教學課程：新增角色指派條件，以使用 Azure 入口網站限制 Blob 的存取

在大部分情況下，角色指派會賦予 Azure 資源所需的權限。不過，在某些情況下，您可能想要藉由新增角色指派條件來提供更細微的訪問控制。

在本教學課程中，您將瞭解如何：

在角色指派中加入條件
依據 Blob 索引標籤來限制 Blob 的存取權限

這很重要

Azure 屬性型存取控制 (Azure ABAC) 已正式發行 (GA)，可使用標準和進階儲存體帳戶效能層級中的 request、resource、environment 和 principal 屬性，控制 Azure Blob 儲存體、Azure Data Lake Storage Gen2 和 Azure 佇列的存取權。目前，階層命名空間的清單 Blob 包含要求屬性和快照集要求屬性都處於預覽。如需 Azure 儲存體 ABAC 的完整功能狀態資訊，請參閱 Azure 儲存體中條件功能的狀態。

請參閱 Microsoft Azure 預覽版增補使用規定，以了解適用於 Azure 功能 (搶鮮版 (Beta)、預覽版，或尚未正式發行的版本) 的法律條款。

先決條件

如需新增或編輯角色指派條件的必要條件相關資訊，請參閱條件必要要件。

狀況

在這篇教學課程中，您將限制對具有特定標籤的 Blob 的存取。例如，您會將條件新增至角色指派，讓 Chandra 只能讀取具有標籤 Project=Cascade的檔案。

具有條件的角色指派圖表。

如果 Chandra 嘗試讀取不含標籤 Project=Cascade 的 Blob，則無法存取。

顯示具有 Project=Cascade 標籤的 Blob 讀取權限的圖示。

以下是在程式碼中條件的表示：

(
    (
        !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'}
        AND NOT
        SubOperationMatches{'Blob.List'})
    )
    OR
    (
        @Resource[Microsoft.Storage/storageAccounts/blobServices/containers/blobs/tags:Project<$key_case_sensitive$>] StringEqualsIgnoreCase 'Cascade'
    )
)

步驟 1：建立使用者

以訂用帳戶的擁有者身分登入 Azure 入口網站。
選取 Microsoft Entra ID。
建立使用者或尋找現有的使用者。本教學課程使用 Chandra 作為範例。

步驟 2：設定記憶體

建立與 Blob 索引標籤功能相容的記憶體帳戶。如需詳細資訊，請參閱使用 blob 索引標記管理和尋找 Azure Blob 資料。
在記憶體帳戶內建立新的容器，並將匿名存取層級設定為 [私人] （無匿名存取）。
在容器中，選取上傳以開啟「上傳 Blob」窗格。
尋找要上傳的文字檔。
選取 [ 進階 ] 展開窗格。
在 [Blob 索引標籤 ] 區段中，將下列 Blob 索引標籤新增至文字檔。

如果您沒有看到 [Blob 索引標記] 區段，且您剛剛才註冊了訂用帳戶，則可能需要等候幾分鐘的時間，變更才會傳播。如需詳細資訊，請參閱使用 Blob 索引標籤來管理及尋找 Azure Blob 記憶體上的數據。

備註

Blob 也支援儲存任意使用者定義的索引鍵/值中繼資料的能力。雖然中繼資料類似於 Blob 索引標籤，但您必須搭配條件使用 Blob 索引標籤。

鑰匙價值觀

隨附此逐步解說的專案瀑布