Tutorial: Adicionar uma condição de atribuição de função para restringir o acesso a blobs usando o Azure PowerShell

Na maioria dos casos, uma atribuição de função concede as permissões necessárias aos recursos do Azure. No entanto, em alguns casos, talvez você queira fornecer um controle de acesso mais granular adicionando uma condição de atribuição de função.

Neste tutorial, aprenderás como:

Pré-requisitos

Para obter informações sobre os pré-requisitos para adicionar ou editar condições de atribuição de função, consulte Pré-requisitos de condições.

Condição

Neste tutorial, você restringe o acesso a blobs com uma tag específica. Por exemplo, você adiciona uma condição a uma atribuição de função para que o Chandra só possa ler arquivos com a tag Project=Cascade.

Se o Chandra tentar ler um blob sem a tag Project=Cascade, o acesso não será permitido.

Veja como a condição se parece no código:

(
    (
        !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'}
        AND NOT
        SubOperationMatches{'Blob.List'})
    )
    OR
    (
        @Resource[Microsoft.Storage/storageAccounts/blobServices/containers/blobs/tags:Project<$key_case_sensitive$>] StringEquals 'Cascade'
    )
)

Etapa 1: Instalar pré-requisitos

1. Abra uma janela do PowerShell.

2. Use Get-InstalledModule para verificar as versões dos módulos instalados.

   Get-InstalledModule -Name Az
   Get-InstalledModule -Name Az.Resources
   Get-InstalledModule -Name Az.Storage
   

3. Se necessário, use Install-Module para instalar as versões necessárias para os módulos Az, Az.Resources e Az.Storage .

   Install-Module -Name Az -RequiredVersion 5.5.0
   Install-Module -Name Az.Resources -RequiredVersion 3.2.1
   Install-Module -Name Az.Storage -RequiredVersion 2.5.2-preview -AllowPrerelease
   

4. Feche e reabra o PowerShell para atualizar a sessão.

Etapa 2: Entrar no Azure

1. Use o comando Connect-AzAccount e siga as instruções que aparecem para entrar no seu diretório como Administrador de Acesso de Usuário ou Proprietário.

   Connect-AzAccount
   

2. Use Get-AzSubscription para listar todas as suas assinaturas.

   Get-AzSubscription
   

3. Determine o ID da assinatura e inicialize a variável.

   $subscriptionId = "<subscriptionId>"
   

4. Defina a assinatura como a assinatura ativa.

   $context = Get-AzSubscription -SubscriptionId $subscriptionId
   Set-AzContext $context
   

Etapa 3: Criar um usuário

1. Use New-MgUser para criar um usuário ou encontrar um usuário existente. Este tutorial usa Chandra como exemplo.

2. Inicialize a variável para o ID do objeto do usuário.

   $userObjectId = "<userObjectId>"
   

Etapa 4: configurar o armazenamento

1. Use New-AzStorageAccount para criar uma conta de armazenamento compatível com o recurso de índice de blob. Para obter mais informações, consulte Gerenciar e localizar dados de Blob do Azure com marcas de índice de blob.

2. Use New-AzStorageContainer para criar um novo contêiner de blob na conta de armazenamento e defina o nível de acesso anônimo como Private (sem acesso anônimo).

3. Use Set-AzStorageBlobContent para carregar um arquivo de texto no contêiner.

4. Adicione a seguinte marca de índice de blob ao ficheiro de texto. Para obter mais informações, consulte Usar tags de índice de blob para gerir e localizar dados no Armazenamento de Blobs do Azure.

   Observação

   Os blobs também suportam a capacidade de armazenar metadados arbitrários de chave-valor definidos pelo usuário. Embora os metadados sejam semelhantes às tags de índice de blob, você deve usar tags de índice de blob com condições.

   Chave	Valor
   Projeto	Cascata

5. Carregue um segundo arquivo de texto para o contêiner.

6. Adicione a seguinte tag de índice de blob ao segundo ficheiro de texto.

   Chave	Valor
   Projeto	Padeiro

7. Inicialize as variáveis a seguir com os nomes usados.

   $resourceGroup = "<resourceGroup>"
   $storageAccountName = "<storageAccountName>"
   $containerName = "<containerName>"
   $blobNameCascade = "<blobNameCascade>"
   $blobNameBaker = "<blobNameBaker>"
   

Etapa 5: Atribuir uma função com uma condição

1. Inicialize as variáveis de função Leitor de Dados de Blob de Armazenamento .

   $roleDefinitionName = "Storage Blob Data Reader"
   $roleDefinitionId = "2a2b9908-6ea1-4ae2-8e65-a410df84e7d1"
   

2. Inicialize o escopo para o grupo de recursos.

   $scope = "/subscriptions/$subscriptionId/resourceGroups/$resourceGroup"
   

3. Inicialize a condição.

   $condition = "((!(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'} AND NOT SubOperationMatches{'Blob.List'})) OR (@Resource[Microsoft.Storage/storageAccounts/blobServices/containers/blobs/tags:Project<`$key_case_sensitive`$>] StringEquals 'Cascade'))"
   

   No PowerShell, se a sua condição incluir um cifrão ($), deve prefixá-lo com um acento grave (`). Por exemplo, essa condição usa sinais de dólar para delimitar o nome da chave da etiqueta.

4. Inicialize a versão da condição e a respetiva descrição.

   $conditionVersion = "2.0"
   $description = "Read access to blobs with the tag Project=Cascade"
   

5. Use New-AzRoleAssignment para atribuir a função de Leitor de Dados Blob de Armazenamento com uma condição ao utilizador num âmbito de grupo de recursos.

   New-AzRoleAssignment -ObjectId $userObjectId -Scope $scope -RoleDefinitionId $roleDefinitionId -Description $description -Condition $condition -ConditionVersion $conditionVersion
   

   Eis um exemplo do resultado:

   RoleAssignmentId   : /subscriptions/<subscriptionId>/resourceGroups/<resourceGroup>/providers/Microso
                        ft.Authorization/roleAssignments/<roleAssignmentId>
   Scope              : /subscriptions/<subscriptionId>/resourceGroups/<resourceGroup>
   DisplayName        : Chandra
   SignInName         : chandra@contoso.com
   RoleDefinitionName : Storage Blob Data Reader
   RoleDefinitionId   : 2a2b9908-6ea1-4ae2-8e65-a410df84e7d1
   ObjectId           : <userObjectId>
   ObjectType         : User
   CanDelegate        : False
   Description        : Read access to blobs with the tag Project=Cascade
   ConditionVersion   : 2.0
   Condition          : ((!(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'} AND NOT
                        SubOperationMatches{'Blob.List'})) OR
                        (@Resource[Microsoft.Storage/storageAccounts/blobServices/co
                        ntainers/blobs/tags:Project<$key_case_sensitive$>] StringEquals 'Cascade'))
   

Etapa 6: (Opcional) Exibir a condição no portal do Azure

1. No portal do Azure, abra o grupo de recursos.

2. Selecione Controlo de acesso (IAM) .

3. Na guia Atribuições de função, localize a atribuição de função.

4. Na coluna Condição , selecione Exibir/Editar para exibir a condição.

Etapa 7: Testar a condição

1. Abra uma nova janela do PowerShell.

2. Use Connect-AzAccount para entrar como Chandra.

   Connect-AzAccount
   

3. Inicialize as variáveis a seguir com os nomes usados.

   $storageAccountName = "<storageAccountName>"
   $containerName = "<containerName>"
   $blobNameBaker = "<blobNameBaker>"
   $blobNameCascade = "<blobNameCascade>"
   

4. Use New-AzStorageContext para criar um contexto específico para acessar sua conta de armazenamento mais facilmente.

   $bearerCtx = New-AzStorageContext -StorageAccountName $storageAccountName
   

5. Use Get-AzStorageBlob para tentar ler o ficheiro do projeto Baker.

   Get-AzStorageBlob -Container $containerName -Blob $blobNameBaker -Context $bearerCtx 
   

   Aqui está um exemplo da saída. Observe que você não pode ler o arquivo devido à condição adicionada.

   Get-AzStorageBlob : This request is not authorized to perform this operation using this permission. HTTP Status Code:
   403 - HTTP Error Message: This request is not authorized to perform this operation using this permission.
   ErrorCode: AuthorizationPermissionMismatch
   ErrorMessage: This request is not authorized to perform this operation using this permission.
   RequestId: <requestId>
   Time: Sat, 24 Apr 2021 13:26:25 GMT
   At line:1 char:1
   + Get-AzStorageBlob -Container $containerName -Blob $blobNameBaker -Con ...
   + ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
       + CategoryInfo          : CloseError: (:) [Get-AzStorageBlob], StorageException
       + FullyQualifiedErrorId : StorageException,Microsoft.WindowsAzure.Commands.Storage.Blob.Cmdlet.GetAzureStorageBlob
      Command
   

6. Leia o ficheiro para o projeto Cascade.

   Get-AzStorageBlob -Container $containerName -Blob $blobNameCascade -Context $bearerCtx 
   

   Aqui está um exemplo da saída. Observe que você pode ler o arquivo porque ele tem a tag Project=Cascade.

      AccountName: <storageAccountName>, ContainerName: <containerName>
   
   Name                 BlobType  Length          ContentType                    LastModified         AccessTier SnapshotT
                                                                                                                 ime
   ----                 --------  ------          -----------                    ------------         ---------- ---------
   CascadeFile.txt      BlockBlob 7               text/plain                     2021-04-24 05:35:24Z Hot
   

Etapa 8: (Opcional) Editar a condição

1. Na outra janela do PowerShell, use Get-AzRoleAssignment para obter a atribuição de função adicionada.

   $testRa = Get-AzRoleAssignment -Scope $scope -RoleDefinitionName $roleDefinitionName -ObjectId $userObjectId
   

2. Edite a condição.

   $condition = "((!(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'} AND NOT SubOperationMatches{'Blob.List'})) OR (@Resource[Microsoft.Storage/storageAccounts/blobServices/containers/blobs/tags:Project<`$key_case_sensitive`$>] StringEquals 'Cascade' OR @Resource[Microsoft.Storage/storageAccounts/blobServices/containers/blobs/tags:Project<`$key_case_sensitive`$>] StringEquals 'Baker'))"
   

3. Inicialize a condição e a descrição.

   $testRa.Condition = $condition
   $testRa.Description = "Read access to blobs with the tag Project=Cascade or Project=Baker"
   

4. Use Set-AzRoleAssignment para atualizar a condição para a atribuição de função.

   Set-AzRoleAssignment -InputObject $testRa -PassThru
   

   Eis um exemplo do resultado:

   RoleAssignmentId   : /subscriptions/<subscriptionId>/resourceGroups/<resourceGroup>/providers/Microso
                        ft.Authorization/roleAssignments/<roleAssignmentId>
   Scope              : /subscriptions/<subscriptionId>/resourceGroups/<resourceGroup>
   DisplayName        : Chandra
   SignInName         : chandra@contoso.com
   RoleDefinitionName : Storage Blob Data Reader
   RoleDefinitionId   : 2a2b9908-6ea1-4ae2-8e65-a410df84e7d1
   ObjectId           : <userObjectId>
   ObjectType         : User
   CanDelegate        : False
   Description        : Read access to blobs with the tag Project=Cascade or Project=Baker
   ConditionVersion   : 2.0
   Condition          : ((!(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'} AND NOT
                        SubOperationMatches{'Blob.List'})) OR
                        (@Resource[Microsoft.Storage/storageAccounts/blobServices/co
                        ntainers/blobs/tags:Project<$key_case_sensitive$>] StringEquals 'Cascade' OR @Resource[Microsoft.S
                        torage/storageAccounts/blobServices/containers/blobs/tags:Project<$key_case_sensitive$>]
                        StringEquals 'Baker'))
   

Etapa 9: Limpar recursos

1. Use Remove-AzRoleAssignment para remover a atribuição de função e a condição adicionadas.

   Remove-AzRoleAssignment -ObjectId $userObjectId -RoleDefinitionName $roleDefinitionName -ResourceGroupName $resourceGroup
   

2. Exclua a conta de armazenamento que você criou.

3. Exclua o usuário que você criou.

Próximos passos

• Exemplo de condições de atribuição de função do Azure
• Ações e atributos para condições de atribuição de função no Azure Storage
• Formato e sintaxe das condições de atribuição de funções do Azure