授權對 Azure 記憶體的要求

針對 Blob、檔案、佇列或資料表服務中受保護資源所做出的每一個要求，都必須獲得授權。 授權能確保您儲存體帳戶中的資源只能在您同意的情況下由他人存取，且只有您授與存取權的那些使用者或應用程式可以存取。

下表描述 Azure 記憶體提供來授權資源存取的選項：

Azure 成品	共用金鑰 (儲存體帳戶金鑰)	共用存取簽章 (SAS)	Microsoft Entra 識別碼	內部部署 Active Directory Domain Services	匿名公用讀取存取權
Azure Blob	支援	支援	支援	不支援	支援
Azure 檔案 (SMB)	支援	不支援	支援 Microsoft Entra Domain Services 或 Microsoft Entra Kerberos	支援，認證必須同步處理至 Microsoft Entra ID	不支援
Azure 檔案 (REST)	支援	支援	支援	不支援	不支援
Azure 佇列	支援	支援	支援	不支援	不支援
Azure 資料表	支援	支援	支援	不支援	不支援

下面簡要說明每個授權選項：

• Microsoft Entra ID：Microsoft Entra 是 Microsoft 的雲端式身分識別和存取管理服務。 Microsoft Entra ID 整合適用於 Blob、檔案、佇列和數據表服務。 透過 Microsoft Entra ID，您可以透過角色型訪問控制 (RBAC) ，將更精細的存取權指派給使用者、群組或應用程式。 如需與 Azure 記憶體 Microsoft Entra ID 整合的相關信息，請參閱使用 Microsoft Entra ID 授權。

• Azure 檔案儲存體 Microsoft Entra Domain Services 授權。 Azure 檔案儲存體 支援透過 Microsoft Entra Domain Services 透過伺服器消息塊 (SMB) 的身分識別型授權。 您可以使用 RBAC 來更精細地控制用戶端對記憶體帳戶中 Azure 檔案儲存體 資源的存取。 如需使用網域服務 Azure 檔案儲存體 驗證的詳細資訊，請參閱 Azure 檔案儲存體 身分識別型授權。

• active Directory (AD) 授權 Azure 檔案儲存體。 Azure 檔案儲存體支援透過 AD 透過 SMB 的身分識別型授權。 AD 網域服務可以裝載於內部部署機器或 Azure VM 中。 支援使用已加入網域之機器的 AD 認證，在內部部署或 Azure 中使用檔案的 SMB 存取。 您可以使用 RBAC 進行目錄和檔案層級許可權強制執行的共享層級存取控制和 NTFS DACL。 如需使用網域服務 Azure 檔案儲存體 驗證的詳細資訊，請參閱 Azure 檔案儲存體 身分識別型授權。

• 共用金鑰： 共用金鑰授權依賴您的帳戶存取金鑰和其他參數，以產生在 授權 標頭中傳遞要求的加密簽章字串。 如需共用金鑰授權的詳細資訊，請參閱 使用共用密鑰授權。

• 共用存取簽章： 共用存取簽章 (SAS) 使用指定許可權和指定時間間隔，將存取權委派給帳戶中的特定資源。 如需 SAS 的詳細資訊，請參閱 使用共用存取簽章委派存取權。

• 容器和 Blob 的匿名存取： 您可以選擇性地在容器或 Blob 層級公開 Blob 資源。 公用容器或 Blob 可供任何使用者以匿名讀取權限來加以存取。 針對公用容器和 Blob 的讀取要求並不需要授權。 如需詳細資訊，請參閱 在 Azure Blob 記憶體中啟用容器和 Blob 的公用讀取許可權。

提示

使用 Microsoft Entra ID 驗證及授權 Blob、檔案、佇列和數據表數據的存取權，可提供優於其他授權選項的更上層安全性和方便性。 例如，藉由使用 Microsoft Entra ID，您可以避免使用程式代碼來儲存帳戶存取密鑰，就像使用共用密鑰授權一樣。 雖然您可以繼續搭配 Blob 和佇列應用程式使用共用密鑰授權，但 Microsoft 建議您盡可能移至 Microsoft Entra ID。

同樣地，您可以繼續使用 (SAS) 共用存取簽章來授與記憶體帳戶中資源的細微存取權，但 Microsoft Entra ID 提供類似的功能，而不需要管理 SAS 令牌或擔心撤銷遭入侵的 SAS。

如需 Azure 記憶體中 Microsoft Entra ID 整合的詳細資訊，請參閱使用 Microsoft Entra ID 授權 Azure Blob 和佇列的存取權。