无需身份验证即可访问 Azure Blob 文件

Question

我正在使用 Azure Blob 存储来为我的 .网络应用程序。 在应用程序的一部分中，用户可以将图像附加到报告并保存。这将保存文件，它将位于以下形式的 url 下：

"https://{storageAccountName}.blob.core.windows.net/.../{exportPath}";

之后，如果生成的 url 将由用户共享，则任何人都可以使用它（无需任何授权）来下载该图像。

我想确保只有授权用户才能访问这些文件。

对于这种无法计算访问授权的外部存储资源的直接访问链接，我应该怎么做，这样我的文件将无法通过 azure blob 链接提供给任何人？

我正在阅读 Microsoft 提供的有关 Azure Blob（主要是 SAS）的文档（这样我就可以让我的文件只有授权用户可以访问） https://docs.microsoft.com/en-us/azure/storage/blobs/sas-service-create?tabs=dotnet https://docs.microsoft.com/en-us/azure/storage/blobs/storage-blob-user-delegation-sas-create-dotnet，但我还没有弄清楚是不是这样。 （也是快速过期令牌）

Answer 1

感谢 rickvdbosch 在评论中提供您的建议，我正在转换为帮助其他社区成员的答案。

使用托管身份或访问令牌和 SAS 将容器设为私有并在其中存储文件。

您可以通过多种方式保护您的 Blob 存储可供公众访问。

1. 您可以使用基于角色的访问控制来限制允许哪些用户使用该帐户以及他们可以执行哪些操作。
2. 与共享访问签名 (SAS) 不同，AAD 身份验证没有硬性到期日期。只要 AAD 身份（用户、服务主体等）具有正确的权限，它就可以始终连接到存储帐户。同样，您可以通过从身份中删除必要的权限来轻松撤消访问权限。

参考：https://docs.microsoft.com/en-us/azure/storage/blobs/authorize-access-azure-active-directory

另一种方式是 SAS 基本上是一个带有查询参数的 URI，这些参数指定了到期时间、权限和签名签名等选项。使用 SAS 可以控制对容器和 blob 的访问。

参考：https://docs.microsoft.com/en-us/azure/storage/common/storage-sas-overview