Autorisieren des Zugriffs für AzCopy mit einer Benutzeridentität

Die Benutzeridentitätsauthentifizierung bietet eine einfache Möglichkeit, AzCopy-Vorgänge mithilfe Ihrer persönlichen Microsoft Entra ID-Anmeldeinformationen zu autorisieren. Diese Authentifizierungsmethode eignet sich ideal für interaktive Szenarien, in denen Sie AzCopy-Befehle manuell ausführen oder in Entwicklungsumgebungen arbeiten.

In diesem Artikel wird erläutert, wie Sie AzCopy mithilfe Ihrer Benutzeridentität mit Umgebungsvariablen, dem interaktiven AzCopy-Anmeldebefehl oder mithilfe vorhandener Azure CLI- oder Azure PowerShell-Sitzungen authentifizieren.

Weitere Möglichkeiten zum Autorisieren des Zugriffs auf AzCopy finden Sie unter Autorisieren von AzCopy.

Überprüfen von Rollenzuweisungen

Stellen Sie sicher, dass Ihre Benutzeridentität über die erforderliche Azure-Rolle für Ihre beabsichtigten Vorgänge verfügt:

• Verwenden Sie für Downloadvorgänge den Storage Blob Data Reader (Blob Storage) oder den Storage File Data Privileged Reader (Azure Files).

• Verwenden Sie für Uploadvorgänge Storage Blob Data Contributor oder Storage Blob Data Owner (Blob Storage) oder Storage File Privileged Contributor (Azure Files).

Anweisungen zum Zuweisen von Rollen finden Sie unter Zuweisen einer Azure-Rolle für den Zugriff auf BLOB-Daten (Blob Storage) oder Auswählen, wie der Zugriff auf Dateidaten im Azure-Portal (Azure Files) autorisiert werden soll.

Wenn Sie Blobs in einem Konto übertragen, das über einen hierarchischen Namespace verfügt, müssen Sie Ihrem Sicherheitsprinzipal diese Rollen nicht zuweisen, wenn Sie Ihren Sicherheitsprinzipal zur Zugriffskontrollliste (Access Control List, ACL) des Zielcontainers oder -verzeichnisses hinzufügen. In der ACL stellt Ihr Sicherheitsprinzipal Anforderungen an die Schreibberechtigung für das Zielverzeichnis und die Ausführungsberechtigung für den Container und jedes übergeordnete Verzeichnis. Weitere Informationen finden Sie unter Zugriffssteuerungsmodell in Azure Data Lake Storage.

Autorisieren mithilfe von Umgebungsvariablen

Um den Zugriff zu autorisieren, legen Sie In-Memory-Umgebungsvariablen fest, und führen Sie dann einen beliebigen AzCopy-Befehl aus. AzCopy ruft das zum Abschließen des Vorgangs erforderliche Authentifizierungstoken ab. Nach Abschluss des Vorgangs wird das Token aus dem Arbeitsspeicher entfernt. AzCopy ruft das OAuth-Token mithilfe der von Ihnen bereitgestellten Anmeldeinformationen ab.

Nachdem Sie überprüft haben, ob Ihre Benutzeridentität über die erforderliche Autorisierung verfügt, geben Sie den folgenden Befehl ein, und drücken Sie dann die EINGABETASTE.

export AZCOPY_AUTO_LOGIN_TYPE=DEVICE

$Env:AZCOPY_AUTO_LOGIN_TYPE="DEVICE"

Führen Sie dann einen beliebigen AzCopy-Befehl aus (z. B.: azcopy list https://contoso.blob.core.windows.net).

Dieser Befehl gibt einen Authentifizierungscode und die URL einer Website zurück. Öffnen Sie die Website, geben Sie den Code ein, und wählen Sie dann die Schaltfläche "Weiter " aus.

Ein Anmeldefenster wird angezeigt. Melden Sie sich in diesem Fenster mit Ihren Azure-Kontoanmeldeinformationen bei Ihrem Azure-Konto an. Nachdem Sie sich erfolgreich angemeldet haben, wird der Vorgang abgeschlossen.

Autorisieren mit dem AzCopy-Anmeldebefehl

Statt Speichervariablen zu verwenden, autorisieren Sie den Zugriff mithilfe des azcopy login Befehls.

Der azcopy login Befehl ruft ein OAuth-Token ab und fügt dieses Token dann in einen geheimen Speicher auf Ihrem System ein. Wenn Ihr Betriebssystem keinen geheimen Speicher hat, z. B. ein Linux-Keyring, funktioniert der azcopy login Befehl nicht, da das Token nicht platziert werden kann.

Nachdem Sie überprüft haben, ob Ihre Benutzeridentität über die erforderliche Autorisierungsstufe verfügt, öffnen Sie eine Eingabeaufforderung, geben Sie den folgenden Befehl ein, und drücken Sie dann die EINGABETASTE .

azcopy login

Wenn Sie einen Fehler angezeigt bekommen, fügen Sie die Mandanten-ID der Organisation ein, zu der das Speicherkonto gehört.

azcopy login --tenant-id=<tenant-id>

Ersetzen Sie den Platzhalter <tenant-id> mit der Mandanten-ID der Organisation, zu der das Speicherkonto gehört. Um die Mandanten-ID zu finden, wählen Sie im Azure-Portal Mandanteneigenschaften > Mandanten-ID aus.

Dieser Befehl gibt einen Authentifizierungscode und die URL einer Website zurück. Öffnen Sie die Website, geben Sie den Code ein, und wählen Sie dann die Schaltfläche "Weiter " aus.

Ein Anmeldefenster wird angezeigt. Melden Sie sich in diesem Fenster mit Ihren Azure-Kontoanmeldeinformationen bei Ihrem Azure-Konto an. Nachdem Sie sich erfolgreich angemeldet haben, können Sie das Browserfenster schließen und mit der Verwendung von AzCopy beginnen.

Autorisieren mithilfe von Azure CLI

Wenn Sie sich mit Azure CLI anmelden, erhält Azure CLI ein OAuth-Token, das AzCopy zum Autorisieren von Vorgängen verwenden kann.

Um AzCopy für die Verwendung dieses Tokens zu aktivieren, geben Sie den folgenden Befehl ein, und drücken Sie dann die EINGABETASTE .

export AZCOPY_AUTO_LOGIN_TYPE=AZCLI
export AZCOPY_TENANT_ID=<tenant-id>

$Env:AZCOPY_AUTO_LOGIN_TYPE="AZCLI"
$Env:AZCOPY_TENANT_ID="<tenant-id>"

Weitere Informationen zum Anmelden mithilfe der Azure CLI finden Sie unter Interaktives Anmelden bei Azure mit der Azure CLI.

Autorisieren mithilfe von Azure PowerShell

Wenn Sie sich mit Azure PowerShell anmelden, erhält Azure PowerShell ein OAuth-Token, das AzCopy zum Autorisieren von Vorgängen verwenden kann.

Um AzCopy für die Verwendung dieses Tokens zu aktivieren, geben Sie den folgenden Befehl ein, und drücken Sie dann die EINGABETASTE .

$Env:AZCOPY_AUTO_LOGIN_TYPE="PSCRED"
$Env:AZCOPY_TENANT_ID=<tenant-id>

Weitere Informationen zum Anmelden mithilfe von Azure PowerShell finden Sie unter Interaktives Anmelden bei Azure PowerShell.

Nächste Schritte

• Weitere Informationen zu AzCopy finden Sie unter "Erste Schritte mit AzCopy".

• Wenn Sie Fragen, Probleme oder allgemeines Feedback haben, übermitteln Sie sie auf GitHub.