建立使用者委派 SAS

  • 發行項

您可以使用 Azure Active Directory (Azure AD) 認證或帳戶金鑰，來保護共用存取簽章 (SAS) 權杖，以存取容器、目錄或 Blob。 使用 Azure AD 認證保護的 SAS 稱為 使用者委派 SAS。 基於安全性最佳作法，建議您盡可能使用 Azure AD 認證，而不是帳戶金鑰，這會更容易遭到入侵。 當您的應用程式設計需要共用存取簽章時，請使用 Azure AD 認證來建立使用者委派 SAS，以協助確保更好的安全性。

每個 SAS 都會以金鑰簽署。 若要建立使用者委派 SAS，您必須先要求 使用者委派金鑰，然後用來簽署 SAS。 使用者委派金鑰類似于用來簽署服務 SAS 或帳戶 SAS 的帳戶金鑰，不同之處在于它依賴您的 Azure AD 認證。 若要要求使用者委派金鑰，請呼叫 取得使用者委派金鑰 作業。 然後，您可以使用使用者委派金鑰來建立 SAS。

Azure Blob 儲存體和Azure Data Lake Storage Gen2支援使用者委派 SAS。 使用者委派 SAS 不支援預存存取原則。

警告

共用存取簽章是授與儲存體資源許可權的金鑰，您應該保護它們，就像保護帳戶金鑰一樣。 保護 SAS 防止遭到惡意使用或誤用至關重要。 在散發 SAS 時請謹慎使用，並備妥方案以撤銷遭盜用的 SAS。 使用共用存取簽章的作業應該只透過 HTTPS 連線執行，而共用存取簽章 URI 應該只散發在安全連線上，例如 HTTPS。

如需使用您的帳戶金鑰來保護 SAS 的相關資訊，請參閱 建立服務 SAS 和 建立帳戶 SAS。

目錄範圍存取的使用者委派 SAS 支援

當授權版本 () 為 sv 2020-02-10 或更新版本，且已啟用階層命名空間 (HNS) 時，使用者委派 SAS 支援目錄範圍 sr=d () 。 目錄範圍 () sr=d 語意類似于容器範圍 (sr=c) ，但存取僅限於目錄及其內的任何檔案和子目錄。 指定 時 sr=d ， sdd 也需要查詢參數。

授權版本 2020-02-10 的字串對簽署格式不會變更。

使用者 OID 的使用者委派 SAS 支援

當授權版本 (sv) 為 2020-02-10 或更新版本時，使用者委派 SAS 支援 (OID) suoidsaoid 的選擇性使用者物件識別碼。 這個選擇性參數為多使用者叢集工作負載提供增強的授權模型，例如 Hadoop 和 Spark。

SAS 權杖可以受限於特定的檔案系統作業和使用者，以提供較不易受攻擊的存取權杖，以更安全的方式分散到多使用者叢集。 這些功能的其中一個使用案例是 Hadoop ABFS 驅動程式與 Apache Ranger 的整合。

授權使用者委派 SAS

當用戶端存取具有使用者委派 SAS 的 Blob 儲存體資源時，Azure 儲存體的要求會獲得用來建立 SAS 的 Azure AD 認證授權。 角色型存取控制 (RBAC) 授與該 Azure AD 帳戶的許可權，以及 SAS 上明確授與的許可權，決定用戶端對資源的存取權。 此方法提供額外的安全性層級，並協助您避免使用應用程式程式碼來儲存帳戶存取金鑰。 基於這些原因，使用 Azure AD 認證建立 SAS 是安全性最佳做法。

授與擁有 SAS 之用戶端的許可權是授與安全性主體的許可權交集，這些許可權會授與要求使用者委派金鑰的安全性主體，以及使用 signedPermissions [ (sp) ] 欄位授與 SAS 權杖上資源的許可權。 如果透過 RBAC 授與安全性主體的權限並未在 SAS 權杖上授與，則不會將該權限授與嘗試使用 SAS 存取資源的用戶端。 當您建立使用者委派 SAS 時，請確定透過 RBAC 授與的許可權，以及透過 SAS 權杖授與的許可權，都符合用戶端所需的存取層級。

若要建立使用者委派 SAS，請執行下列動作：

  1. 使用 RBAC 將所需的許可權授與將要求使用者委派金鑰的安全性主體。
  2. 從 Azure AD 取得 OAuth 2.0 權杖。
  3. 藉由呼叫 取得使用者委派金鑰 作業，使用權杖來要求使用者委派金鑰。
  4. 使用使用者委派金鑰，以適當的欄位建構 SAS 權杖。

使用 RBAC 指派許可權

要求使用者委派金鑰的安全性主體必須具備適當的許可權才能執行此動作。 Azure AD 安全性主體可以是使用者、群組、服務主體或受控識別。

若要要求使用者委派金鑰，您必須將 Microsoft.Storage/storageAccounts/blobServices/generateUserDelegationKey 動作指派給安全性主體。 下列內建 RBAC 角色包括 Microsoft.Storage/storageAccounts/blobServices/generateUserDelegationKey 巨集指令，明確或作為萬用字元定義的一部分：

因為 取得使用者委派金鑰 作業在儲存體帳戶的層級上運作， 所以 Microsoft.Storage/storageAccounts/blobServices/generateUserDelegationKey 巨集指令的範圍必須限定在儲存體帳戶、資源群組或訂用帳戶的層級。 如果安全性主體已指派任何先前列出的內建角色或自訂角色，其中包含 Microsoft.Storage/storageAccounts/blobServices/generateUserDelegationKey 巨集指令，則安全性主體可以在儲存體帳戶、資源群組或訂用帳戶的層級上要求使用者委派金鑰。

如果安全性主體獲指派允許資料存取的角色，但範圍限定于容器層級，您可以額外將 儲存體 Blob 委派程式 角色指派給儲存體帳戶、資源群組或訂用帳戶層級的安全性主體。 儲存體 Blob 委派者角色會授與安全性主體許可權，以要求使用者委派金鑰。

如需 Azure 儲存體 RBAC 角色的詳細資訊，請參閱 使用 Azure Active Directory 授權。

取得 OAuth 2.0 權杖

若要取得使用者委派金鑰，請先向 Azure AD 要求 OAuth 2.0 權杖。 提供權杖與持有人配置，以授權呼叫 取得使用者委派金鑰 作業。 如需從 Azure AD 要求 OAuth 權杖的詳細資訊，請參閱 驗證流程和應用程式案例。

要求使用者委派金鑰

呼叫 取得使用者委派金鑰 作業會傳回金鑰做為一組值，做為使用者委派 SAS 權杖上的參數。 這些參數會在 取得使用者委派金鑰 參考和下一節「建構使用者委派 SAS」中說明。

當用戶端使用 OAuth 2.0 權杖要求使用者委派金鑰時，Azure 儲存體會代表安全性主體傳回使用者委派金鑰。 使用使用者委派金鑰建立的 SAS 會授與已授與安全性主體的許可權。

擁有使用者委派金鑰之後，您可以使用它，在金鑰存留期內建立任意數目的使用者委派共用存取簽章。 使用者委派金鑰與您用來取得金鑰的 OAuth 2.0 權杖無關，因此只要金鑰仍然有效，就不需要更新權杖。 您可以指定金鑰在最多七天內有效。

建構使用者委派 SAS

下表摘要說明使用者委派 SAS 權杖支援的欄位。 後續章節提供如何指定這些參數的其他詳細資料。

SAS 功能變數名稱 SAS 權杖參數 必要或選用 版本支援 描述
signedVersion sv 必要 2018-11-09 和更新版本 指出用來建構簽章欄位的服務版本。 它也會指定處理使用此 SAS 提出之要求的服務版本。
signedResource sr 必要 全部 指定哪些 Blob 資源可透過共用存取簽章存取。
signedStart st 選擇性 全部 選擇性。 共用存取簽章生效的時間，以其中一個可接受的 ISO 8601 UTC 格式表示。 如果省略此值，則會使用目前的 UTC 時間作為開始時間。 如需已接受 UTC 格式的詳細資訊，請參閱 格式化 DateTime 值。
signedExpiry se 必要 全部 共用存取簽章變成不正確時間，以其中一個可接受的 ISO 8601 UTC 格式表示。 如需已接受 UTC 格式的詳細資訊，請參閱 格式化 DateTime 值。
signedPermissions sp 必要 全部 指出擁有 SAS 的用戶端可以在資源上執行的作業。 許可權可以合併。
signedIp sip 選擇性 2015-04-05 和更新版本 指定要接受要求的 IP 位址或 IP 位址的內含範圍。 當您指定範圍時，請記住範圍是包含的。 僅支援 IPv4 位址。

例如，sip=168.1.5.65 或 sip=168.1.5.60-168.1.5.70。
signedProtocol spr 選擇性 2015-04-05 和更新版本 指定對 SAS 提出的要求所允許的通訊協定。 請包含此欄位，要求以 SAS 權杖提出的要求使用 HTTPS。
signedObjectId skoid 必要 2018-11-09 和更新版本 識別 Azure AD 安全性主體。
signedTenantId sktid 必要 2018-11-09 和更新版本 指定定義安全性主體的 Azure AD 租使用者。
signedKeyStartTime skt 選擇性。 2018-11-09 和更新版本 取得 使用者委派金鑰 作業會傳回此值。 表示使用者委派金鑰存留期的開頭，以其中一個可接受的 ISO 8601 UTC 格式表示。 如果省略值，則會假設目前的時間。 如需已接受 UTC 格式的詳細資訊，請參閱 格式化 DateTime 值。
signedKeyExpiryTime ske 必要 2018-11-09 和更新版本 取得 使用者委派金鑰 作業會傳回此值。 指出使用者委派金鑰的存留期結束，以其中一個可接受的 ISO 8601 UTC 格式表示。 如需已接受 UTC 格式的詳細資訊，請參閱 格式化 DateTime 值。
signedKeyVersion skv 必要 2018-11-09 和更新版本 取得 使用者委派金鑰 作業會傳回此值。 指定用來取得使用者委派金鑰的儲存體服務版本。 此欄位必須指定版本 2018-11-09 或更新版本。
signedKeyService sks 必要 2018-11-09 和更新版本 指出使用者委派金鑰有效的服務。 目前僅支援 Blob 儲存體。
signedAuthorizedObjectId saoid 選擇性 2020-02-10 和更新版本 指定 Azure AD 安全性主體的物件識別碼，此主體是由使用者委派金鑰的擁有者授權，以執行 SAS 權杖所授與的動作。 執行 (ACL) 的可攜式作業系統介面 (POSIX) 存取控制清單上，沒有額外的許可權檢查。
signedUnauthorizedObjectId suoid 選擇性 2020-02-10 和更新版本 啟用階層命名空間時，指定 Azure AD 安全性主體的物件識別碼。 Azure 儲存體會先對物件識別碼執行 POSIX ACL 檢查，再授權作業。
signedCorrelationId scid 選擇性 2020-02-10 和更新版本 將儲存體稽核記錄與產生和散發 SAS 的主體所使用的稽核記錄相互關聯。
signedDirectoryDepth sdd 必要時機 sr=d 2020-02-10 和更新版本 指出字串對符號欄位中所指定 canonicalizedResource 目錄根資料夾中的目錄數目。
signedEncryptionScope ses 選擇性 2020-12-06 和更新版本 表示用來加密要求內容的加密範圍。
signature sig 必要 全部 簽章是以雜湊為基礎的訊息驗證碼， (HMAC) ，會使用 SHA256 演算法透過字串對簽署和金鑰進行計算，然後使用 Base64 編碼進行編碼。
Cache-Control 回應標頭 rscc 選擇性 2013-08-15 和更新版本 Azure 儲存體會將 Cache-Control 回應標頭設定為 SAS 權杖上指定的值。
Content-Disposition 回應標頭 rscd 選擇性 2013-08-15 和更新版本 Azure 儲存體會將 Content-Disposition 回應標頭設定為 SAS 權杖上指定的值。
Content-Encoding 回應標頭 rsce 選擇性 2013-08-15 和更新版本 Azure 儲存體會將 Content-Encoding 回應標頭設定為 SAS 權杖上指定的值。
Content-Language 回應標頭 rscl 選擇性 2013-08-15 和更新版本 Azure 儲存體會將 Content-Language 回應標頭設定為 SAS 權杖上指定的值。
Content-Type 回應標頭 rsct 選擇性 2013-08-15 和更新版本 Azure 儲存體會將 Content-Type 回應標頭設定為 SAS 權杖上指定的值。

指定已簽署的版本欄位

必要 signedVersion (sv) 欄位會指定共用存取簽章的服務版本。 這個值表示用來建構 signature 欄位的服務版本，並指定處理使用此共用存取簽章提出之要求的服務版本。 欄位的值 sv 必須是 2018-11-09 版或更新版本。

指定已簽署的資源欄位

必要 signedResource (sr) 欄位會指定哪些資源可透過共用存取簽章存取。 下表描述如何參考 SAS 權杖中的 Blob、容器或目錄資源：

資源 參數值 支援的版本 描述
Blob b 全部 授與 Blob 內容和中繼資料的存取權。
Blob 版本 Bv 2018-11-09 和更新版本 授與 Blob 版本的內容和中繼資料存取權，但不會授與基底 Blob 的存取權。
Blob 快照集 bs 2018-11-09 和更新版本 授與 Blob 快照集內容和中繼資料的存取權，但不會授與基底 Blob 的存取權。
容器 c 全部 將存取權授與容器中任何 Blob 的內容和中繼資料，以及容器中的 Blob 清單。
Directory d 2020-02-10 和更新版本 在已啟用階層命名空間的儲存體帳戶中，將存取權授與目錄中任何 Blob 的內容和中繼資料，以及目錄中的 Blob 清單。 如果已為 signedResource 欄位指定目錄， signedDirectoryDepthsdd 則也需要 () 參數。 目錄一律位於容器內。

指定簽章有效性的持續時間

(signedStartst) 和 signedExpiry (se) 欄位會指出 SAS 的開始和到期時間。 signedExpiry 是必填欄位。 signedStart 是選擇性欄位。 如果省略，則會使用目前的 UTC 時間作為開始時間。

對於使用者委派 SAS，SAS 的開始和到期時間應該在使用者委派金鑰所定義的間隔內。 如果用戶端在使用者委派金鑰過期之後嘗試使用 SAS，則不論 SAS 本身是否仍然有效，SAS 都會失敗併發生授權錯誤。

如需已接受 UTC 格式的詳細資訊，請參閱 格式化 DateTime 值。

指定權限

在 SAS 權杖上針對 signedPermissions [ sp () ] 欄位所指定的許可權，表示擁有 SAS 的用戶端可以在資源上執行的作業。

您可以結合許可權，以允許用戶端使用相同的 SAS 執行多個作業。 當您建構 SAS 時，必須依下列順序包含許可權：

racwdxltmeop

容器的有效許可權設定範例包括 、、、、 wlwd 、 和 rl 。 rlrdrw 無效設定的範例包括 wr 、 dr 、 lr 和 dw 。 不允許多次指定許可權。

使用者委派 SAS 無法授與特定作業的存取權：

  • 無法建立、刪除或列出容器。
  • 容器中繼資料和屬性無法讀取或寫入。
  • 容器無法租用。

若要建構授與這些作業存取權的 SAS，請使用帳戶 SAS。 如需詳細資訊，請參閱建立帳戶 SAS。

下表說明每個資源類型支援的許可權：

權限 URI 符號 資源 版本支援 允許的作業
讀取 r 容器
目錄
Blob		 全部 讀取容器或目錄中任何 Blob 的內容、封鎖清單、屬性和中繼資料。 使用 Blob 作為複製作業的來源。
加 a 容器
目錄
Blob		 全部 將區塊新增至附加 Blob。
建立 c 容器
目錄
Blob		 全部 寫入新的 Blob、快照集 Blob，或將 Blob 複製到新的 Blob。
寫入 w 容器
目錄
Blob		 全部 建立或寫入內容、屬性、中繼資料或封鎖清單。 建立 Blob 的快照集或租用 Blob。 調整 Blob 的大小 (僅限分頁 Blob)。 使用 Blob 作為複製作業的目的地。
刪除 d 容器
目錄
Blob		 全部 刪除 Blob。 針對 2017-07-29 版和更新版本，Delete 許可權也允許中斷 Blob 上的租用。 如需詳細資訊，請參閱 租用 Blob 作業。
刪除版本 x 容器
Blob		 2019-12-12 和更新版本 刪除 Blob 版本。
永久刪除 y Blob 2020-02-10 和更新版本 永久刪除 Blob 快照集或版本。
List l 容器
目錄		 全部 以非遞迴方式列出 Blob。
標籤 t Blob 2019-12-12 和更新版本 讀取或寫入 Blob 上的標記。
移動 m 容器
目錄
Blob		 2020-02-10 和更新版本 將 Blob 或目錄及其內容移至新位置。 如果 SAS 權杖中包含 參數，而且 saoid 黏性位是在父目錄上設定，則可以選擇性地限制為子 Blob、目錄或父目錄的擁有者。
執行 e 容器
目錄
Blob		 2020-02-10 和更新版本 取得系統屬性，如果儲存體帳戶已啟用階層命名空間，請取得 Blob 的 POSIX ACL。 如果已啟用階層命名空間，且呼叫端是 Blob 的擁有者，則此許可權會授與設定擁有群組、POSIX 許可權和 Blob POSIX ACL 的能力。 它不允許呼叫端讀取使用者定義的中繼資料。
擁有權 o 容器
目錄
Blob		 2020-02-10 和更新版本 啟用階層命名空間時，此許可權可讓呼叫端設定擁有者或擁有群組，或在呼叫者重新命名或刪除已設定黏性位之目錄中的目錄或 Blob 時，作為擁有者。
權限 p 容器
目錄
Blob		 2020-02-10 和更新版本 啟用階層命名空間時，此許可權可讓呼叫者在目錄和 Blob 上設定許可權和 POSIX ACL。
設定不變性原則 i 容器
Blob		 2020-06-12 和更新版本 設定或刪除 Blob 的不變性原則或法律保留。

指定 IP 位址或 IP 範圍

選擇性 signedIp (sip) 欄位會指定要接受要求的公用 IP 位址或公用 IP 位址範圍。 如果要求的來源 IP 位址不符合 SAS 權杖上指定的 IP 位址或位址範圍，則要求未獲得授權。 僅支援 IPv4 位址。

當您指定 IP 位址的範圍時，範圍會包含。 例如，在 sip=168.1.5.65 SAS 上指定 或 sip=168.1.5.60-168.1.5.70 ，會將要求限制為這些 IP 位址。

下表描述是否要 signedIp 根據用戶端環境和儲存體帳戶的位置，在指定案例的 SAS 權杖中包含 欄位。

用戶端環境 儲存體帳戶位置 建議
在 Azure 中執行的用戶端 在與用戶端相同的區域中 在此案例中提供給用戶端的 SAS 不應包含欄位的 signedIp 輸出 IP 位址。 使用具有指定輸出 IP 位址的 SAS，從相同區域內提出的要求將會失敗。

請改用 Azure 虛擬網路來管理網路安全性限制。 從相同區域內對 Azure 儲存體的要求一律會透過私人 IP 位址進行。 如需詳細資訊，請參閱設定 Azure 儲存體防火牆和虛擬網路。
在 Azure 中執行的用戶端 在與用戶端不同的區域中 在此案例中提供給用戶端的 SAS 可能包含欄位的公用 IP 位址或位址 signedIp 範圍。 您使用 SAS 提出的要求必須來自指定的 IP 位址或位址範圍。
在內部部署或不同雲端環境中執行的用戶端 在任何 Azure 區域中 在此案例中提供給用戶端的 SAS 可能包含欄位的公用 IP 位址或位址 signedIp 範圍。 您使用 SAS 提出的要求必須來自指定的 IP 位址或位址範圍。

如果要求通過 Proxy 或閘道，請為 signedIp 欄位提供該 Proxy 或閘道的公用輸出 IP 位址。

指定 HTTP 通訊協定

選擇性 signedProtocol (spr) 欄位會指定 SAS 提出要求允許的通訊協定。 可能的值為 HTTPS 和 HTTP (https,http) 或僅限 HTTPS (https)。 預設值是 https,http。

注意

無法指定欄位的 spr HTTP。

指定已簽署的物件識別碼

signedObjectId使用者委派 SAS 需要 (skoid) 欄位。 取得使用者委派金鑰作業會傳回此值作為回應的一部分。 已簽署的物件識別碼是 GUID 值，可提供Microsoft 身分識別平臺中安全性主體的不彈性識別碼。

指定已簽署的租使用者識別碼

signedTenantId使用者委派 SAS 需要 (sktid) 欄位。 取得使用者委派金鑰作業會傳回此值作為回應的一部分。 已簽署的租使用者識別碼是 GUID 值，代表定義安全性主體的 Azure AD 租使用者。

指定已簽署的金鑰開始時間

選擇性 signedKeyStartTime (skt) 欄位會指出 ISO 日期格式的使用者委派金鑰存留期開始。 取得使用者委派金鑰作業會傳回此值作為回應的一部分。 如果省略開始時間，則會假設已簽署的金鑰開始時間是目前的時間。

指定已簽署的金鑰到期時間

signedKeyExpiryTimeISO 日期格式的使用者委派 SAS 需要 (ske) 欄位。 取得使用者委派金鑰作業會傳回此值作為回應的一部分。 簽署的金鑰到期時程表示使用者委派金鑰的存留期結束。 到期時間的值可能從 SAS 開始時間起最多 7 天。

指定已簽署的金鑰服務

signedKeyService使用者委派 SAS 需要 (sks) 欄位。 取得使用者委派金鑰作業會傳回此值作為回應的一部分。 已簽署的金鑰服務欄位表示使用者委派金鑰有效的服務。 Blob 儲存體 b 的已簽署金鑰服務欄位值為 。

指定已簽署的金鑰版本

signedkeyversion使用者委派 SAS 需要 (skv) 欄位。 取得使用者委派金鑰作業會傳回此值作為回應的一部分。 欄位 signedkeyversion 會指定用來取得使用者委派金鑰的儲存體服務版本。 此欄位必須指定版本 2018-11-09 或更新版本。

指定安全性主體的已簽署物件識別碼

選擇性 signedAuthorizedObjectId (saoid) 和 signedUnauthorizedObjectId (suoid) 欄位可讓您與 Apache Hadoop 和 Apache Ranger 整合，以進行Azure Data Lake Storage Gen2工作負載。 在 SAS 權杖上使用下列其中一個欄位來指定安全性主體的物件識別碼：

  • saoid欄位會指定 Azure AD 安全性主體的物件識別碼，該主體是由使用者委派金鑰的擁有者所授權，以執行 SAS 權杖所授與的動作。 Azure 儲存體會驗證 SAS 權杖，並確保 Azure 儲存體授與存取權之前，使用者委派金鑰的擁有者具有必要的許可權。 不會執行 POSIX ACL 的其他許可權檢查。
  • 當儲存體帳戶啟用階層命名空間時，欄位 suoid 會指定 Azure AD 安全性主體的物件識別碼。 欄位 suoid 僅適用于具有階層命名空間的帳戶。 suoid當 SAS 權杖上包含欄位時，Azure 儲存體會在授權作業之前，針對物件識別碼執行 POSIX ACL 檢查。 如果此 ACL 檢查失敗，作業就會失敗。 如果 suoid SAS 權杖中包含欄位，則必須為儲存體帳戶啟用階層命名空間。 否則，許可權檢查將會失敗，並出現授權錯誤。

要求使用者委派金鑰的安全性主體物件識別碼會在必要 skoid 欄位中擷取。 若要使用 或 欄位指定 SAS 權杖 saoid 上的物件識別碼，必須在欄位中識別 skoid 的安全性主體指派包含Microsoft.Storage/storageAccounts/blobServices/containers/blobs/runAsSuperUser/action或Microsoft.Storage/storageAccounts/blobServices/blobServices/containers/blobs/manageOwnership/action的安全性主體。 suoid 如需這些動作的詳細資訊，請參閱 Azure 資源提供者作業。

藉由在 或 suoid 欄位中指定物件識別碼 saoid ，您也可以使用下列方式來限制與目錄或 Blob 擁有權相關的作業：

  • 如果作業建立目錄或 Blob，Azure 儲存體會將目錄或 Blob 的擁有者設定為物件識別碼所指定的值。 如果未指定物件識別碼，Azure 儲存體會將目錄或 Blob 的擁有者設定為 參數所 skoid 指定的值。
  • 如果在父目錄上設定黏性位，而作業會刪除或重新命名目錄或 Blob，則父目錄或資源擁有者的物件識別碼必須符合物件識別碼所指定的值。
  • 如果作業設定目錄或 Blob 的擁有者且 x-ms-owner 指定標頭，則物件識別碼所指定的值必須符合標頭所 x-ms-owner 指定的值。
  • 如果作業設定目錄或 Blob 的群組，而且 x-ms-group 指定標頭，則物件識別碼所指定的值必須是標頭所 x-ms-group 指定的群組成員。
  • 如果作業設定目錄或 Blob 的許可權或 ACL，也必須符合下列兩個條件之一：
    • 為物件識別碼指定的值必須是目錄或 Blob 的擁有者。
    • 除了 () 許可權之外 Permissions ， () 欄位的值 signedPermissionssp 必須包含 Ownership (op) 許可權。

當您使用 SAS 權杖提出要求時，或 suoid 欄位中指定的 saoid 物件識別碼會包含在診斷記錄中。

saoid只有在 () sv 欄位設定為 2020-02-10 版或更新版本時 signedVersion ，才支援 或 suoid 欄位。 SAS 權杖中只能包含其中一個欄位。

指定相互關聯識別碼

signedCorrelationId () scid 欄位會指定相互關聯識別碼，可用來將儲存體稽核記錄與產生和散發 SAS 的主體所使用的稽核記錄相互關聯。 例如，信任的授權服務通常會有一個受控識別，可驗證和授權使用者、產生 SAS、將專案新增至本機稽核記錄，並將 SAS 傳回給使用者，然後可以使用 SAS 來存取 Azure 儲存體資源。 藉由在本機稽核記錄和儲存體稽核記錄中包含相互關聯識別碼，您稍後就可以讓這些事件相互關聯。 此值是不含大括弧和小寫字元的 GUID。

2020-02-10 版和更新版本支援此欄位。

指定目錄深度

signedResource如果欄位指定目錄 (sr=d) ，您也必須指定 signedDirectoryDepth (sdd) 欄位，以指出根目錄下的子目錄數目。 欄位的值 sdd 必須是非負整數。

例如，根目錄 https://{account}.blob.core.windows.net/{container}/ 的深度為 0。 根目錄中的每個子目錄都會新增至深度 1。 目錄 https://{account}.blob.core.windows.net/{container}/d1/d2 深度為 2。

2020-02-10 版和更新版本支援此欄位。

指定要覆寫回應標頭的查詢參數

若要定義在要求中使用共用存取簽章時，所要傳回的特定回應標頭值，您可以在查詢參數中指定回應標頭。 回應標頭及對應的查詢參數如下：

回應標頭名稱 對應的 SAS 查詢參數
Cache-Control rscc
Content-Disposition rscd
Content-Encoding rsce
Content-Language rscl
Content-Type rsct

例如，如果您在 SAS 權杖上指定 rsct=binary 查詢參數，則 Content-Type 回應標頭會設定為 binary 。 此值只會覆寫針對使用此共用存取簽章的要求之 Blob 儲存的 Content-Type 標頭值。

如果您建立將回應標頭指定為查詢參數的共用存取簽章，則必須在用來建構簽章字串的字串對簽署中包含這些回應標頭。 For more information, see the "Specify the signature" section.

指定加密範圍

(signed encryption scopeses) 欄位會指定用戶端應用程式透過 Put Blob 作業使用 SAS 權杖上傳 Blob 時所使用的加密範圍。 signed encryption scope當 SAS 權杖上的已簽署版本 () sv 欄位為 2020-12-06 版或更新版本時，支援此欄位。 如果已簽署的版本欄位指定的版本早于支援的版本，服務會傳回錯誤回應碼 403 (禁止) 。

如果容器或檔案系統已設定預設加密範圍，則 ses 欄位會遵守容器加密原則。 如果查詢參數和標頭之間 ses 不符，且 x-ms-deny-encryption-scope-override 標頭設定 true 為 ，服務會傳回錯誤回應碼 403 (禁止 x-ms-default-encryption-scope) 。

x-ms-encryption-scope如果 PUT 要求中同時提供標頭和 ses 查詢參數，而且不符，服務會傳回錯誤回應碼 400 (不正確的要求) 。

指定簽章

(signaturesig) 欄位是用來授權用戶端使用共用存取簽章提出的要求。 字串對簽署是從必須驗證以授權要求的欄位建構的唯一字串。 簽章是透過字串對簽署和金鑰計算的 HMAC，方法是使用 SHA256 演算法，然後使用 Base64 編碼進行編碼。

若要建構使用者委派 SAS 的簽章字串，請從組成要求的欄位建立字串對簽署、將字串編碼為 UTF-8，然後使用 HMAC-SHA256 演算法計算簽章。 字串對簽署中包含的欄位必須是 URL 解碼。

字串對簽署中所需的欄位取決於用於授權 (sv 欄位的服務版本) 。 下列各節說明支援使用者委派 SAS 之版本的字串對簽署組態。

版本 2020-12-06 和更新版本

授權版本 2020-12-06 和更新版本的字串對簽署具有下列格式：

StringToSign =  signedPermissions + "\n" +
                signedStart + "\n" +
                signedExpiry + "\n" +
                canonicalizedResource + "\n" +
                signedKeyObjectId + "\n" +
                signedKeyTenantId + "\n" +
                signedKeyStart + "\n" +
                signedKeyExpiry  + "\n" +
                signedKeyService + "\n" +
                signedKeyVersion + "\n" +
                signedAuthorizedUserObjectId + "\n" +
                signedUnauthorizedUserObjectId + "\n" +
                signedCorrelationId + "\n" +
                signedIP + "\n" +
                signedProtocol + "\n" +
                signedVersion + "\n" +
                signedResource + "\n" +
                signedSnapshotTime + "\n" +
                signedEncryptionScope + "\n" +
                rscc + "\n" +
                rscd + "\n" +
                rsce + "\n" +
                rscl + "\n" +
                rsct

版本 2020-02-10

授權版本 2020-02-10 的字串對簽署格式如下：

StringToSign =  signedPermissions + "\n" +
                signedStart + "\n" +
                signedExpiry + "\n" +
                canonicalizedResource + "\n" +
                signedKeyObjectId + "\n" +
                signedKeyTenantId + "\n" +
                signedKeyStart + "\n" +
                signedKeyExpiry  + "\n" +
                signedKeyService + "\n" +
                signedKeyVersion + "\n" +
                signedAuthorizedUserObjectId + "\n" +
                signedUnauthorizedUserObjectId + "\n" +
                signedCorrelationId + "\n" +
                signedIP + "\n" +
                signedProtocol + "\n" +
                signedVersion + "\n" +
                signedResource + "\n" +
                signedSnapshotTime + "\n" +
                rscc + "\n" +
                rscd + "\n" +
                rsce + "\n" +
                rscl + "\n" +
                rsct

2020-02-10 之前的版本

2020-02-10 之前的授權版本字串對簽署格式如下：

StringToSign =  signedPermissions + "\n" +  
                signedStart + "\n" +  
                signedExpiry + "\n" +  
                canonicalizedResource + "\n" +  
                signedKeyObjectId + "\n" +
                signedKeyTenantId + "\n" +
                signedKeyStart + "\n" +
                signedKeyExpiry  + "\n" +
                signedKeyService + "\n" +
                signedKeyVersion + "\n" +
                signedAuthorizedUserObjectId + "\n" +
                signedUnauthorizedUserObjectId + "\n" +
                signedCorrelationId + "\n" +
                signedIP + "\n" +  
                signedProtocol + "\n" +  
                signedVersion + "\n" +  
                signedResource + "\n" +
                rscc + "\n" +
                rscd + "\n" +  
                rsce + "\n" +  
                rscl + "\n" +  
                rsct

正式資源

字串的 canonicalizedResource 部分是已簽署資源的標準路徑。 它必須包含 Blob 儲存體端點和資源名稱，而且必須是 URL 解碼。 Blob 路徑必須包含其容器。 目錄路徑必須包含對應至 sdd 參數的子目錄數目。

容器的標準資源字串必須省略提供該容器存取權之 SAS 的尾端斜線 (/) 。

下列範例示範如何根據資源類型來建構 canonicalizedResource 字串的部分。

容器範例 (Azure Blob 儲存體) 
URL = https://myaccount.blob.core.windows.net/music  
canonicalizedResource = "/blob/myaccount/music"
Blob 範例 (Azure Blob 儲存體) 
URL = https://myaccount.blob.core.windows.net/music/intro.mp3  
canonicalizedResource = "/blob/myaccount/music/intro.mp3"
容器範例 (Azure Data Lake Storage Gen2) 
URL = https://myaccount.dfs.core.windows.net/music  
canonicalizedResource = "/blob/myaccount/music"
目錄範例 (Azure Data Lake Storage Gen2) 
URL = https://myaccount.dfs.core.windows.net/music/instruments/guitar/  
canonicalizedResource = "/blob/myaccount/music/instruments/guitar/"
Blob 範例 (Azure Data Lake Storage Gen2) 
URL = https://myaccount.dfs.core.windows.net/music/intro.mp3  
canonicalizedResource = "/blob/myaccount/music/intro.mp3"

選擇性欄位

如果欄位是選擇性的，但未作為 SAS 權杖的一部分提供，請指定欄位的空白字串。 請務必在空白字串之後包含新行字元 (\n)。

使用者委派 SAS 範例

下列範例顯示已附加使用者委派 SAS 權杖的 Blob URI。 使用者委派 SAS 權杖會提供 Blob 的讀取和寫入權限。

https://myaccount.blob.core.windows.net/sascontainer/blob1.txt?sp=rw&st=2023-05-24T01:13:55Z&se=2023-05-24T09:13:55Z&skoid=<object-id>&sktid=<tenant-id>&skt=2023-05-24T01:13:55Z&ske=2023-05-24T09:13:55Z&sks=b&skv=2022-11-02&sip=168.1.5.60-168.1.5.70&spr=https&sv=2022-11-02&sr=b&sig=<signature>

下表說明 URI 的每個部分：

名稱 SAS 部分 描述
資源 URI https://myaccount.blob.core.windows.net/sascontainer/blob1.txt Blob 的位址。 強烈建議您使用 HTTPS。
分隔符號 ? 查詢字串前面的分隔符號。 分隔符號不是 SAS 權杖的一部分。
權限 sp=rw SAS 所授與的權限包括讀取 (r) 和寫入 (w)。
開始時間 st=2023-05-24T01:13:55Z 以 UTC 時間指定。 如果您想要 SAS 立即生效，請略過開始時間。
到期時間 se=2023-05-24T09:13:55Z 以 UTC 時間指定。
物件識別碼 skoid=<object-id> Azure AD 安全性主體。
租用戶識別碼 sktid=<tenant-id> 註冊安全性主體的 Azure AD 租使用者。
金鑰開始時間 skt=2023-05-24T01:13:55Z 使用者委派金鑰存留期的開始。
金鑰到期時間 ske=2023-05-24T09:13:55Z 使用者委派金鑰的存留期結束。
金鑰服務 sks=b 服務值僅支援 Blob 服務。
金鑰版本 skv=2022-11-02 用來取得使用者委派金鑰的儲存體服務版本。
IP 範圍 sip=168.1.5.60-168.1.5.70 將從中接受要求的 IP 位址範圍。
通訊協定 spr=https 只允許使用 HTTPS 的要求。
Blob 服務版本 sv=2022-11-02 針對 Azure 儲存體版本 2012-02-12 和更新版本，此參數會指出要使用的版本。
資源 sr=b 此資源是 Blob。
簽名 sig=<signature> 用來授權存取 Blob。 簽章是透過字串對簽署和金鑰計算的 HMAC，方法是使用 SHA256 演算法，然後使用 Base64 編碼進行編碼。

撤銷使用者委派 SAS

如果您認為 SAS 已遭入侵，您應該撤銷它。 您可以撤銷使用者委派金鑰，或變更或移除用來建立 SAS 之安全性主體的 RBAC 角色指派，以撤銷使用者委派 SAS。

重要

Azure 儲存體會快取使用者委派金鑰和 RBAC 角色指派，因此當您起始撤銷程式以及現有使用者委派 SAS 失效時，可能會有延遲。

撤銷使用者委派金鑰

您可以呼叫 撤銷使用者委派金鑰作業來撤銷使用者委派金鑰 。 當您撤銷使用者委派金鑰時，依賴該金鑰的任何共用存取簽章都會變成無效。 然後，您可以再次呼叫 取得使用者委派金鑰 作業，並使用金鑰來建立新的共用存取簽章。 這是撤銷使用者委派 SAS 的最快速方式。

變更或移除角色指派

您可以變更或移除用來建立 SAS 之安全性主體的 RBAC 角色指派。 當用戶端使用 SAS 存取資源時，Azure 儲存體會驗證其認證用來保護 SAS 的安全性主體具有資源的必要許可權。

另請參閱