenSharedAccessSignature：僅授與 接聽 許可權。
- DefaultFullSharedAccessSignature：授與接聽、管理和傳送許可權。 此原則僅適用於您的應用程式後端。 請勿在用戶端應用程式中使用;使用僅 具有接聽 存取權的原則。 若要使用新的 SAS 令牌建立新的自定義存取原則，請參閱 本文稍後的存取原則 SAS 令牌。
從用戶端應用程式執行註冊管理時，如果透過通知傳送的資訊並不敏感（例如天氣更新），則存取通知中樞的常見方式是為用戶端應用程式的僅限接聽存取規則提供密鑰值，並授與規則對應用程式後端完整存取權的索引鍵值。
應用程式不應該在 Windows 市集用戶端應用程式中內嵌索引鍵值;相反地，讓用戶端應用程式在啟動時從應用程式後端擷取它。
具有接聽存取權的密鑰可讓用戶端應用程式註冊任何標籤。 如果您的應用程式必須將註冊限制為特定用戶端的特定標籤（例如，當標籤代表使用者識別碼時），您的應用程式後端必須執行註冊。 如需詳細資訊，請參閱 註冊管理。 請注意，如此一來，用戶端應用程式將無法直接存取通知中樞。
安全性宣告
與其他實體類似，通知中樞作業允許三個安全性宣告： 接聽、 傳送及 管理。
| 索賠 | 描述 | 允許的作業 |
|---|---|---|
| 接聽 | 建立/更新、讀取和刪除單一註冊 | 建立/更新註冊 讀取註冊 讀取句柄的所有註冊 刪除註冊 |
| Send | 將訊息傳送至通知中樞 | 傳送訊息 |
| 管理 | 通知中樞上的 CRUD（包括更新 PNS 認證和安全性金鑰），以及根據標記讀取註冊 | 建立/更新/讀取/刪除中樞 依標記讀取註冊 |
通知中樞會接受直接在中樞上設定的共用密鑰所產生的SAS令牌。
無法將通知傳送至多個命名空間。 命名空間是通知中樞的邏輯容器，不會參與傳送通知。
使用命名空間層級存取原則（認證）進行命名空間層級作業;例如：列出中樞、建立或刪除中樞等等。只有中樞層級存取原則可讓您傳送通知。
存取原則的SAS令牌
若要建立新的安全性宣告或檢視現有的 SAS 金鑰，請執行下列動作：
- 登入 Azure 入口網站。
- 選取所有資源。
- 選取您要建立宣告或檢視 SAS 金鑰的通知中樞名稱。
- 在左側功能表中，選取 [ 存取原則]。
- 選取 [新增原則 ] 以建立新的安全性宣告。 為原則指定名稱，然後選取您想要授與的許可權。 然後選取確定。
- 完整 連接字串（包括新的 SAS 金鑰）會顯示在 [存取原則] 視窗中。 您可以將此字串複製到剪貼簿以供稍後使用。
若要從特定原則擷取 SAS 金鑰，請選取 包含所需 SAS 金鑰的原則旁的 [複製 ] 按鈕。 將此值貼到暫存位置，然後複製 連接字串 的 SAS 金鑰部分。 此範例使用名為 mytestnamespace1 的通知中樞命名空間，以及名為 policy2 的原則。 SAS 金鑰是接近字串結尾的值，由 SharedAccessKey 指定：
Endpoint=sb://mytestnamespace1.servicebus.windows.net/;SharedAccessKeyName=policy2;SharedAccessKey=<SAS key value here>
