Sintaxe e formato da condição de atribuição de função do Azure

Uma condição é uma verificação adicional que você pode adicionar opcionalmente à sua atribuição de função para fornecer um controle de acesso mais refinado. Por exemplo, você pode adicionar uma condição que exige que um objeto tenha uma marca específica para ler o objeto. Este artigo descreve o formato e a sintaxe das condições de atribuição de função.

Formato da condição

Para entender melhor as condições de atribuição de função, é interessante observar o formato.

Condição simples

A condição mais básica consiste em uma ação direcionada e uma expressão. Uma ação é uma operação que um usuário pode executar em um tipo de recurso. Uma expressão é uma instrução que é avaliada como verdadeira ou falsa e determina se a ação tem permissão para ser executada.

O exemplo a seguir mostra o formato de uma condição simples.

(
    (
        !(ActionMatches{'<action>'})
    )
    OR
    (
        <attribute> <operator> <value>
    )
)

A condição a seguir tem uma ação de "Ler um blob". A expressão verifica se o nome do contêiner é blobs-example-container.

(
    (
        !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'})
    )
    OR 
    (
        @Resource[Microsoft.Storage/storageAccounts/blobServices/containers:name]
        StringEquals 'blobs-example-container'
    )
)

Como uma condição é avaliada

Quando um usuário tenta executar uma ação na atribuição de função que não é <action>, !(ActionMatches) é avaliado como verdadeiro e a condição geral é avaliada como verdadeira para permitir que a ação seja executada.

Se um usuário tentar executar <action> na atribuição de função, !(ActionMatches) será avaliado como falso. Portanto, a expressão será avaliada. Se a expressão for avaliada como verdadeira, a condição geral será avaliada como verdadeira para permitir a execução de <action>. Caso contrário, <action> não terá permissão para ser executado.

O pseudocódigo a seguir mostra outra maneira em que você pode ler essa condição.

if a user tries to perform an action in the role assignment that does not match <action>
{
    Allow action to be performed
}
else
{
    if <attribute> <operator> <value> is true
    {
        Allow <action> to be performed
    }
    else
    {
        Do not allow <action> to be performed
    }
}

Suboperações

Algumas ações têm suboperações. Por exemplo, a ação de dados Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read tem a suboperação "Listar blobs". As condições com suboperações têm o formato a seguir.

(
    (
        !(ActionMatches{'<action>'}
        AND
        SubOperationMatches{'<subOperation>'})

    )
    OR
    (
        <attribute> <operator> <value>
    )
)

Várias ações

Uma condição pode incluir várias ações que você deseja permitir se a condição for verdadeira. Se você selecionar várias ações para uma única condição, pode haver menos opções de atributos para a sua condição, pois os atributos devem estar disponíveis nas ações selecionadas.

(
    (
        !(ActionMatches{'<action>'})
        AND
        !(ActionMatches{'<action>'})
    )
    OR
    (
        <attribute> <operator> <value>
    )
)

Várias expressões

Uma condição pode incluir várias expressões. Dependendo do operador, os atributos podem ser verificados em relação a vários valores.

(
    (
        !(ActionMatches{'<action>'})
    )
    OR
    (
        <attribute> <operator> <value>
        AND | OR
        <attribute> <operator> {<value>, <value>, <value>}
        AND | OR
        <attribute> <operator> <value>
    )
)

Condições múltiplas

Você também pode combinar condições para direcionar várias ações.

(
    (
        !(ActionMatches{'<action>'})
    )
    OR
    (
        <attribute> <operator> <value>
        AND | OR
        <attribute> <operator> {<value>, <value>, <value>}
        AND | OR
        <attribute> <operator> <value>
    )
)
AND
(
    (
        !(ActionMatches{'<action>'})
    )
    OR
    (
        <attribute> <operator> <value>
        AND | OR
        <attribute> <operator> <value>
    )
)

Sintaxe de condição

O exemplo a seguir mostra a sintaxe de uma condição de atribuição de função.

(
    (
        !(ActionMatches{'<action>'} AND SubOperationMatches{'<subOperation>'})
        AND
        !(ActionMatches{'<action>'} AND SubOperationMatches{'<subOperation>'})
        AND
        ...
    )
    OR
    (
        <attribute> <operator> {<value, <value>, ...}
        AND | OR
        <attribute> <operator> {<value>, <value>, ...}
        AND | OR
        ...
    )
)
AND
(
    (
        !(ActionMatches{'<action>'} AND SubOperationMatches{'<subOperation>'})
        AND
        !(ActionMatches{'<action>'} AND SubOperationMatches{'<subOperation>'})
        AND
        ...
    )
    OR
    (
        <attribute> <operator> {<value, <value>, ...}
        AND | OR
        <attribute> <operator> {<value>, <value>, ...}
        AND | OR
        ...
    )
)
AND
...

Ações

Atualmente, as condições podem ser adicionadas a atribuições de função personalizada ou internas que tenham ações de dados de armazenamento de fila ou de armazenamento de blobs. Elas incluem as seguintes funções internas:

• Colaborador de dados de blob de armazenamento
• Proprietário de Dados do Blob de Armazenamento
• Leitor de Dados do Blob de Armazenamento
• Colaborador de dados da fila de armazenamento
• Processador de mensagens de dados da fila de armazenamento
• Remetente da mensagem de dados da fila de armazenamento
• Leitor de dados da fila de armazenamento

Para obter uma lista das ações de armazenamento que podem ser usadas em condições, consulte:

• Ações e atributos das condições de atribuição de função do Azure para o Armazenamento de Blobs do Azure
• Ações e atributos para condições de atribuição de função do Azure para o Armazenamento de Filas do Azure.

Atributos

A depender das ações selecionadas, o atributo pode ser encontrado em locais diferentes. Se você selecionar várias ações para uma única condição, pode haver menos opções de atributos para a sua condição, pois os atributos devem estar disponíveis em todas as ações selecionadas. Para especificar um atributo, você deve incluir a origem como um prefixo.

Para obter uma lista completa dos atributos de armazenamento que podem ser usados em condições, consulte:

• Atributos de Armazenamento de Blobs do Azure
• Atributos de Armazenamento de Filas do Azure

Atributos de ambiente

Os atributos de ambiente são associados às circunstâncias em que a solicitação de acesso é feita, como a data e a hora do dia ou o ambiente de rede. O ambiente de rede pode ser o acesso em um ponto de extremidade privado específico ou em uma sub-rede de rede virtual ou talvez em qualquer link privado.

A tabela a seguir lista os atributos de ambiente com suporte para condições.

¹ Para operações de cópia, os atributos Is private link, Private endpoint e Subnet somente se aplicam ao destino, como uma conta de armazenamento, não à origem. Para obter mais informações sobre as operações de cópia às quais isso se aplica, selecione cada atributo na tabela para visualizar mais detalhes.
² Você só poderá usar o atributo Private endpoint se atualmente tiver pelo menos um ponto de extremidade privado configurado em sua assinatura.
³ Você só poderá usar o atributo Subnet se tiver pelo menos uma sub-rede de rede virtual usando pontos de extremidade de serviço configurados em sua assinatura.

Atributos principais

Os atributos de entidade de segurança são atributos de segurança personalizados atribuídos à entidade de segurança que solicita acesso a um recurso. A entidade de segurança pode ser um usuário ou um aplicativo empresarial (entidade de serviço).

Para usar os atributos de entidade de segurança, é necessário ter o seguinte:

• Permissões do Microsoft Entra para o usuário conectado, como a função de Administrador de Atribuição de Atributo
• Atributos de segurança personalizados definidos no Microsoft Entra ID

Para obter mais informações sobre atributos de segurança personalizados, confira:

• Adicionar ou desativar as definições dos atributos de segurança personalizados no Microsoft Entra ID
• Permitir acesso de leitura a blobs com base em marcas e atributos de segurança personalizados
• Principal não aparece na fonte do atributo

Atributos de solicitação

Os atributos de solicitação são associados aos critérios especificados em uma solicitação de acesso, como o prefixo especificado de blobs a serem listados.

Atributos do recurso

Os atributos de recurso são associados ao objeto ao qual o acesso está sendo solicitado, como o nome da conta de armazenamento, o nome do contêiner ou se o namespace hierárquico está habilitado para a conta de armazenamento.

Operadores de função

Esta seção lista os operadores de função que estão disponíveis para criar condições.

ActionMatches

SubOperationMatches

Existe

¹ O operador Exists tem suporte apenas para esses atributos no construtor de condições do ABAC visual no portal do Azure. É possível adicionar o operador Exists a qualquer atributo usando outras ferramentas, como o PowerShell, a CLI do Azure, a API REST e o editor de código de condição no portal do Azure.

Operadores lógicos

Esta seção lista os operadores lógicos que estão disponíveis para criar condições.

And

Ou

Not

Operadores de comparação boolianos

Esta seção lista os operadores de comparação boolianos que estão disponíveis para criar condições.

Operadores de comparação de cadeia de caracteres

Esta seção lista os operadores de comparação de cadeia de caracteres que estão disponíveis para criar condições.

StringEquals

StringNotEquals

StringStartsWith

StringNotStartsWith

StringLike

StringNotLike

Operadores de comparação numérica

Esta seção lista os operadores de comparação numérica que estão disponíveis para criar condições.

Operadores de comparação de datetime

Esta seção lista os operadores de comparação de data/hora que estão disponíveis para criar condições.

Operadores de comparação de GUID

Esta seção lista os operadores de comparação de GUID (identificador global exclusivo) que estão disponíveis para condições de construção.

Operadores de comparação entre produtos

Esta seção lista os operadores de comparação entre produtos que estão disponíveis para criar condições.

ForAnyOfAnyValues

ForAllOfAnyValues

ForAnyOfAllValues

ForAllOfAllValues

Caracteres especiais

Agrupamento e precedência

Se você tiver três ou mais expressões para uma ação de destino com operadores diferentes entre as expressões, a ordem de avaliação será ambígua. Use parênteses () para agrupar expressões e especificar a ordem em que as expressões são avaliadas. Expressões incluídas em parênteses têm a precedência de avaliação mais alta. Por exemplo, se você tiver a seguinte expressão:

a AND b OR c

Você deve adicionar parênteses em uma das seguintes maneiras:

(a AND b) OR c

a AND (b OR c)

Próximas etapas

• Exemplo de condições de atribuição de função do Azure para o Armazenamento de Blobs
• Adicionar ou editar condições de atribuição de função do Azure usando o portal do Azure