Autorizar o acesso aos dados no Armazenamento do Microsoft Azure

  • Artigo

Cada vez que você acessa dados em sua conta de armazenamento, seu aplicativo cliente faz uma solicitação por HTTP/HTTPS para o Armazenamento do Azure. Por padrão, todos os recursos no Armazenamento do Azure são protegidos e todas as solicitações para um recurso seguro devem ser autorizadas. A autorização garante que o aplicativo cliente tenha as permissões apropriadas para acessar um recurso específico em sua conta de armazenamento.

Compreender a autorização para operações de dados

A tabela a seguir descreve as opções que o Armazenamento do Azure oferece para autorizar o acesso aos dados:

Artefato do Azure Chave compartilhada (chave de conta de armazenamento) Assinatura de acesso partilhado (SAS) Microsoft Entra ID Serviços de Domínio Ative Directory locais acesso de leitura anónimo Usuários locais de armazenamento
Blobs do Azure Suportado Suportado Suportado Não suportado Suportado, mas não recomendado Suportado, apenas para SFTP
Arquivos do Azure (SMB) Suportado Não suportado Com suporte, somente com os Serviços de Domínio Microsoft Entra para somente nuvem ou Microsoft Entra Kerberos para identidades híbridas Com suporte, as credenciais devem ser sincronizadas com o ID do Microsoft Entra Não suportado Não suportado
Arquivos do Azure (REST) Suportado Suportado Suportado Não suportado Não suportado Não suportado
Filas do Azure Suportado Suportado Suportado Não suportado Não suportado Não suportado
Tabelas do Azure Suportado Suportado Suportado Não suportado Não suportado Não suportado

Cada opção de autorização é brevemente descrita abaixo:

  • Autorização de chave compartilhada para blobs, arquivos, filas e tabelas. Um cliente usando a Chave Compartilhada passa um cabeçalho com cada solicitação assinada usando a chave de acesso da conta de armazenamento. Para obter mais informações, consulte Autorizar com chave compartilhada.

    A Microsoft recomenda que você não permita a autorização de Chave Compartilhada para sua conta de armazenamento. Quando a autorização de Chave Compartilhada não é permitida, os clientes devem usar o Microsoft Entra ID ou uma SAS de delegação de usuário para autorizar solicitações de dados nessa conta de armazenamento. Para obter mais informações, consulte Impedir autorização de chave compartilhada para uma conta de armazenamento do Azure.

  • Assinaturas de acesso compartilhado para blobs, arquivos, filas e tabelas. As assinaturas de acesso compartilhado (SAS) fornecem acesso delegado limitado a recursos em uma conta de armazenamento por meio de uma URL assinada. A URL assinada especifica as permissões concedidas ao recurso e o intervalo durante o qual a assinatura é válida. Uma SAS de serviço ou SAS de conta é assinada com a chave de conta, enquanto a SAS de delegação de usuário é assinada com credenciais do Microsoft Entra e se aplica apenas a blobs. Para obter mais informações, consulte Usando assinaturas de acesso compartilhado (SAS).

  • Integração do Microsoft Entra para autorizar solicitações para recursos de blob, fila e tabela. A Microsoft recomenda o uso de credenciais do Microsoft Entra para autorizar solicitações de dados quando possível para segurança ideal e facilidade de uso. Para obter mais informações sobre a integração do Microsoft Entra, consulte os artigos para recursos de blob, fila ou tabela.

    Você pode usar o controle de acesso baseado em função do Azure (Azure RBAC) para gerenciar as permissões de uma entidade de segurança para blob, fila e recursos de tabela em uma conta de armazenamento. Você também pode usar o controle de acesso baseado em atributos (ABAC) do Azure para adicionar condições às atribuições de função do Azure para recursos de blob.

    Para obter mais informações sobre RBAC, consulte O que é o controle de acesso baseado em função do Azure (Azure RBAC)?.

    Para obter mais informações sobre o ABAC e seu status de recurso, consulte:

    O que é o controle de acesso baseado em atributos do Azure (Azure ABAC)?

    O status das características da condição ABAC

    O status dos recursos de condição do ABAC no Armazenamento do Azure

  • Autenticação dos Serviços de Domínio Microsoft Entra para Arquivos do Azure. O Azure Files dá suporte à autorização baseada em identidade sobre o Server Message Block (SMB) por meio dos Serviços de Domínio Microsoft Entra. Você pode usar o RBAC do Azure para controle granular sobre o acesso de um cliente aos recursos do Azure Files em uma conta de armazenamento. Para obter mais informações sobre a autenticação de Arquivos do Azure usando serviços de domínio, consulte a visão geral.

  • Autenticação dos Serviços de Domínio Ative Directory locais (AD DS ou AD DS local) para Arquivos do Azure. Os Arquivos do Azure dão suporte à autorização baseada em identidade sobre SMB por meio do AD DS. Seu ambiente AD DS pode ser hospedado em máquinas locais ou em VMs do Azure. O acesso SMB a Arquivos é suportado usando credenciais do AD DS de máquinas ingressadas no domínio, no local ou no Azure. Você pode usar uma combinação do RBAC do Azure para controle de acesso no nível de compartilhamento e DACLs NTFS para imposição de permissão no nível de diretório/arquivo. Para obter mais informações sobre a autenticação de Arquivos do Azure usando serviços de domínio, consulte a visão geral.

  • O acesso de leitura anônimo para dados BLOB é suportado, mas não recomendado. Quando o acesso anônimo é configurado, os clientes podem ler dados de blob sem autorização. Recomendamos que desative o acesso anónimo para todas as suas contas de armazenamento. Para obter mais informações, consulte Visão geral: corrigindo o acesso de leitura anônimo para dados de blob.

  • Usuários locais de armazenamento podem ser usados para acessar blobs com SFTP ou arquivos com SMB. Os Usuários Locais de Armazenamento oferecem suporte a permissões de nível de contêiner para autorização. Consulte Conectar-se ao Armazenamento de Blobs do Azure usando o Protocolo de Transferência de Arquivos SSH (SFTP) para obter mais informações sobre como os Usuários Locais de Armazenamento podem ser usados com o SFTP.

Proteja as suas chaves de acesso

As chaves de acesso da conta de armazenamento fornecem acesso total à configuração de uma conta de armazenamento, bem como aos dados. Tenha sempre o cuidado de proteger as suas chaves de acesso. Use o Azure Key Vault para gerenciar e girar suas chaves com segurança. O acesso à chave compartilhada concede ao usuário acesso total à configuração de uma conta de armazenamento e seus dados. O acesso a chaves partilhadas deve ser cuidadosamente limitado e monitorizado. Use tokens SAS com escopo limitado de acesso em cenários onde a autorização baseada em ID do Microsoft Entra não pode ser usada. Evite codificar chaves de acesso ou salvá-las em qualquer lugar em texto simples acessível a outras pessoas. Rode as chaves se acreditar que podem ter sido comprometidas.

Importante

A Microsoft recomenda o uso do Microsoft Entra ID para autorizar solicitações contra dados de blob, fila e tabela, se possível, em vez de usar as chaves de conta (autorização de chave compartilhada). A autorização com o Microsoft Entra ID oferece segurança superior e facilidade de uso em relação à autorização de chave compartilhada. Para obter mais informações sobre como usar a autorização do Microsoft Entra de seus aplicativos, consulte Como autenticar aplicativos .NET com serviços do Azure. Para compartilhamentos de arquivos do Azure SMB, a Microsoft recomenda o uso da integração dos Serviços de Domínio Ative Directory (AD DS) local ou da autenticação Kerberos do Microsoft Entra.

Para impedir que os usuários acessem dados em sua conta de armazenamento com Chave Compartilhada, você pode não permitir a autorização de Chave Compartilhada para a conta de armazenamento. O acesso granular aos dados com o mínimo de privilégios necessários é recomendado como uma prática recomendada de segurança. A autorização baseada em ID do Microsoft Entra deve ser usada para cenários que oferecem suporte a OAuth. Kerberos ou SMTP devem ser usados para Arquivos do Azure sobre SMB. Para Arquivos do Azure sobre REST, os tokens SAS podem ser usados. O acesso à chave partilhada deve ser desativado se não for necessário para impedir a sua utilização inadvertida. Para obter mais informações, consulte Impedir autorização de chave compartilhada para uma conta de armazenamento do Azure.

Para proteger uma conta de Armazenamento do Azure com políticas de Acesso Condicional do Microsoft Entra, você deve não permitir a autorização de Chave Compartilhada para a conta de armazenamento.

Se você desabilitou o acesso à chave compartilhada e está vendo a autorização de Chave Compartilhada relatada nos logs de diagnóstico, isso indica que o acesso confiável está sendo usado para acessar o armazenamento. Para obter mais detalhes, consulte Acesso confiável para recursos registrados em sua assinatura.

Próximos passos