建立使用者委派 SAS

  • 發行項

您可以使用 Microsoft Entra 認證或帳戶密鑰來保護共用存取簽章 (SAS) 令牌，以存取容器、目錄或 Blob。 使用 Microsoft Entra 認證保護的 SAS 稱為使用者委派 SAS。 基於安全性最佳作法，建議您盡可能使用 Microsoft Entra 認證，而不是帳戶密鑰，這會更容易遭到入侵。 當您的應用程式設計需要共用存取簽章時，請使用 Microsoft Entra 認證來建立使用者委派 SAS，以協助確保更好的安全性。

每個 SAS 都會以金鑰簽署。 若要建立使用者委派 SAS，您必須先要求 使用者委派密鑰，然後用來簽署 SAS。 使用者委派密鑰類似於用來簽署服務 SAS 或帳戶 SAS 的帳戶密鑰，不同之處在於它依賴您的 Microsoft Entra 認證。 若要要求使用者委派密鑰，請呼叫 取得使用者委派密鑰 作業。 然後，您可以使用使用者委派密鑰來建立 SAS。

Azure Blob 儲存體 和 Azure Data Lake Storage Gen2 支援使用者委派 SAS。 使用者委派 SAS 不支援預存存取原則。

警告

共用存取簽章是授與記憶體資源許可權的金鑰，您應該保護它們，就像保護帳戶密鑰一樣。 保護 SAS 防止遭到惡意使用或誤用至關重要。 在散發 SAS 時請謹慎使用，並備妥方案以撤銷遭盜用的 SAS。 使用共用存取簽章的作業應該只透過 HTTPS 連線執行，而共用存取簽章 URI 應該只散發在安全連線上，例如 HTTPS。

如需使用您的帳戶密鑰來保護 SAS 的相關信息，請參閱 建立服務 SAS 和 建立帳戶 SAS。

目錄範圍存取的使用者委派 SAS 支援

當授權版本 () 為 sv 2020-02-10 或更新版本，且已啟用階層命名空間 (HNS) 時，使用者委派 SAS 支援目錄範圍 sr=d () 。 目錄範圍 () sr=d 語意類似於容器範圍 (sr=c) ，但存取僅限於目錄及其內的任何檔案和子目錄。 指定 時 sr=d ， sdd 也需要查詢參數。

授權版本 2020-02-10 的字串對簽署格式不會變更。

使用者 OID 的使用者委派 SAS 支援

當授權版本 (sv) 為 2020-02-10 或更新版本時，使用者委派 SAS 支援 (OID) suoidsaoid 的選擇性使用者物件識別符。 這個選擇性參數為多使用者叢集工作負載提供增強的授權模型，例如 Hadoop 和 Spark。

SAS 令牌可以受限於特定的文件系統作業和使用者，以提供較不易受攻擊的存取令牌，以更安全的方式分散到多使用者叢集。 這些功能的其中一個使用案例是 Hadoop ABFS 驅動程式與 Apache Ranger 的整合。

授權使用者委派 SAS

當用戶端使用使用者委派 SAS 存取 Blob 記憶體資源時，Azure 記憶體的要求會獲得用來建立 SAS 的 Microsoft Entra 認證授權。 角色型訪問控制 (RBAC) 授與該 Microsoft Entra 帳戶的許可權，以及 SAS 上明確授與的許可權，決定用戶端對資源的存取權。 此方法提供額外的安全性層級，並協助您避免使用應用程式程式代碼來儲存帳戶存取密鑰。 基於這些原因，使用 Microsoft Entra 認證建立 SAS 是安全性最佳做法。

授與擁有 SAS 之用戶端的許可權是授與安全性主體的許可權交集，這些許可權會授與要求使用者委派密鑰的安全性主體，以及使用 signedPermissions [ (sp) ] 欄位授與 SAS 令牌上資源的許可權。 如果透過 RBAC 授與安全性主體的權限並未在 SAS 權杖上授與，則不會將該權限授與嘗試使用 SAS 存取資源的用戶端。 當您建立使用者委派 SAS 時，請確定透過 RBAC 授與的許可權，以及透過 SAS 令牌授與的許可權，都符合用戶端所需的存取層級。

若要建立使用者委派 SAS，請執行下列動作：

  1. 使用 RBAC 將所需的許可權授與將要求使用者委派密鑰的安全性主體。
  2. 從 Microsoft Entra ID 取得 OAuth 2.0 令牌。
  3. 藉由呼叫 取得使用者委派密鑰 作業，使用令牌來要求使用者委派密鑰。
  4. 使用使用者委派密鑰，以適當的欄位建構 SAS 令牌。

使用 RBAC 指派許可權

要求使用者委派密鑰的安全性主體必須具備適當的許可權才能執行此動作。 Microsoft Entra ID 安全性主體可以是使用者、群組、服務主體或受控識別。

若要要求使用者委派密鑰，您必須將 Microsoft.Storage/storageAccounts/blobServices/generateUserDelegationKey 動作指派給安全性主體。 下列內建 RBAC 角色包括 Microsoft.Storage/storageAccounts/blobServices/generateUserDelegationKey 宏指令，明確或作為通配符定義的一部分：

因為 取得使用者委派密鑰 作業在記憶體帳戶的層級上運作， 所以 Microsoft.Storage/storageAccounts/blobServices/generateUserDelegationKey 宏指令的範圍必須限定在記憶體帳戶、資源群組或訂用帳戶的層級。 如果安全性主體已指派任何先前列出的內建角色或自定義角色，其中包含 Microsoft.Storage/storageAccounts/blobServices/generateUserDelegationKey 宏指令，則安全性主體可以在記憶體帳戶、資源群組或訂用帳戶的層級上要求使用者委派密鑰。

如果安全性主體獲指派允許數據存取的角色，但範圍限定於容器層級，您可以額外將 記憶體 Blob 委派程式 角色指派給記憶體帳戶、資源群組或訂用帳戶層級的安全性主體。 記憶體 Blob 委派者角色會授與安全性主體許可權，以要求使用者委派密鑰。

如需 Azure 記憶體 RBAC 角色的詳細資訊，請參閱 使用 Azure Active Directory 授權。

取得 OAuth 2.0 令牌

若要取得使用者委派密鑰，請先從 Microsoft Entra ID 要求 OAuth 2.0 令牌。 提供令牌與持有人配置，以授權呼叫 取得使用者委派密鑰 作業。 如需從 Microsoft Entra ID 要求 OAuth 令牌的詳細資訊，請參閱驗證流程和應用程式案例。

要求使用者委派金鑰

呼叫 取得使用者委派密鑰 作業會傳回金鑰做為一組值，做為使用者委派 SAS 令牌上的參數。 這些參數會在 取得使用者委派密鑰 參考和下一節「建構使用者委派 SAS」中說明。

當用戶端使用 OAuth 2.0 令牌要求使用者委派密鑰時，Azure 記憶體會代表安全性主體傳回使用者委派密鑰。 使用使用者委派金鑰建立的 SAS 會授與已授與安全性主體的許可權。

擁有使用者委派金鑰之後，您可以使用它，在金鑰存留期內建立任意數目的使用者委派共用存取簽章。 使用者委派金鑰與您用來取得密鑰的 OAuth 2.0 令牌無關，因此只要密鑰仍然有效，就不需要更新令牌。 您可以指定金鑰在最多七天內有效。

建構使用者委派 SAS

下表摘要說明使用者委派 SAS 令牌支援的欄位。 後續章節提供如何指定這些參數的其他詳細數據。

SAS 功能變數名稱 SAS 令牌參數 必要或選用 版本支援 Description
signedVersion sv 必要 2018-11-09 和更新版本 指出用來建構簽章欄位的服務版本。 它也會指定處理使用此SAS提出之要求的服務版本。
signedResource sr 必要 全部 指定哪些 Blob 資源可透過共用存取簽章存取。
signedStart st 選擇性 全部 選擇性。 共用存取簽章生效的時間，以其中一個可接受的 ISO 8601 UTC 格式表示。 如果省略此值，則會使用目前的UTC時間作為開始時間。 如需已接受 UTC 格式的詳細資訊，請參閱 格式化 DateTime 值。
signedExpiry se 必要 全部 共用存取簽章變成無效的時間，以其中一個可接受的 ISO 8601 UTC 格式表示。 如需已接受 UTC 格式的詳細資訊，請參閱 格式化 DateTime 值。
signedPermissions sp 必要 全部 指出擁有SAS的用戶端可以在資源上執行的作業。 許可權可以合併。
signedIp sip 選擇性 2015-04-05 和更新版本 指定要接受要求的IP位址或IP位址的內含範圍。 當您指定範圍時，請記住範圍是包含的。 僅支援 IPv4 位址。

例如，sip=168.1.5.65 或 sip=168.1.5.60-168.1.5.70。
signedProtocol spr 選擇性 2015-04-05 和更新版本 指定對SAS提出的要求所允許的通訊協定。 請包含此欄位，要求以 SAS 令牌提出的要求使用 HTTPS。
signedObjectId skoid 必要 2018-11-09 和更新版本 識別安全性主體 Microsoft Entra。
signedTenantId sktid 必要 2018-11-09 和更新版本 指定定義安全性主體的 Microsoft Entra 租使用者。
signedKeyStartTime skt 選擇性。 2018-11-09 和更新版本 取得 使用者委派金鑰 作業會傳回此值。 表示使用者委派密鑰存留期的開頭，以其中一個可接受的 ISO 8601 UTC 格式表示。 如果省略值，則會假設目前的時間。 如需已接受 UTC 格式的詳細資訊，請參閱 格式化 DateTime 值。
signedKeyExpiryTime ske 必要 2018-11-09 和更新版本 取得 使用者委派金鑰 作業會傳回此值。 指出使用者委派密鑰的存留期結束，以其中一個可接受的 ISO 8601 UTC 格式表示。 如需已接受 UTC 格式的詳細資訊，請參閱 格式化 DateTime 值。
signedKeyVersion skv 必要 2018-11-09 和更新版本 取得 使用者委派金鑰 作業會傳回此值。 指定用來取得使用者委派金鑰的記憶體服務版本。 此欄位必須指定版本 2018-11-09 或更新版本。
signedKeyService sks 必要 2018-11-09 和更新版本 指出使用者委派金鑰有效的服務。 目前僅支援 Blob 記憶體。
signedAuthorizedObjectId saoid 選擇性 2020-02-10 和更新版本 指定由使用者委派密鑰擁有者授權之 Microsoft Entra 安全性主體的物件標識元，以執行 SAS 令牌所授與的動作。 執行 (ACL) 的可攜式作業系統介面 (POSIX) 存取控制清單上，沒有額外的許可權檢查。
signedUnauthorizedObjectId suoid 選擇性 2020-02-10 和更新版本 指定啟用階層命名空間時，Microsoft Entra 安全性主體的物件標識符。 Azure 記憶體會先對對對象識別碼執行 POSIX ACL 檢查，再授權作業。
signedCorrelationId scid 選擇性 2020-02-10 和更新版本 將記憶體稽核記錄與產生和散發 SAS 的主體所使用的稽核記錄相互關聯。
signedDirectoryDepth sdd 必要時機 sr=d 2020-02-10 和更新版本 指出字串對符號欄位中所指定 canonicalizedResource 目錄根資料夾中的目錄數目。
signedEncryptionScope ses 選擇性 2020-12-06 和更新版本 表示用來加密要求內容的加密範圍。
signature sig 必要 全部 簽章是以哈希為基礎的訊息驗證碼， (HMAC) ，會使用 SHA256 演算法透過字串對簽署和密鑰進行計算，然後使用 Base64 編碼進行編碼。
Cache-Control 回應標頭 rscc 選擇性 2013-08-15 和更新版本 Azure 記憶體會將 Cache-Control 響應標頭設定為 SAS 令牌上指定的值。
Content-Disposition 回應標頭 rscd 選擇性 2013-08-15 和更新版本 Azure 記憶體會將 Content-Disposition 響應標頭設定為 SAS 令牌上指定的值。
Content-Encoding 回應標頭 rsce 選擇性 2013-08-15 和更新版本 Azure 記憶體會將 Content-Encoding 響應標頭設定為 SAS 令牌上指定的值。
Content-Language 回應標頭 rscl 選擇性 2013-08-15 和更新版本 Azure 記憶體會將 Content-Language 響應標頭設定為 SAS 令牌上指定的值。
Content-Type 回應標頭 rsct 選擇性 2013-08-15 和更新版本 Azure 記憶體會將 Content-Type 響應標頭設定為 SAS 令牌上指定的值。

指定已簽署的版本欄位

必要 signedVersion (sv) 欄位會指定共用存取簽章的服務版本。 這個值表示用來建構 signature 字段的服務版本，並指定處理使用此共用存取簽章提出之要求的服務版本。 欄位的值 sv 必須是 2018-11-09 版或更新版本。

指定已簽署的資源欄位

必要 signedResource (sr) 字段會指定哪些資源可透過共用存取簽章存取。 下表描述如何參考 SAS 令牌中的 Blob、容器或目錄資源：

資源 參數值 支援的版本 描述
Blob b 全部 授與 Blob 內容和元數據的存取權。
Blob 版本 Bv 2018-11-09 和更新版本 授與 Blob 版本的內容和元數據存取權，但不會授與基底 Blob 的存取權。
Blob 快照集 bs 2018-11-09 和更新版本 授與 Blob 快照集內容和元數據的存取權，但不會授與基底 Blob 的存取權。
容器 c 全部 將存取權授與容器中任何 Blob 的內容和元數據，以及容器中的 Blob 清單。
目錄 d 2020-02-10 和更新版本 在已啟用階層命名空間的記憶體帳戶中，將存取權授與目錄中任何 Blob 的內容和元數據，以及目錄中的 Blob 清單。 如果已為 signedResource 欄位指定目錄， signedDirectoryDepthsdd 則也需要 () 參數。 目錄一律位於容器內。

指定簽章有效性的持續時間

signedStartst () 和 signedExpiry (se) 欄位會指出 SAS 的開始和到期時間。 signedExpiry 是必填欄位。 signedStart 是選擇性欄位。 如果省略，則會使用目前的UTC時間作為開始時間。

對於使用者委派 SAS，SAS 的開始和到期時間應該在使用者委派密鑰所定義的間隔內。 如果客戶端在使用者委派密鑰過期之後嘗試使用 SAS，則不論 SAS 本身是否仍然有效，SAS 都會失敗併發生授權錯誤。

如需已接受 UTC 格式的詳細資訊，請參閱 格式化 DateTime 值。

指定權限

在 SAS 令牌上針對 signedPermissions [ sp () ] 欄位所指定的許可權，表示擁有 SAS 的用戶端可以在資源上執行的作業。

您可以結合許可權，以允許用戶端使用相同的SAS執行多個作業。 當您建構 SAS 時，必須依下列順序包含權限：

racwdxltmeop

容器的有效權限設定範例包括 、、、、wlwd、 和 rlrlrdrw 不合法設定的範例包括 wr、 dr、 lr和 dw。 不允許多次指定許可權。

使用者委派 SAS 無法授與特定作業的存取權：

  • 無法建立、刪除或列出容器。
  • 容器元數據和屬性無法讀取或寫入。
  • 容器無法租用。

若要建構授與這些作業存取權的 SAS，請使用帳戶 SAS。 如需詳細資訊，請參閱建立帳戶 SAS。

下表說明每個資源類型支援的權限：

權限 URI 符號 資源 版本支援 允許的作業
讀取 r 容器
目錄
Blob		 全部 讀取容器或目錄中任何 Blob 的內容、封鎖清單、屬性和元數據。 使用 Blob 作為複製作業的來源。
加 a 容器
目錄
Blob		 全部 將區塊新增至附加 Blob。
建立 c 容器
目錄
Blob		 全部 寫入新的 Blob、快照集 Blob，或將 Blob 複製到新的 Blob。
寫入 w 容器
目錄
Blob		 全部 建立或寫入內容、屬性、元數據或封鎖清單。 建立 Blob 的快照集或租用 Blob。 調整 Blob 的大小 (僅限分頁 Blob)。 使用 Blob 作為複製作業的目的地。
刪除 d 容器
目錄
Blob		 全部 刪除 Blob。 針對 2017-07-29 版和更新版本，Delete 許可權也允許中斷 Blob 上的租用。 如需詳細資訊，請參閱 租用 Blob 作業。
刪除版本 x 容器
Blob		 2019-12-12 和更新版本 刪除 Blob 版本。
永久刪除 y Blob 2020-02-10 和更新版本 永久刪除 Blob 快照集或版本。
List l 容器
目錄		 全部 以非遞歸方式列出 Blob。
標籤 t Blob 2019-12-12 和更新版本 讀取或寫入 Blob 上的標記。
移動 m 容器
目錄
Blob		 2020-02-10 和更新版本 將 Blob 或目錄及其內容移至新位置。 如果 SAS 令牌中包含 參數，而且 saoid 黏性位是在父目錄上設定，則可以選擇性地限製為子 Blob、目錄或父目錄的擁有者。
執行 e 容器
目錄
Blob		 2020-02-10 和更新版本 取得系統屬性，如果記憶體帳戶已啟用階層命名空間，請取得 Blob 的 POSIX ACL。 如果已啟用階層命名空間，且呼叫端是 Blob 的擁有者，則此許可權會授與設定擁有群組、POSIX 許可權和 Blob POSIX ACL 的能力。 它不允許呼叫端讀取使用者定義的元數據。
擁有權 o 容器
目錄
Blob		 2020-02-10 和更新版本 啟用階層命名空間時，此許可權可讓呼叫端設定擁有者或擁有群組，或在呼叫者重新命名或刪除已設定黏性位之目錄中的目錄或 Blob 時，作為擁有者。
權限 p 容器
目錄
Blob		 2020-02-10 和更新版本 啟用階層命名空間時，此許可權可讓呼叫者在目錄和 Blob 上設定許可權和 POSIX ACL。
設定不變性原則 i 容器
Blob		 2020-06-12 和更新版本 設定或刪除 Blob 的不變性原則或法律保留。

指定IP位址或IP範圍

選擇性 signedIp (sip) 欄位會指定要接受要求的公用IP位址或公用IP位址範圍。 如果要求的來源IP位址不符合SAS令牌上指定的IP位址或位址範圍，則要求未獲得授權。 僅支援 IPv4 位址。

當您指定IP位址的範圍時，範圍會包含。 例如，在 sip=168.1.5.65 SAS上指定 或 sip=168.1.5.60-168.1.5.70 ，會將要求限制為這些IP位址。

下表描述是否要 signedIp 根據客戶端環境和儲存體帳戶的位置，在指定案例的SAS令牌中包含欄位。

客戶端環境 儲存體帳戶位置 建議
在 Azure 中執行的用戶端 在與用戶端相同的區域中 在此案例中提供給用戶端的SAS不應包含欄位的 signedIp 輸出IP位址。 使用具有指定輸出IP位址的SAS，從相同區域內提出的要求將會失敗。

請改用 Azure 虛擬網路來管理網路安全性限制。 從相同區域內對 Azure 記憶體的要求一律會透過私人 IP 位址進行。 如需詳細資訊，請參閱設定 Azure 儲存體防火牆和虛擬網路。
在 Azure 中執行的用戶端 在與用戶端不同的區域中 在此案例中提供給用戶端的SAS可能包含欄位的公用IP位址或位址 signedIp 範圍。 您使用 SAS 提出的要求必須來自指定的 IP 位址或位址範圍。
在內部部署或不同雲端環境中執行的用戶端 在任何 Azure 區域中 在此案例中提供給用戶端的SAS可能包含欄位的公用IP位址或位址 signedIp 範圍。 您使用 SAS 提出的要求必須來自指定的 IP 位址或位址範圍。

如果要求通過 Proxy 或閘道，請為 signedIp 欄位提供該 Proxy 或閘道的公用輸出 IP 位址。

指定 HTTP 通訊協定

選擇性 signedProtocol (spr) 欄位會指定 SAS 提出要求允許的通訊協定。 可能的值為 HTTPS 和 HTTP (https,http) 或僅限 HTTPS (https)。 預設值是 https,http。

注意

無法指定欄位的 spr HTTP。

指定已簽署的物件識別碼

signedObjectId 使用者委派 SAS 需要 (skoid) 欄位。 取得使用者委派金鑰作業會傳回此值作為回應的一部分。 已簽署的物件識別碼是 GUID 值，可提供 Microsoft 身分識別平台 中安全性主體的不可變標識碼。

指定已簽署的租用戶標識碼

signedTenantId 使用者委派 SAS 需要 (sktid) 欄位。 取得使用者委派金鑰作業會傳回此值作為回應的一部分。 簽署的租使用者標識碼是 GUID 值，代表定義安全性主體 Microsoft Entra 租使用者。

指定已簽署的金鑰開始時間

選擇性 signedKeyStartTime (skt) 字段會指出 ISO 日期格式的使用者委派密鑰存留期開始。 取得使用者委派金鑰作業會傳回此值作為回應的一部分。 如果省略開始時間，則會假設已簽署的金鑰開始時間是目前的時間。

指定已簽署的金鑰到期時間

signedKeyExpiryTime ISO 日期格式的使用者委派 SAS 需要 (ske) 字段。 取得使用者委派金鑰作業會傳回此值作為回應的一部分。 簽署的金鑰到期時間表示使用者委派金鑰的存留期結束。 到期時間的值可能從SAS 開始時間起最多 7 天。

指定已簽署的金鑰服務

signedKeyService 使用者委派 SAS 需要 (sks) 欄位。 取得使用者委派金鑰作業會傳回此值作為回應的一部分。 已簽署的金鑰服務欄位表示使用者委派金鑰有效的服務。 Blob 記憶體 b的已簽署金鑰服務欄位值為 。

指定已簽署的金鑰版本

signedkeyversion 使用者委派 SAS 需要 (skv) 欄位。 取得使用者委派金鑰作業會傳回此值作為回應的一部分。 欄位 signedkeyversion 會指定用來取得使用者委派金鑰的記憶體服務版本。 此欄位必須指定版本 2018-11-09 或更新版本。

指定安全性主體的已簽署物件標識碼

選擇性 signedAuthorizedObjectId (saoid) 和 signedUnauthorizedObjectId () suoid 欄位可針對 Azure Data Lake Storage Gen2 工作負載與 Apache Hadoop 和 Apache Ranger 整合。 在 SAS 令牌上使用下列其中一個字段來指定安全性主體的物件識別碼：

  • 欄位saoid會指定 Microsoft Entra 安全性主體的物件標識碼，該主體是由使用者委派密鑰的擁有者授權，以執行 SAS 令牌所授與的動作。 Azure 記憶體會驗證 SAS 令牌，並確保 Azure 記憶體授與存取權之前，使用者委派密鑰的擁有者具有必要的許可權。 不會對 POSIX ACL 執行任何其他許可權檢查。
  • 當記憶體帳戶啟用階層命名空間時，欄位suoid會指定 Microsoft Entra 安全性主體的物件識別碼。 欄位 suoid 僅適用於具有階層命名空間的帳戶。 當 suoid 欄位包含在 SAS 令牌上時，Azure 記憶體會在授權作業之前，針對物件識別碼執行 POSIX ACL 檢查。 如果此 ACL 檢查失敗，作業就會失敗。 如果 suoid SAS 令牌中包含字段，則必須為記憶體帳戶啟用階層命名空間。 否則，許可權檢查將會失敗，並出現授權錯誤。

要求使用者委派密鑰之安全性主體的物件標識符會擷取於必要 skoid 欄位中。 若要使用 saoid 或 字段在 SAS 令牌上指定對象標識符，必須在字段中識別skoid的安全性主體指派包含 Microsoft.Storage/storageAccounts/blobServices/containers/blobs/runAsSuperUser/action 或 Microsoft.Storage/storageAccounts/blobServices/containers/blobs/manageOwnership/action 的 RBAC suoid 角色。 如需這些動作的詳細資訊，請參閱 Azure 資源提供者作業。

藉由在 或 suoid 欄位中指定物件識別碼saoid，您也可以使用下列方式來限制與目錄或 Blob 擁有權相關的作業：

  • 如果作業建立目錄或 Blob，Azure 記憶體會將目錄或 Blob 的擁有者設定為物件識別碼所指定的值。 如果未指定物件識別碼，Azure 記憶體會將目錄或 Blob 的擁有者設定為 參數所 skoid 指定的值。
  • 如果在父目錄上設定黏性位，且作業會刪除或重新命名目錄或 Blob，則父目錄的擁有者或資源的擁有者物件識別碼必須符合物件標識碼所指定的值。
  • 如果作業設定目錄或 Blob 的擁有者且 x-ms-owner 已指定標頭，則對象識別碼所指定的值必須符合標頭所 x-ms-owner 指定的值。
  • 如果作業設定目錄或 Blob 的群組，而且 x-ms-group 已指定標頭，則對象識別碼所指定的值必須是標頭所 x-ms-group 指定群組的成員。
  • 如果作業設定目錄或 Blob 的權限或 ACL，也必須符合下列兩個條件之一：
    • 為物件識別元指定的值必須是目錄或 Blob 的擁有者。
    • 除了 () 許可權Permissions之外， () 欄位的值 spsignedPermissions 必須包含 Ownership (op) 許可權。

當您使用 SAS 令牌提出要求時，或 suoid 欄位中指定的saoid物件識別碼會包含在診斷記錄中。

saoid只有當 () sv 欄位設定為 2020-02-10 版或更新版本時signedVersion，才支援 或 suoid 字段。 SAS 令牌上只能包含其中一個字段。

指定相互關聯標識碼

signedCorrelationIdscid () 字段會指定相互關聯標識符，可用來將記憶體稽核記錄與產生和散發 SAS 的主體所使用的稽核記錄相互關聯。 例如，信任的授權服務通常會有一個受控識別，可驗證和授權使用者、產生SAS、將專案新增至本機稽核記錄，並將 SAS 傳回給使用者，該使用者接著可以使用 SAS 來存取 Azure 記憶體資源。 藉由在本機稽核記錄和記憶體稽核記錄中包含相互關聯標識碼，您稍後允許這些事件相互關聯。 此值是不含大括號且具有小寫字元的 GUID。

2020-02-10 版和更新版本支援此欄位。

指定目錄深度

signedResource如果欄位指定目錄 (sr=d) ，您也必須指定 signedDirectoryDepth () sdd 欄位，以指出根目錄下的子目錄數目。 域的值 sdd 必須是非負整數。

例如，根目錄 https://{account}.blob.core.windows.net/{container}/ 的深度為0。 根目錄中的每個子目錄都會新增至深度 1。 目錄 https://{account}.blob.core.windows.net/{container}/d1/d2 深度為 2。

2020-02-10 版和更新版本支援此欄位。

指定查詢參數以覆寫響應標頭

若要定義在要求中使用共用存取簽章時，所要傳回的特定回應標頭值，您可以在查詢參數中指定回應標頭。 回應標頭及對應的查詢參數如下：

回應標頭名稱 對應的 SAS 查詢參數
Cache-Control rscc
Content-Disposition rscd
Content-Encoding rsce
Content-Language rscl
Content-Type rsct

例如，如果您在 SAS 令牌上指定 rsct=binary 查詢參數，回應 Content-Type 標頭會設定為 binary。 此值只會覆寫針對使用此共用存取簽章的要求之 Blob 儲存的 Content-Type 標頭值。

如果您建立將響應標頭指定為查詢參數的共用存取簽章，則必須在用來建構簽章字串的字串對簽署中包含這些響應標頭。 For more information, see the "Specify the signature" section.

指定加密範圍

signed encryption scopeses () 字段會指定用戶端應用程式透過 Put Blob 作業使用 SAS 令牌上傳 Blob 時所使用的加密範圍。 signed encryption scope當 SAS 令牌上的已簽署版本 (sv) 欄位為 2020-12-06 版或更新版本時，支援字段。 如果已簽署的版本欄位指定的版本早於支援的版本，服務會傳回錯誤回應碼 403 (禁止) 。

如果容器或文件系統已設定預設加密範圍，欄位 ses 會遵守容器加密原則。 如果查詢參數和標頭之間ses不符，而且x-ms-deny-encryption-scope-override標頭設定true為 ，服務會傳回錯誤回應碼 403 (禁止 x-ms-default-encryption-scope) 。

x-ms-encryption-scope如果 PUT 要求中同時提供標頭和ses查詢參數，而且不相符，服務會傳回錯誤回應碼 400 (不正確的要求) 。

指定簽章

signaturesig () 字段是用來授權用戶端使用共用存取簽章提出的要求。 字串對符號是從必須驗證以授權要求的欄位建構的唯一字串。 簽章是透過字串對簽署和密鑰計算的 HMAC，方法是使用 SHA256 演算法，然後使用 Base64 編碼進行編碼。

若要建構使用者委派 SAS 的簽章字串，請從組成要求的欄位建立字串對簽署、將字串編碼為 UTF-8，然後使用 HMAC-SHA256 演演算法計算簽章。 字串對簽署中包含的字段必須是 URL 譯碼。

字串對簽署中所需的欄位取決於用於授權 (欄位的服務 sv 版本) 。 下列各節說明支援使用者委派 SAS 之版本的字串對簽署組態。

版本 2020-12-06 和更新版本

授權版本 2020-12-06 和更新版本的字串對簽署格式如下：

StringToSign =  signedPermissions + "\n" +
                signedStart + "\n" +
                signedExpiry + "\n" +
                canonicalizedResource + "\n" +
                signedKeyObjectId + "\n" +
                signedKeyTenantId + "\n" +
                signedKeyStart + "\n" +
                signedKeyExpiry  + "\n" +
                signedKeyService + "\n" +
                signedKeyVersion + "\n" +
                signedAuthorizedUserObjectId + "\n" +
                signedUnauthorizedUserObjectId + "\n" +
                signedCorrelationId + "\n" +
                signedIP + "\n" +
                signedProtocol + "\n" +
                signedVersion + "\n" +
                signedResource + "\n" +
                signedSnapshotTime + "\n" +
                signedEncryptionScope + "\n" +
                rscc + "\n" +
                rscd + "\n" +
                rsce + "\n" +
                rscl + "\n" +
                rsct

版本 2020-02-10

授權版本 2020-02-10 的字串對簽署格式如下：

StringToSign =  signedPermissions + "\n" +
                signedStart + "\n" +
                signedExpiry + "\n" +
                canonicalizedResource + "\n" +
                signedKeyObjectId + "\n" +
                signedKeyTenantId + "\n" +
                signedKeyStart + "\n" +
                signedKeyExpiry  + "\n" +
                signedKeyService + "\n" +
                signedKeyVersion + "\n" +
                signedAuthorizedUserObjectId + "\n" +
                signedUnauthorizedUserObjectId + "\n" +
                signedCorrelationId + "\n" +
                signedIP + "\n" +
                signedProtocol + "\n" +
                signedVersion + "\n" +
                signedResource + "\n" +
                signedSnapshotTime + "\n" +
                rscc + "\n" +
                rscd + "\n" +
                rsce + "\n" +
                rscl + "\n" +
                rsct

2020-02-10 之前的版本

2020-02-10 之前授權版本的字串對簽署格式如下：

StringToSign =  signedPermissions + "\n" +  
                signedStart + "\n" +  
                signedExpiry + "\n" +  
                canonicalizedResource + "\n" +  
                signedKeyObjectId + "\n" +
                signedKeyTenantId + "\n" +
                signedKeyStart + "\n" +
                signedKeyExpiry  + "\n" +
                signedKeyService + "\n" +
                signedKeyVersion + "\n" +
                signedAuthorizedUserObjectId + "\n" +
                signedUnauthorizedUserObjectId + "\n" +
                signedCorrelationId + "\n" +
                signedIP + "\n" +  
                signedProtocol + "\n" +  
                signedVersion + "\n" +  
                signedResource + "\n" +
                rscc + "\n" +
                rscd + "\n" +  
                rsce + "\n" +  
                rscl + "\n" +  
                rsct

正式資源

字串的 canonicalizedResource 部分是已簽署資源的標準路徑。 它必須包含 Blob 記憶體端點和資源名稱，而且必須是 URL 譯碼。 Blob 路徑必須包含其容器。 目錄路徑必須包含對應至 sdd 參數的子目錄數目。

容器的標準資源字串必須省略提供該容器存取權之 SAS 的尾端斜線 (/) 。

下列範例示範如何根據資源類型來建構 canonicalizedResource 字串的部分。

容器範例 (Azure Blob 儲存體) 
URL = https://myaccount.blob.core.windows.net/music  
canonicalizedResource = "/blob/myaccount/music"
Blob 範例 (Azure Blob 儲存體) 
URL = https://myaccount.blob.core.windows.net/music/intro.mp3  
canonicalizedResource = "/blob/myaccount/music/intro.mp3"
容器範例 (Azure Data Lake Storage Gen2) 
URL = https://myaccount.dfs.core.windows.net/music  
canonicalizedResource = "/blob/myaccount/music"
目錄範例 (Azure Data Lake Storage Gen2) 
URL = https://myaccount.dfs.core.windows.net/music/instruments/guitar/  
canonicalizedResource = "/blob/myaccount/music/instruments/guitar/"
Blob 範例 (Azure Data Lake Storage Gen2) 
URL = https://myaccount.dfs.core.windows.net/music/intro.mp3  
canonicalizedResource = "/blob/myaccount/music/intro.mp3"

選擇性欄位

如果欄位是選擇性的，但未提供做為 SAS 令牌的一部分，請為欄位指定空字串。 請務必在空白字串之後包含新行字元 (\n)。

使用者委派 SAS 範例

下列範例顯示附加使用者委派 SAS 令牌的 Blob URI。 使用者委派 SAS 令牌會提供 Blob 的讀取和寫入許可權。

https://myaccount.blob.core.windows.net/sascontainer/blob1.txt?sp=rw&st=2023-05-24T01:13:55Z&se=2023-05-24T09:13:55Z&skoid=<object-id>&sktid=<tenant-id>&skt=2023-05-24T01:13:55Z&ske=2023-05-24T09:13:55Z&sks=b&skv=2022-11-02&sip=168.1.5.60-168.1.5.70&spr=https&sv=2022-11-02&sr=b&sig=<signature>

下表說明 URI 的每個部份：

名稱 SAS 部分 Description
資源 URI https://myaccount.blob.core.windows.net/sascontainer/blob1.txt Blob 的位址。 強烈建議您使用 HTTPS。
分隔符號 ? 查詢字串前面的分隔符。 分隔符不是 SAS 令牌的一部分。
權限 sp=rw SAS 所授與的權限包括讀取 (r) 和寫入 (w)。
開始時間 st=2023-05-24T01:13:55Z 以 UTC 時間指定。 如果您想要 SAS 立即生效，請略過開始時間。
到期時間 se=2023-05-24T09:13:55Z 以 UTC 時間指定。
物件識別碼 skoid=<object-id> Microsoft Entra 安全性主體。
租用戶識別碼 sktid=<tenant-id> 註冊安全性主體的 Microsoft Entra 租使用者。
金鑰開始時間 skt=2023-05-24T01:13:55Z 使用者委派金鑰存留期的開始。
金鑰到期時間 ske=2023-05-24T09:13:55Z 使用者委派金鑰存留期結束。
金鑰服務 sks=b 服務值僅支援 Blob 服務。
金鑰版本 skv=2022-11-02 用來取得使用者委派金鑰的記憶體服務版本。
IP 範圍 sip=168.1.5.60-168.1.5.70 將從中接受要求的 IP 位址範圍。
通訊協定 spr=https 只允許使用 HTTPS 的要求。
Blob 服務版本 sv=2022-11-02 針對 Azure 儲存體版本 2012-02-12 和更新版本，此參數表示要使用的版本。
資源 sr=b 此資源是 Blob。
簽章 sig=<signature> 用來授權存取 Blob。 簽章是 HMAC，其會使用 SHA256 演算法透過字串對簽署和密鑰進行計算，然後使用 Base64 編碼進行編碼。

撤銷使用者委派 SAS

如果您認為 SAS 遭到入侵，您應該撤銷它。 您可以撤銷使用者委派密鑰，或變更或移除用來建立 SAS 之安全性主體的 RBAC 角色指派，來撤銷使用者委派 SAS。

重要

Azure 記憶體會快取使用者委派密鑰和 RBAC 角色指派，因此當您起始撤銷程式以及現有使用者委派 SAS 失效時，可能會有延遲。

撤銷使用者委派金鑰

您可以藉由呼叫 撤銷使用者委派金鑰作業來撤銷使用者委派密鑰 。 當您撤銷使用者委派密鑰時，依賴該金鑰的任何共用存取簽章都會變成無效。 然後，您可以再次呼叫 取得使用者委派密鑰 作業，並使用密鑰來建立新的共用存取簽章。 這是撤銷使用者委派SAS的最快速方式。

變更或移除角色指派

您可以變更或移除用來建立 SAS 之安全性主體的 RBAC 角色指派。 當用戶端使用 SAS 來存取資源時，Azure 記憶體會驗證其認證用來保護 SAS 的安全性主體具有資源的必要許可權。

另請參閱