建立服務 SAS

發行項
02/07/2024

服務共用存取簽章 (SAS) 只委派其中一個記憶體服務中資源的存取權：Azure Blob 儲存體、Azure 佇列記憶體、Azure 數據表記憶體或 Azure 檔案儲存體。服務層級 SAS 的 URI 包含 SAS 將委派存取權的資源 URI，後面接著 SAS 令牌。

SAS 令牌是查詢字串，其中包含授權要求所需的所有資訊。令牌會指定用戶端可以存取的資源、授與的許可權，以及簽章有效期間。

SAS 也可以指定支援的 IP 位址或位址範圍，要求的來源、可以提出要求的支持的通訊協定，或與要求相關聯的選擇性存取原則識別符。

最後，每個SAS令牌都包含簽章。

警告

共用存取簽章是授與記憶體資源許可權的金鑰，您應該保護它們，就像保護帳戶密鑰一樣。保護 SAS 防止遭到惡意使用或誤用至關重要。在散發 SAS 時請謹慎使用，並備妥方案以撤銷遭盜用的 SAS。使用共用存取簽章的作業只能透過 HTTPS 連線執行，而 SAS URI 應該只散發於安全連線上，例如 HTTPS。

授權服務 SAS

您可以使用記憶體帳戶金鑰來保護帳戶 SAS。當您建立帳戶 SAS 時，用戶端應用程式必須擁有帳戶金鑰。

若要使用 Microsoft Entra 認證來保護容器或 Blob 的 SAS，請建立使用者委派 SAS。

服務 SAS 支援目錄範圍存取

當授權版本 () 為 2020-02-10 或更新版本，且啟用階層命名空間時，服務 SAS 支援目錄範圍 sr=d (sv) 。目錄範圍的語意 () 類似於容器範圍 (sr=d) sr=c 的語意，不同之處在於存取僅限於目錄及其內的任何檔案和子目錄。指定時 sr=d ， sdd 也需要查詢參數。

授權版本 2020-02-10 的字串對簽署格式不會變更。

建構服務 SAS

下圖代表共用存取簽章 URI 的部分。必要的元件會顯示在橙色中。組成SAS令牌的欄位會在後續各節中說明。

共用存取簽章 URL 的參數項目圖表。

下列各節說明如何指定組成服務 SAS 令牌的參數。

`signedVersion`指定欄位

signedVersionsv () 欄位包含共用存取簽章的服務版本。這個值會指定此共用存取簽 signature 章 (欄位中所使用之共用密鑰授權的版本) 。值也會指定使用此共用存取簽章提出之要求的服務版本。

如需透過共用存取簽章執行要求時所使用的版本資訊，請參閱 Azure 記憶體服務的版本控制。

如需此參數如何影響使用共用存取簽章提出之要求授權的資訊，請參閱使用共用存取簽章委派存取權。

欄位名稱	查詢參數	描述
`signedVersion`	`sv`	必要。 2012-02-12 版和更新版本支援。用來授權及處理您使用此共用存取簽章提出要求的記憶體服務版本。如需詳細資訊，請參閱 Azure 記憶體服務的版本設定。

判斷舊版 SAS 要求的版本

在未使用舊版案例中 signedVersion ，Blob 記憶體會套用規則來判斷版本。如需這些規則的詳細資訊，請參閱 Azure 記憶體服務的版本設定。

重要

當您使用使用比用戶端軟體更新的記憶體服務版本記憶體服務版本的共用存取簽章 URI 時，用戶端軟體可能會遇到非預期的通訊協議行為。建構共用存取簽章 URI 的程式代碼應該依賴用戶端軟體所瞭解的版本來提出記憶體服務要求。

僅指定已簽署的資源 (Blob 記憶體)

必要 signedResource (sr) 字段會指定哪些資源可透過共用存取簽章存取。下表描述如何參考 SAS 令牌中的 Blob 或容器資源。

資源	參數值	支援的版本	描述
Blob	b	全部	授與 Blob 內容和元數據的存取權。
Blob 版本	Bv	2018-11-09 和更新版本	授與 Blob 版本內容和元數據的存取權，但不會授與基底 Blob 的存取權。
Blob 快照集	bs	2018-11-09 和更新版本	授與 Blob 快照集內容和元數據的存取權，但不會授與基底 Blob 的存取權。
容器	c	全部	將存取權授與容器中任何 Blob 的內容和元數據，以及容器中的 Blob 清單。
目錄	d	2020-02-10 和更新版本	在已啟用階層命名空間的記憶體帳戶中，將存取權授與目錄中任何 Blob 的內容和元數據，以及目錄中的 Blob 清單。如果已為 `signedResource` 欄位指定目錄， `signedDirectoryDepthsdd` 則也需要 () 參數。目錄一律巢狀在容器內。

指定已簽署的資源 (Azure 檔案儲存體)

Azure 檔案儲存體 2015-02-21 版和更新版本支援 SAS。

signedResource 欄位指定可透過共用存取簽章存取的資源。下表描述如何參考 URI 上的檔案或共用資源。

欄位名稱	查詢參數	描述
`signedResource`	`sr`	必要。指定 `f` 共享資源是否為檔案。這麼做會授與檔案內容和元數據的存取權。指定 `s` 共享資源是否為共用。這麼做會將存取權授與共用中任何檔案的內容和元數據，以及共用中的目錄和檔案清單。

指定查詢參數以覆寫 Blob 記憶體 (回應標頭，並只 Azure 檔案儲存體)

若要定義在要求中使用共用存取簽章時，所要傳回的特定回應標頭值，您可以在查詢參數中指定回應標頭。從 Blob 記憶體版本 2013-08-15 起，Azure 檔案儲存體支援此功能 2015-02-21 版。使用此功能的共用存取簽章必須包含sv設定為 2013-08-15 或更新版本的 Blob 記憶體參數，或2015-02-21設定為或更新版本以供 Azure 檔案儲存體。

下表列出回應標頭和對應的查詢參數：

回應標頭名稱	對應的 SAS 查詢參數
`Cache-Control`	`rscc`
`Content-Disposition`	`rscd`
`Content-Encoding`	`rsce`
`Content-Language`	`rscl`
`Content-Type`	`rsct`

例如，如果您在使用 2013-08-15 版或更新版本建立的共用存取簽章上指定 rsct=binary 查詢參數， Content-Type 則響應標頭會設定為 binary。這個值會 Content-Type 覆寫針對只使用此共用存取簽章之要求的 Blob 所儲存的標頭值。

如果您建立將響應標頭指定為查詢參數的共用存取簽章，則必須將它們包含在用來建構簽章字串的字串對簽署中。 For more information, see the "Construct the signature string" section later in this article. 如需其他範例，請參閱服務 SAS 範例。

僅指定資料表名稱 (數據表記憶體)

tableName 欄位指定要共用之資料表的名稱。

欄位名稱	查詢參數	描述
`tableName`	`tn`	必要。要共用之資料表的名稱。

指定存取原則

URI 的存取原則部分表示共用存取簽章有效且授與使用者的許可權期間。下表說明組成存取原則的 URI 部分：

欄位名稱	查詢參數	描述
`signedStart`	`st`	選擇性。共用存取簽章生效的時間，以其中一個接受的 ISO 8601 UTC 格式表示。如果省略此參數，則會使用目前的UTC時間做為開始時間。在早於 2012-02-12 的版本中，除非使用容器原則，否則和 `signedExpiry` 之間的`signedStart`持續時間不能超過一小時。如需已接受 UTC 格式的詳細資訊，請參閱格式化日期/時間值。
`signedExpiry`	`se`	必要。共用存取簽章變成無效的時間，以其中一個接受的 ISO 8601 UTC 格式表示。如果已指定於相關聯的預存存取原則中，則必須省略此字段。如需已接受 UTC 格式的詳細資訊，請參閱格式化日期/時間值。
`signedPermissions`¹	`sp`	必要。與共用存取簽章相關聯的許可權。使用者受限於許可權所允許的作業。如果已指定於相關聯的預存存取原則中，則必須省略此字段。
`startPk`² `startRk`²	`spk` `srk`	僅限數據表記憶體。選擇性，但 `startPk` 必須搭配 `startRk`。此共用存取簽章可存取的最小分割區和數據列索引鍵。索引鍵值包含在內。如果省略它們，就無法存取數據表實體的下限。
`endPk`² `endRk`²	`epk` `erk`	僅限數據表記憶體。選擇性，但 `endPk` 必須搭配 `endRk`。此共用存取簽章可存取的最大分割區和數據列索引鍵。索引鍵值包含在內。如果省略它們，則無法存取數據表實體的上限。

¹signedPermissions 除非指定為預存存取原則的一部分，否則 URI 上需要字段。
²startPk只能在資料表記憶體資源上指定、 startRkendPk和 endRk 欄位。

指定權限

在 SAS 令牌上針對 signedPermissions [ (sp) ] 字段所指定的許可權，表示用戶端可能會在資源上執行的作業。

您可以結合許可權以允許用戶端使用相同的 SAS 執行多個作業。當您建構 SAS 時，必須依下列順序包含權限：

racwdxltmeop

容器的有效權限設定範例包括、、、、wlwd、和 rlrlrdrw 不合法設定的範例包括 wr、 dr、 lr和 dw。您無法多次指定許可權指定。

服務 SAS 無法授與特定作業的存取權：

無法建立、刪除或列出容器、佇列和數據表。
容器元數據和屬性無法讀取或寫入。
無法清除佇列，而且無法寫入其元數據。
容器無法租用。

若要建構授與這些作業存取權的 SAS，請使用帳戶 SAS。如需詳細資訊，請參閱建立帳戶 SAS。

重要

共用存取簽章是授與記憶體資源許可權的金鑰，您應該保護它們，就像保護帳戶密鑰一樣。執行僅透過 HTTPS 連線使用共用存取簽章的作業，並只在安全連線上散發共用存取簽章 URI，例如 HTTPS。

下列各節將說明每個資源類型支援的許可權。

目錄、容器或 Blob 的權限

下表說明每個資源類型支援的權限：

權限	URI 符號	資源	版本支援	允許的作業
讀取	r	容器目錄 Blob	全部	讀取容器或目錄中任何 Blob 的內容、封鎖清單、屬性和元數據。使用 Blob 作為複製作業的來源。
加	a	容器目錄 Blob	全部	將區塊新增至附加 Blob。
建立	c	容器目錄 Blob	全部	寫入新的 Blob、快照集 Blob，或將 Blob 複製到新的 Blob。
寫入	w	容器目錄 Blob	全部	建立或寫入內容、屬性、元數據或封鎖清單。建立 Blob 的快照集或租用 Blob。調整 Blob 的大小 (僅限分頁 Blob)。使用 Blob 作為複製作業的目的地。
刪除	d	容器目錄 Blob	全部	刪除 Blob。針對 2017-07-29 版和更新版本，Delete 許可權也允許中斷 Blob 上的租用。如需詳細資訊，請參閱租用 Blob 作業。
刪除版本	x	容器 Blob	2019-12-12 和更新版本	刪除 Blob 版本。
永久刪除	y	Blob	2020-02-10 和更新版本	永久刪除 Blob 快照集或版本。
List	l	容器目錄	全部	以非遞歸方式列出 Blob。
標籤	t	Blob	2019-12-12 和更新版本	讀取或寫入 Blob 上的標記。
Find	f	容器	2019-12-12 和更新版本	尋找具有索引標籤的 Blob。
移動	m	容器目錄 Blob	2020-02-10 和更新版本	將 Blob 或目錄及其內容移至新位置。如果 `saoid` SAS 令牌中包含參數，且黏性位是在父目錄上設定，則此作業可選擇性地限制為子 Blob、目錄或父目錄的擁有者。
執行	e	容器目錄 Blob	2020-02-10 和更新版本	取得系統屬性，如果記憶體帳戶已啟用階層命名空間，請取得 Blob 的 POSIX ACL。如果已啟用階層命名空間，且呼叫端是 Blob 的擁有者，則此許可權會授與設定 Blob 擁有者群組、POSIX 許可權和 POSIX ACL 的能力。不允許呼叫端讀取使用者定義的元數據。
擁有權	o	容器目錄 Blob	2020-02-10 和更新版本	啟用階層命名空間時，此許可權可讓呼叫端設定擁有者或擁有群組，或在重新命名或刪除已設定黏性位的目錄中的目錄或 Blob 時，做為擁有者。
權限	p	容器目錄 Blob	2020-02-10 和更新版本	啟用階層命名空間時，此許可權可讓呼叫端在目錄和 Blob 上設定許可權和 POSIX ACL。
設定不變性原則	i	容器 Blob	2020-06-12 和更新版本	設定或刪除 Blob 的不變性原則或法律保存。

檔案的許可權

權限	URI 符號	允許的作業
讀取	r	讀取內容、屬性、元數據。使用檔案作為複製作業的來源。
建立	c	建立新的檔案，或將檔案複製到新檔案。
寫入	w	建立或寫入內容、屬性、元數據。調整檔案的大小。使用檔案作為複製作業的目的地。
刪除	d	刪除檔案。

權限	URI 符號	允許的作業
讀取	r	讀取共用中任何檔案的內容、屬性或元數據。使用共用中的任何檔案作為複製作業的來源。
建立	c	在共用中建立新的檔案，或將檔案複製到共用中的新檔案。
寫入	w	針對共用中的任何檔案，建立或寫入內容、屬性或元數據。調整檔案大小。使用檔案作為複製作業的目的地。注意：您無法使用服務 SAS 授與讀取或寫入共用屬性或元數據的許可權。請改用帳戶 SAS。
刪除	d	刪除共用中的任何檔案。注意：您無法使用服務 SAS 授與刪除共享的許可權。請改用帳戶 SAS。
List	l	列出共用中的檔案和目錄。

佇列的權限

權限	URI 符號	允許的作業
讀取	r	讀取中繼資料和屬性，包括訊息計數。查看訊息。
加	a	將訊息加入至佇列。
更新	u	更新佇列中的訊息。注意：使用 [處理] 許可權搭配 [更新]，讓您可以先取得您想要更新的訊息。
流程	p	從佇列取得及刪除訊息。

資料表的權限

權限	URI 符號	允許的作業
查詢	r	取得實體及查詢實體。
加	a	加入實體。注意：更新插入作業需要新增和更新許可權。
更新	u	更新實體。注意：更新插入作業需要新增和更新許可權。
刪除	d	刪除實體。

指定IP位址或IP範圍

自 2015-04-05 版起，選擇性 signedIp () sip 欄位會指定要接受要求的公用 IP 位址或公用 IP 位址範圍。如果要求的來源IP位址不符合SAS令牌上指定的IP位址或位址範圍，則要求未獲得授權。僅支援 IPv4 位址。

當您指定IP位址範圍時，請注意範圍是包含的。例如，在 sip=168.1.5.65 SAS上指定或 sip=168.1.5.60-168.1.5.70 ，會將要求限制為這些IP位址。

下表描述是否要 signedIp 根據客戶端環境和儲存體帳戶的位置，在指定案例的SAS令牌中包含欄位。

客戶端環境	儲存體帳戶位置	建議
在 Azure 中執行的用戶端	在與用戶端相同的區域中	在此案例中提供給用戶端的SAS不應包含欄位的 `signedIp` 輸出IP位址。從具有指定輸出IP位址之SAS的相同區域內提出的要求將會失敗。請改用 Azure 虛擬網路來管理網路安全性限制。從相同區域內對 Azure 記憶體的要求一律會透過私人 IP 位址進行。如需詳細資訊，請參閱設定 Azure 儲存體防火牆和虛擬網路。
在 Azure 中執行的用戶端	在與用戶端不同的區域中	在此案例中提供給用戶端的SAS可能包含欄位的公用IP位址或位址 `signedIp` 範圍。使用 SAS 提出的要求必須源自指定的 IP 位址或地址範圍。
在內部部署或不同雲端環境中執行的用戶端	在任何 Azure 區域中	在此案例中提供給用戶端的SAS可能包含欄位的公用IP位址或位址 `signedIp` 範圍。使用 SAS 提出的要求必須源自指定的 IP 位址或地址範圍。如果要求通過 Proxy 或閘道，請為 `signedIp` 欄位提供該 Proxy 或閘道的公用輸出 IP 位址。

指定 HTTP 通訊協定

自 2015-04-05 版起，選擇性 signedProtocol 的 spr () 欄位會指定對 SAS 提出的要求所允許的通訊協定。可能的值為 HTTPS 和 HTTP (https,http) 或僅限 HTTPS (https)。預設值是 https,http。請注意，僅 HTTP 是不允許的值。

指定數據表存取範圍

startPk、 startRkendPk和 endRk 欄位會定義與共用存取簽章相關聯的數據表實體範圍。數據表查詢只會傳回範圍內的結果，而且嘗試使用共用存取簽章來新增、更新或刪除此範圍以外的實體將會失敗。

如果 startPk 等於 endPk，則共用存取簽章只會授權存取數據表中一個數據分割中的實體。

如果 startPk 等於 endPk 和 startRk 等於 endRk，則共用存取簽章只能存取一個分割區中的一個實體。

若要了解這些欄位如何限制數據表中實體的存取，請參閱下表：

目前欄位	條件約束的範圍
`startPk`	partitionKey >= `startPk`
`endPk`	partitionKey <= `endPk`
`startPk`, `startRk`	(partitionKey >`startPk`) \|\| (partitionKey == `startPk` && rowKey >= `startRk`)
`endPk`, `endRk`	(partitionKey <`endPk`) \|\| (partitionKey == `endPk` && rowKey <= `endRk`)

指定目錄深度

啟用階層命名空間且 signedResource 欄位指定目錄 () sr=d 時，您也必須指定 signedDirectoryDepth () sdd 欄位，以指出根目錄下的子目錄數目。欄位的值 sdd 必須是非負整數。

例如，根目錄 https://{account}.blob.core.windows.net/{container}/ 的深度為0。根目錄中的每個子目錄都會新增至深度 1。目錄 https://{account}.blob.core.windows.net/{container}/d1/d2 深度為 2。

2020-02-10 版或更新版本支援此欄位。

指定帶正負號的標識碼

當您在 URI 上指定 signedIdentifier 欄位時，會將指定的共用存取簽章與對應的預存存取原則產生關聯。預存存取原則提供另一個方法來控制一個或多個共用存取簽章，包括視需要撤銷簽章的功能。每個容器、佇列、數據表或共用最多可以有五個預存存取原則。

下表描述如何參考 URI 上的已簽署識別碼：

欄位名稱	查詢參數	描述
`signedIdentifier`	`si`	選擇性。最多64個字元的唯一值，與針對容器、佇列或數據表指定的存取原則相互關聯。

預存存取原則包含已簽署的標識符，其值為最多64個字元，且在資源內是唯一的。您可以為 signedidentifier 共用存取簽章之 URI 中的欄位指定這個已簽署識別碼的值。當您在 URI 上指定已簽署的識別碼時，會將簽章與預存存取原則產生關聯。若要使用 REST API 建立容器層級存取原則，請參閱使用共用存取簽章委派存取權。

指定加密範圍

藉由在 signedEncryptionScope URI 上使用字段，您可以指定用戶端應用程式可以使用的加密範圍。當您使用 SAS 令牌上傳 Blob (PUT) 時，它會使用指定的加密範圍強制執行伺服器端加密。 GET 和 HEAD 不會限制並如先前一樣執行。

下表描述如何參考 URI 上的已簽署加密範圍：

欄位名稱	查詢參數	描述
`signedEncryptionScope`	`ses`	選擇性。指出用來加密要求內容的加密範圍。

2020-12-06 版或更新版本支援此欄位。如果您在支援的版本之前新增 ses ，服務會傳回錯誤回應碼 403 (禁止) 。

如果您設定容器或文件系統的預設加密範圍， ses 查詢參數會遵守容器加密原則。如果查詢參數和標頭之間ses不符，且x-ms-deny-encryption-scope-override標頭設定true為，服務會傳回錯誤回應碼 403 (禁止 x-ms-default-encryption-scope) 。

當您在 PUT 要求中提供 x-ms-encryption-scope 標頭和 ses 查詢參數時，如果要求不相符，服務會傳回錯誤回應碼 400 (錯誤要求) 。

指定簽章

您可以使用 URI 的簽章部分來授權使用共用存取簽章提出的要求。 Azure 記憶體會使用共用密鑰授權配置來授權服務 SAS。

下表描述如何在 URI 上指定簽章：

欄位名稱	查詢參數	描述
`signature`	`sig`	字串對簽署是從字段建構且必須驗證才能授權要求的唯一字串。簽章是以哈希為基礎的訊息驗證碼， (HMAC) 您使用 SHA256 演算法計算字串對簽署和密鑰，然後使用 Base64 編碼進行編碼。

建構簽章字串

若要建構共用存取簽章的簽章字串，請先從組成要求的欄位建構字串對簽署、將字串編碼為 UTF-8，然後使用 HMAC-SHA256 演演算法計算簽章。字串對簽署中包含的字段必須是 URL 譯碼。

版本 2020-12-06 和更新版本

版本 2020-12-06 新增已簽署加密範圍欄位的支援。若要建構 Blob 記憶體資源的字串對簽署，請使用下列格式：

StringToSign = signedPermissions + "\n" +  
               signedStart + "\n" +  
               signedExpiry + "\n" +  
               canonicalizedResource + "\n" +  
               signedIdentifier + "\n" +  
               signedIP + "\n" +  
               signedProtocol + "\n" +  
               signedVersion + "\n" +  
               signedResource + "\n" +
               signedSnapshotTime + "\n" +
               signedEncryptionScope + "\n" +
               rscc + "\n" +  
               rscd + "\n" +  
               rsce + "\n" +  
               rscl + "\n" +

版本 2018-11-09 和更新版本

版本 2018-11-09 新增已簽署資源和已簽署 Blob 快照集時間字段的支援。這些欄位必須包含在字串對符號中。若要建構 Blob 記憶體資源的字串對簽署，請使用下列格式：

StringToSign = signedPermissions + "\n" +  
               signedStart + "\n" +  
               signedExpiry + "\n" +  
               canonicalizedResource + "\n" +  
               signedIdentifier + "\n" +  
               signedIP + "\n" +  
               signedProtocol + "\n" +  
               signedVersion + "\n" +  
               signedResource + "\n"
               signedSnapshotTime + "\n" +
               rscc + "\n" +  
               rscd + "\n" +  
               rsce + "\n" +  
               rscl + "\n" +  
               rsct

版本 2015-04-05 和更新版本

版本 2015-04-05 新增對已簽署 IP 和已簽署通訊協定欄位的支援。這些欄位必須包含在字串對符號中。若要建構 Blob 記憶體或 Azure 檔案儲存體資源的字串對簽署，請使用下列格式：

StringToSign = signedPermissions + "\n" +  
               signedStart + "\n" +  
               signedExpiry + "\n" +  
               canonicalizedResource + "\n" +  
               signedIdentifier + "\n" +  
               signedIP + "\n" +  
               signedProtocol + "\n" +  
               signedVersion + "\n" +  
               rscc + "\n" +  
               rscd + "\n" +  
               rsce + "\n" +  
               rscl + "\n" +  
               rsct

若要建構資料表記憶體資源的字串對符號，請使用下列格式：

StringToSign = signedPermissions + "\n" +  
               signedStart + "\n" +  
               signedExpiry + "\n" +  
               canonicalizedResource + "\n" +  
               signedIdentifier + "\n" +  
               signedIP + "\n" +  
               signedProtocol + "\n" +  
               signedVersion + "\n" +  
               startingPartitionKey + "\n"  
               startingRowKey + "\n"  
               endingPartitionKey + "\n"  
               endingRowKey

若要建構佇列記憶體資源的字串對簽署，請使用下列格式：

StringToSign = signedPermissions + "\n" +  
               signedStart + "\n" +  
               signedExpiry + "\n" +  
               canonicalizedResource + "\n" +  
               signedIdentifier + "\n" +  
               signedIP + "\n" +  
               signedProtocol + "\n" +  
               signedVersion

版本 2013-08-15 到 2015-02-21

若要使用 2013-08-15 版到 2015-02-21 版建構 Blob 記憶體或 Azure 檔案儲存體資源的字串對簽署，請使用下列格式。針對 Azure 檔案儲存體，自 2015-02-21 版起，支援 SAS。

StringToSign = signedPermissions + "\n" +  
               signedStart + "\n" +  
               signedExpiry + "\n" +  
               canonicalizedResource + "\n" +  
               signedIdentifier + "\n" +  
               signedVersion + "\n" +  
               rscc + "\n" +  
               rscd + "\n" +  
               rsce + "\n" +  
               rscl + "\n" +  
               rsct

若要建構資料表的簽署字串 (string-to-sign)，請使用下列格式：

StringToSign = signedPermissions + "\n" +  
               signedStart + "\n" +  
               signedExpiry + "\n" +  
               canonicalizedResource + "\n" +  
               signedIdentifier + "\n" +  
               signedVersion + "\n" +  
               startPk + "\n" +  
               startRk + "\n" +  
               endPk + "\n" +  
               endRk

若要建構佇列的字串對簽署，請使用下列格式：

StringToSign = signedPermissions + "\n" +  
               signedStart + "\n" +  
               signedExpiry + "\n" +  
               canonicalizedResource + "\n" +  
               signedIdentifier + "\n" +  
               signedVersion

版本 2012-02-12

若要針對 2012-02-12 版的 Blob 記憶體資源建構字串對簽署，請使用下列格式：

StringToSign = signedPermissions + "\n" +  
               signedStart + "\n" +  
               signedExpiry + "\n" +  
               canonicalizedResource + "\n" +  
               signedIdentifier + "\n" +  
               signedVersion

2012-02-12 之前的版本

若要針對早於 2012-02-12 的版本建構 Blob 記憶體資源的字串對簽署，請使用下列格式：

StringToSign = signedPermissions + "\n" +  
               signedStart + "\n" +  
               signedExpiry + "\n" +  
               canonicalizedResource + "\n" +  
               signedIdentifier

當您建構要簽署的字串時，請記住下列事項：

如果欄位是選擇性，而不是當做要求的一部分來提供，請為該欄位指定空白字串。請務必在空白字串之後包含新行字元 (\n)。
數據表的字串對簽署必須包含其他參數，即使這些參數是空字串也一樣。
signedpermission字串的部分必須以每個資源類型專屬的固定順序包含許可權指定。可接受這些權限的任何組合，但權限的字母順序必須符合下表中的順序。

資源類型權限順序

Blob racwd

容器 racwdl

佇列 raup

檔案 rcwd

共用 rcwdl

資料表 raud

例如，容器的有效許可權設定範例包括 rw、、、wdrl、wl、和 rlrd。不合法設定的範例包括 wr、 dr、 lr和 dw。不允許多次指定許可權。
如果您要將要求與預存存取原則產生關聯，請提供 signedIdentifier 字串部分的值。
共用存取簽章，指定早於 2012-02-12 的記憶體服務版本只能共用 Blob 或容器，而且它必須先省略 signedVersion 和換行符，才能共用 Blob 或容器。
字串的 canonicalizedResource 部分是已簽署資源的標準路徑。它必須包含 2015-02-21 版或更新版本的服務名稱 (Blob 記憶體、數據表記憶體、佇列記憶體或 Azure 檔案儲存體) 、記憶體帳戶名稱和資源名稱，而且必須是 URL 譯碼。 Blob 的名稱必須包含 Blob 的容器。數據表名稱必須是小寫。

資源類型	權限順序
Blob	racwd
容器	racwdl
佇列	raup
檔案	rcwd
共用	rcwdl
資料表	raud

容器、佇列、數據表或檔案共用的規範化資源字串，必須省略提供該物件存取權之 SAS 的尾端斜線 (/) 。

下列範例示範如何根據資源類型來建構 canonicalizedResource 字串的部分。

容器

針對 2015-02-21 版和更新版本：

URL = https://myaccount.blob.core.windows.net/music  
canonicalizedResource = "/blob/myaccount/music"

針對 2015-02-21 之前的版本：

URL = https://myaccount.blob.core.windows.net/music
canonicalizedResource = "/myaccount/music"

Blobs (英文)

針對 2015-02-21 版和更新版本：

URL = https://myaccount.blob.core.windows.net/music/intro.mp3  
canonicalizedResource = "/blob/myaccount/music/intro.mp3"

針對 2015-02-21 之前的版本：

URL = https://myaccount.blob.core.windows.net/music/intro.mp3
canonicalizedResource = "/myaccount/music/intro.mp3"

檔案共用

URL = https://myaccount.file.core.windows.net/music
canonicalizedResource = "/file/myaccount/music"

檔案

URL = https://myaccount.file.core.windows.net/music/intro.mp3
canonicalizedResource = "/file/myaccount/music/intro.mp3"

佇列

針對 2015-02-21 版和更新版本：

URL = https://myaccount.queue.core.windows.net/thumbnails  
canonicalizedResource = "/queue/myaccount/thumbnails"

針對 2015-02-21 之前的版本：

URL = https://myaccount.queue.core.windows.net/thumbnails  
canonicalizedResource = "/myaccount/thumbnails"

資料表

如果已簽署的資源是數據表，請確定數據表名稱是標準格式的小寫。

針對 2015-02-21 版和更新版本：

URL = https://myaccount.table.core.windows.net/Employees(PartitionKey='Jeff',RowKey='Price')  
canonicalizedResource = "/table/myaccount/employees"

針對 2015-02-21 之前的版本：

URL = https://myaccount.table.core.windows.net/Employees(PartitionKey='Jeff',RowKey='Price')  
canonicalizedResource = "/myaccount/employees"

共用存取簽章的存留期和撤銷

共用存取簽章將儲存體帳戶資源的存取權限授與使用者。當您打算使用 SAS 時，請考慮 SAS 的存留期，以及您的應用程式在某些情況下是否需要撤銷訪問許可權。

臨機操作 SAS 與預存存取原則

服務 SAS 可以採用兩種形式之一：

臨機操作 SAS：當您建立臨機操作 SAS 時，SAS 的開始時間、到期時間和許可權全都指定於 SAS URI (或隱含，如果省略開始時間) 。任何類型的 SAS 皆可以是臨機操作 SAS。

您可以使用欄位來管理臨機操作 SAS signedExpiry 的存留期。如果您想要在到期時間之後繼續授與客戶端對資源的存取權，您必須發出新的簽章。我們建議您縮短共用存取簽章的存留期。在 2012-02-12 版之前，與預存存取原則相關聯的共用存取簽章不能有超過一小時的使用期間。
具有預存存取原則的 SAS：已將預存存取原則定義在資源容器上，可以是 Blob 容器、數據表、佇列或檔案共用。您可以使用預存取原則來管理一或多個共用存取簽章的條件約束。當您將 SAS 與預存存取原則產生關聯時，SAS 會繼承 (條件約束，也就是為預存存取原則定義的開始時間、到期時間和許可權) 。

預存存取原則會以 URI 的 signedIdentifier 欄位來表示。預存存取原則提供另一個方法來控制一個或多個共用存取簽章，包括視需要撤銷簽章的功能。

撤銷 SAS

因為 SAS URI 是 URL，所以任何取得 SAS 的人員都可以使用它，而不論最初建立的人員為何。如果是公開發佈 SAS，則全世界的人都可以使用此 SAS。 SAS 會授與資源存取權給擁有資源的任何人，直到發生四件事之一為止：

達到臨機操作 SAS 所指定的到期時間。
如果參考預存存取原則，且存取原則指定到期時間，則會達到SAS所參考之預存存取原則所指定的到期時間。

因為間隔已過，或因為您已修改預存存取原則在過去有到期時間，所以可以達到到期時間，這是撤銷 SAS 的一種方式。
會刪除 SAS 所參考的預存存取原則，這會撤銷 SAS。如果 Azure 記憶體找不到共用存取簽章中指定的預存存取原則，用戶端就無法存取 URI 所指示的資源。

如果您以與已刪除的原則完全相同的名稱重新建立預存存取原則，則根據與該預存存取原則相關聯的許可權，所有現有的 SAS 令牌都會再次有效。這假設 SAS 上的到期時間尚未通過。如果您想要撤銷 SAS，請務必在日後以到期時間重新建立存取原則時使用不同的名稱。
系統會重新產生用來建立 SAS 的帳戶金鑰。重新產生帳戶金鑰會導致使用該金鑰的所有應用程式元件無法授權，直到更新為使用其他有效帳戶密鑰或新重新產生的帳戶金鑰為止。重新產生帳戶金鑰是立即撤銷臨機操作 SAS 的唯一方法。

重要

如果適用的話，共用存取簽章 URI 會與用來建立簽章和相關聯預存存取原則的帳戶密鑰相關聯。如果未指定任何預存的存取原則，則撤銷共用存取簽章的唯一方式是變更帳戶金鑰。

最佳做法是，建議您搭配服務 SAS 使用預存存取原則。如果您選擇不使用預存存取原則，請務必保留特定 SAS 的有效期間。如需將服務 SAS 與預存存取原則建立關聯的詳細資訊，請參閱定義預存存取原則。

服務 SAS 範例

下列範例顯示附加服務 SAS 令牌的 Blob URI。服務 SAS 令牌會提供 Blob 的讀取和寫入許可權。

https://myaccount.blob.core.windows.net/sascontainer/blob1.txt?sp=rw&st=2023-05-24T01:13:55Z&se=2023-05-24T09:13:55Z&sip=168.1.5.60-168.1.5.70&spr=https&sv=2022-11-02&sr=b&sig=<signature>

下表說明 URI 的每個部份：

名稱	SAS 部分	Description
資源 URI	`https://myaccount.blob.core.windows.net/sascontainer/blob1.txt`	Blob 的位址。強烈建議您使用 HTTPS。
分隔符號	`?`	查詢字串前面的分隔符。分隔符不是 SAS 令牌的一部分。
權限	`sp=rw`	SAS 所授與的權限包括讀取 (r) 和寫入 (w)。
開始時間	`st=2023-05-24T01:13:55Z`	以 UTC 時間指定。如果您想要 SAS 立即生效，請略過開始時間。
到期時間	`se=2023-05-24T09:13:55Z`	以 UTC 時間指定。
IP 範圍	`sip=168.1.5.60-168.1.5.70`	將從中接受要求的 IP 位址範圍。
通訊協定	`spr=https`	只允許使用 HTTPS 的要求。
Azure 記憶體版本	`sv=2023-05-24`	針對 Azure 儲存體版本 2012-02-12 和更新版本，此參數表示要使用的版本。
資源	`sr=b`	此資源是 Blob。
簽章	`sig=<signature>`	用來授權存取 Blob。簽章是 HMAC，其會使用 SHA256 演算法透過字串對簽署和密鑰進行計算，然後使用 Base64 編碼進行編碼。

建立服務 SAS

授權服務 SAS

服務 SAS 支援目錄範圍存取

建構服務 SAS

`signedVersion`指定欄位

判斷舊版 SAS 要求的版本

僅指定已簽署的資源 (Blob 記憶體)

指定已簽署的資源 (Azure 檔案儲存體)

指定查詢參數以覆寫 Blob 記憶體 (回應標頭，並只 Azure 檔案儲存體)

僅指定資料表名稱 (數據表記憶體)

指定存取原則

指定權限

目錄、容器或 Blob 的權限

檔案的許可權

佇列的權限

資料表的權限

指定IP位址或IP範圍

指定 HTTP 通訊協定

指定數據表存取範圍

指定目錄深度

指定帶正負號的標識碼

指定加密範圍

指定簽章

建構簽章字串

版本 2020-12-06 和更新版本

版本 2018-11-09 和更新版本

版本 2015-04-05 和更新版本

版本 2013-08-15 到 2015-02-21

版本 2012-02-12

2012-02-12 之前的版本

共用存取簽章的存留期和撤銷

臨機操作 SAS 與預存存取原則

撤銷 SAS

服務 SAS 範例

另請參閱

其他資源

建立服務 SAS

授權服務 SAS

服務 SAS 支援目錄範圍存取

建構服務 SAS

signedVersion指定欄位

判斷舊版 SAS 要求的版本

僅指定已簽署的資源 (Blob 記憶體)

指定已簽署的資源 (Azure 檔案儲存體)

指定查詢參數以覆寫 Blob 記憶體 (回應標頭，並只 Azure 檔案儲存體)

僅指定資料表名稱 (數據表記憶體)

指定存取原則

指定權限

目錄、容器或 Blob 的權限

檔案的許可權

共用的許可權

佇列的權限

資料表的權限

指定IP位址或IP範圍

指定 HTTP 通訊協定

指定數據表存取範圍

指定目錄深度

指定帶正負號的標識碼

指定加密範圍

指定簽章

建構簽章字串

版本 2020-12-06 和更新版本

版本 2018-11-09 和更新版本

版本 2015-04-05 和更新版本

版本 2013-08-15 到 2015-02-21

版本 2012-02-12

2012-02-12 之前的版本

共用存取簽章的存留期和撤銷

臨機操作 SAS 與預存存取原則

撤銷 SAS

服務 SAS 範例

另請參閱

其他資源

`signedVersion`指定欄位