Konfigurieren des anonymen Lesezugriff für Container und Blobs

Azure Storage unterstützt optional den anonymen, öffentlichen Lesezugriff für Container und Blobs. Standardmäßig wird der anonyme Zugriff auf Ihre Daten nie zugelassen. Wenn Sie den anonymen Zugriff nicht explizit aktivieren, müssen alle Anforderungen an einen Container und dessen Blobs autorisiert werden. Wenn Sie die Einstellung für die Zugriffsebene eines Containers so konfigurieren, dass der anonyme Zugriff erlaubt ist, können Clients Daten in diesem Container lesen, ohne die Anforderung zu autorisieren.

In diesem Artikel wird beschrieben, wie Sie anonymen Lesezugriff auf einen Container und zugehörige Blobs konfigurieren. Für Informationen darüber, wie man anonymen Zugriff für optimale Sicherheit behebt, siehe Anonymer Lesezugriff auf Blob-Daten beheben.

Informationen zum anonymen Lesezugriff

Der anonyme Zugriff auf Ihre Daten ist standardmäßig immer unzulässig. Zwei Einstellungen beeinflussen den anonymen Zugriff:

• Einstellung für anonymen Zugriff für das Speicherkonto. Ein Azure Resource Manager-Speicherkonto bietet eine Einstellung, um anonymen Zugriff für das Konto zuzulassen oder zu verbieten. Microsoft empfiehlt, anonymen Zugriff für Ihre Speicherkonten für optimale Sicherheit zu verbieten.

  Wenn anonymer Zugriff auf Kontoebene zulässig ist, sind BLOB-Daten für anonymen Lesezugriff nicht verfügbar, es sei denn, der Benutzer führt den zusätzlichen Schritt aus, um die Einstellung für den anonymen Zugriff des Containers explizit zu konfigurieren.

• Konfigurieren der Einstellung für den anonymen Zugriff des Containers. Standardmäßig ist die Containereinstellung für den anoynmen Zugriff deaktiviert. Jede Anforderung an den Container oder dessen Daten muss also autorisiert werden. Ein Benutzer mit entsprechenden Berechtigungen kann die Containereinstellung für den anonymen Zugriff so ändern, dass anonymer Zugriff nur zugelassen wird, wenn dieser auch für das Speicherkonto aktiviert ist.

In der folgenden Tabelle wird zusammengefasst, wie sich diese beiden Einstellungen auf den anonymen Zugriff für einen Container auswirken.

Wenn anonymer Zugriff für ein Speicherkonto erlaubt und für einen bestimmten Container konfiguriert ist, akzeptiert der Dienst eine Anfrage, einen Blob in diesem Container zu lesen, der ohne Header Authorization weitergegeben wird, und gibt die Daten des Blobs in der Antwort zurück. Wenn die Anfrage jedoch mit einem Header Authorization weitergeleitet wird, ignoriert der Dienst anonymen Zugriff auf das Speicherkonto und autorisiert die Anfrage basierend auf den bereitgestellten Zugangsdaten.

Zulassen oder Verweigern des anonymen Lesezugriffs für ein Speicherkonto

Wenn Sie anonymen Zugriff für ein Speicherkonto erlauben, kann ein Benutzer mit den entsprechenden Berechtigungen die anonyme Zugriffseinstellung eines Containers so ändern, dass anonymer Zugriff auf die Daten in diesem Container möglich ist. Blob-Daten sind niemals für anonymen Zugriff verfügbar, es sei denn, der Benutzer unternimmt den zusätzlichen Schritt, die anonyme Zugriffseinstellung des Containers explizit zu konfigurieren.

Der anonyme Zugriff auf einen Container ist standardmäßig immer deaktiviert und muss explizit so konfiguriert sein, dass anonyme Anfragen erlaubt werden. Unabhängig von der Einstellung des Speicherkontos sind Ihre Daten niemals für anonymen Zugriff verfügbar, es sei denn, ein Benutzer mit den entsprechenden Berechtigungen unternimmt diesen zusätzlichen Schritt, um den anonymen Zugriff auf den Container zu ermöglichen.

Das Aufheben des anonymen Zugriffs für das Speicherkonto setzt die Einstellungen für den Zugriff für alle Container in diesem Speicherkonto außer Kraft und verhindert so den anonymen Zugriff auf die Blobdaten in diesem Konto. Wenn du den anonymen Zugriff für das Konto verweigerst, kannst du die Zugriffseinstellung für einen Container nicht so konfigurieren, dass sie anonymen Zugriff erlaubt, und zukünftige anonyme Anfragen an dieses Konto schlagen fehl. Bevor Sie diese Einstellung ändern, stellen Sie sicher, dass Sie die Auswirkungen auf Client-Anwendungen verstehen, die möglicherweise anonym auf Daten in Ihrem Speicherkonto zugreifen. Weitere Informationen finden Sie unter Verhindern des anonymen Lesezugriffs auf Container und Blobs.

Das Zulassen oder Untersagen des anonymen Zugriffs erfordert mindestens Version 2019-04-01 des Azure Storage-Ressourcenanbieters. Weitere Informationen finden Sie unter REST-API des Azure Storage-Ressourcenanbieters.

Berechtigungen zum Aufheben des anonymen Zugriffs

Um die AllowBlobPublicAccess-Eigenschaft für das Speicherkonto einzustellen, benötigen Sie Berechtigungen, um Speicherkonten zu erstellen und zu verwalten. Azure RBAC-Rollen (Role-Based Access Control, rollenbasierte Zugriffssteuerung), die diese Berechtigungen bieten, enthalten die Aktion Microsoft.Storage/storageAccounts/write. In diese Aktion sind folgende Rollen integriert:

• Die Azure Resource Manager-Rolle Besitzer
• Die Azure Resource Manager-Rolle Mitwirkender
• Die Rolle Speicherkontomitwirkender

Rollenzuweisungen müssen auf die Ebene des Speicherkontos oder höher eingeschränkt werden, damit Benutzer den anonymen Zugriff für das Speicherkonto zulassen oder aufheben dürfen. Weitere Informationen zum Geltungsbereich einer Rolle finden Sie unter Grundlegendes zum Geltungsbereich für Azure RBAC.

Beschränke die Zuweisung dieser Rollen nur auf Administratoren, die die Möglichkeit benötigen, ein Speicherkonto zu erstellen oder dessen Eigenschaften zu aktualisieren. Nutze das Prinzip der geringsten Privilegien, um sicherzustellen, dass Nutzer so wenige Berechtigungen wie möglich haben, um ihre Aufgaben zu erfüllen. Weitere Informationen zum Verwalten des Zugriffs mit Azure RBAC finden Sie unter Bewährte Methoden für Azure RBAC.

Diese Rollen bieten keinen Zugriff auf Daten in einem Speicherkonto über Microsoft Entra ID. Sie enthalten jedoch die Aktion Microsoft.Storage/storageAccounts/listkeys/action, die Zugriff auf die Kontozugriffsschlüssel gewährt. Mit dieser Berechtigung kann ein Benutzer die Zugriffsschlüssel des Kontos nutzen, um auf alle Daten in einem Speicherkonto zuzugreifen.

Das Microsoft. Storage/storageAccounts/listkeys/action selbst gewährt Datenzugriff über die Kontoschlüssel, aber es gibt einem Benutzer nicht die Möglichkeit, die AllowBlobPublicAccess-Eigenschaft für ein Speicherkonto zu ändern. Für Benutzende, die auf Daten in Ihrem Speicherkonto zugreifen müssen, die Konfiguration des Speicherkontos aber nicht ändern sollen, sollten Sie Rollen wie Mitwirkender an Speicherblobdaten, Storage-Blobdatenleser oder Lese- und Datenzugriff zuweisen.

Festlegen der Eigenschaft AllowBlobPublicAccess des Speicherkontos

Legen Sie die AllowBlobPublicAccess-Eigenschaft des Kontos fest, um den anonymen Zugriff für ein Speicherkonto zu erlauben oder zu verweigern. Diese Eigenschaft ist für alle Speicherkonten verfügbar, die Sie mit dem Azure Resource Manager-Bereitstellungsmodell erstellen. Weitere Informationen finden Sie unter Speicherkontoübersicht.

$rgName = "<resource-group>"
$accountName = "<storage-account>"
$location = "<location>"

# Create a storage account with AllowBlobPublicAccess explicitly set to false.
New-AzStorageAccount -ResourceGroupName $rgName `
    -Name $accountName `
    -Location $location `
    -SkuName Standard_GRS `
    -AllowBlobPublicAccess $false

# Read the AllowBlobPublicAccess property for the newly created storage account.
(Get-AzStorageAccount -ResourceGroupName $rgName -Name $accountName).AllowBlobPublicAccess

az storage account create \
    --name <storage-account> \
    --resource-group <resource-group> \
    --kind StorageV2 \
    --location <location> \
    --allow-blob-public-access false

az storage account show \
    --name <storage-account> \
    --resource-group <resource-group> \
    --query allowBlobPublicAccess \
    --output tsv

Wenn ein Container für den anonymen Zugriff konfiguriert ist, müssen Anforderungen zum Lesen von Blobs in diesem Container nicht autorisiert werden. Allerdings bleiben alle Firewall-Regeln, die du für das Speicherkonto konfigurierst, weiterhin in Kraft und blockieren den Verkehr im Einklang mit den konfigurierten ACLs.

Die folgenden Beispiele zeigen, wie man die AllowBlobPublicAccess-Eigenschaft für das Speicherkonto liest, um festzustellen, ob derzeit anonymer Zugriff erlaubt oder nicht erlaubt ist. Weitere Informationen darüber, wie Sie überprüfen können, ob die Einstellung für den öffentlichen Zugriff eines Kontos so konfiguriert ist, dass anonymer Zugriff verhindert wird, finden Sie unter Deaktivieren des anonymem öffentlichen Zugriffs für das Speicherkonto.

Festlegen der anonymen Zugriffsebene für einen Container

Wenn anonyme Benutzer Lesezugriff auf den Container und auf die zugehörigen Blobs erhalten sollen, müssen Sie zunächst den anonymen Zugriff für das Speicherkonto zulassen und anschließend die anonyme Zugriffsebene für den Container festlegen. Bevor Sie beginnen, stellen Sie sicher, dass anonymer Zugriff auf Kontoebene (über die AllowBlobPublicAccess-Eigenschaft ) erlaubt ist und dass Sie eine Schreibberechtigung für den Container haben. Wenn der anonyme Zugriff für das Speicherkonto verweigert wird, kannst du keinen anonymen Zugriff für einen Container konfigurieren.

Wenn Sie anonymen Zugriff auf ein Speicherkonto erlauben, können Sie einen Container mit folgenden Berechtigungen konfigurieren:

• Kein öffentlicher Lesezugriff (Portal: Privat; PowerShell: Aus): Der Container und seine Blobs können nur mit einer autorisierten Anfrage abgerufen werden. Diese Option ist die Standardeinstellung für alle neuen Container.
• Öffentlicher Lesezugriff nur für Blobs (Portal und PowerShell: Blob): Blobs im Container können anonym gelesen werden, aber Containerdaten sind nicht anonym verfügbar. Anonyme Clients können die Blobs im Container nicht aufzählen.
• Öffentlicher Lesezugriff für Container und seine Blobs (Portal und PowerShell: Container): Container- und Blob-Daten können anonym gelesen werden, mit Ausnahme von Container-Berechtigungseinstellungen und Container-Metadaten. Clients können Blobs im Container anonym auflisten, aber keine Container im Speicherkonto auflisten.

Sie können die anonyme Zugriffsebene nicht für einzelne Blobs ändern. Setze die anonyme Zugriffsebene nur auf Containerebene. Sie können die anonyme Zugriffsebene des Containers festlegen, wenn Sie den Container erstellen, oder die Einstellung für einen vorhandenen Container aktualisieren.

# Set variables.
$rgName = "<resource-group>"
$accountName = "<storage-account>"
# Get context object.
$storageAccount = Get-AzStorageAccount -ResourceGroupName $rgName -Name $accountName
$ctx = $storageAccount.Context
# Create a new container with anonymous access setting set to Off.
$containerName = "<container>"
New-AzStorageContainer -Name $containerName -Permission Off -Context $ctx
# Read the container's anonymous access setting.
Get-AzStorageContainerAcl -Container $containerName -Context $ctx
# Update the container's anonymous access setting to Container.
Set-AzStorageContainerAcl -Container $containerName -Permission Container -Context $ctx
# Read the container's anonymous access setting.
Get-AzStorageContainerAcl -Container $containerName -Context $ctx

az storage container create \
    --name <container-name> \
    --account-name <account-name> \
    --resource-group <resource-group> \
    --public-access off \
    --account-key <account-key> \
    --auth-mode key
az storage container show-permission \
    --name <container-name> \
    --account-name <account-name> \
    --account-key <account-key> \
    --auth-mode key
az storage container set-permission \
    --name <container-name> \
    --account-name <account-name> \
    --public-access container \
    --account-key <account-key> \
    --auth-mode key
az storage container show-permission \
    --name <container-name> \
    --account-name <account-name> \
    --account-key <account-key> \
    --auth-mode key

Überprüfen der Einstellung für den anonymen Zugriff für eine Gruppe von Containern

Sie können prüfen, welche Container in einem oder mehreren Speicherkonten für anonymen Zugriff konfiguriert sind, indem Sie die Container auflisten und die Einstellung für anonymen Zugriff aktivieren. Diese Vorgehensweise ist praktisch, wenn ein Speicherkonto keine große Anzahl von Containern enthält oder wenn Sie die Einstellung für eine kleine Anzahl von Speicherkonten überprüfen. Allerdings kann die Leistung leiden, wenn Sie versuchen, eine große Anzahl von Containern aufzuzählen.

Im folgenden Beispiel wird PowerShell verwendet, um die Einstellung für den anonymen Zugriff auf alle Container in einem Speicherkonto zu erhalten. Denken Sie daran, die Platzhalterwerte in Klammern durch Ihre eigenen Werte zu ersetzen:

$rgName = "<resource-group>"
$accountName = "<storage-account>"
$storageAccount = Get-AzStorageAccount -ResourceGroupName $rgName -Name $accountName
$ctx = $storageAccount.Context
Get-AzStorageContainer -Context $ctx | Select Name, PublicAccess

Unterstützte Funktionen

Die Unterstützung für dieses Features kann durch die Aktivierung von Data Lake Storage Gen2, dem Network File System (NFS) 3.0-Protokoll oder dem SSH File Transfer Protocol (SFTP) beeinträchtigt werden. Wenn Sie eine dieser Funktionen aktiviert haben, lesen Sie bitte den Abschnitt Unterstützung der Blob Storage-Funktion in Azure Storage-Konten, um die Unterstützung für dieses Features zu bewerten.

Nächste Schritte

• Verhindern des anonymen Lesezugriffs auf Container und Blobs
• Anonymer Zugriff auf öffentliche Container und Blobs mit .NET
• Autorisierung des Zugriffs auf Azure Storage