Beispiel: Bedingungen für die Azure-Rollenzuweisung für Blob Storage

Diese Einstellungen müssen verwendet werden, um diese Bedingung über den visuellen Editor im Azure-Portal hinzuzufügen.

Um die Bedingung mithilfe des Code-Editors hinzuzufügen, kopieren Sie das Bedingungscodebeispiel, und fügen Sie es in den Code-Editor ein. Nachdem Sie Ihren Code eingegeben haben, wechseln Sie zurück zum visuellen Editor, um ihn zu überprüfen.

(
 (
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'} AND NOT SubOperationMatches{'Blob.List'})
 )
 OR 
 (
  @Resource[Microsoft.Storage/storageAccounts/blobServices/containers/blobs/tags:Project<$key_case_sensitive$>] StringEquals 'Cascade'
 )
)

In diesem Beispiel schränkt die Bedingung die Leseaktion ein, sofern der untergeordnete Vorgang nicht Blob.List ist. Dies bedeutet, dass ein Vorgang „List Blobs“ zulässig ist, aber alle anderen Leseaktionen anhand des Ausdrucks, der nach dem Blobindextag sucht, weiter ausgewertet werden.

Wenn ein*e Benutzer*in versucht, in der zugewiesenen Rolle eine Aktion auszuführen, die nicht einer durch die Bedingung eingeschränkten Aktion entspricht, ergeben die Auswertung von !(ActionMatches) und die Auswertung der gesamten Bedingung „true“. Dieses Ergebnis erlaubt die Ausführung der Aktion.

Weitere Informationen zur Formatierung und Auswertung von Bedingungen finden Sie unter Bedingungenformat.

So fügen Sie diese Bedingung mithilfe von Azure PowerShell hinzu:

$condition = "((!(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'} AND NOT SubOperationMatches{'Blob.List'})) OR (@Resource[Microsoft.Storage/storageAccounts/blobServices/containers/blobs/tags:Project<`$key_case_sensitive`$>] StringEquals 'Cascade'))"
$testRa = Get-AzRoleAssignment -Scope $scope -RoleDefinitionName $roleDefinitionName -ObjectId $userObjectID
$testRa.Condition = $condition
$testRa.ConditionVersion = "2.0"
Set-AzRoleAssignment -InputObject $testRa -PassThru

So können Sie diese Bedingung testen:

$bearerCtx = New-AzStorageContext -StorageAccountName $storageAccountName
Get-AzStorageBlob -Container <containerName> -Blob <blobName> -Context $bearerCtx 

Diese Einstellungen müssen verwendet werden, um diese Bedingung über das Azure-Portal hinzuzufügen.

Um die Bedingung mithilfe des Code-Editors hinzuzufügen, kopieren Sie das Bedingungscodebeispiel, und fügen Sie es in den Code-Editor ein. Nachdem Sie Ihren Code eingegeben haben, wechseln Sie zurück zum visuellen Editor, um ihn zu überprüfen.

(
 (
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/write'} AND SubOperationMatches{'Blob.Write.WithTagHeaders'})
  AND
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/add/action'} AND SubOperationMatches{'Blob.Write.WithTagHeaders'})
 )
 OR 
 (
  @Request[Microsoft.Storage/storageAccounts/blobServices/containers/blobs/tags:Project<$key_case_sensitive$>] StringEquals 'Cascade'
 )
)

Wenn ein*e Benutzer*in versucht, in der zugewiesenen Rolle eine Aktion auszuführen, die nicht einer durch die Bedingung eingeschränkten Aktion entspricht, ergeben die Auswertung von !(ActionMatches) und die Auswertung der gesamten Bedingung „true“. Dieses Ergebnis erlaubt die Ausführung der Aktion.

Weitere Informationen zur Formatierung und Auswertung von Bedingungen finden Sie unter Bedingungenformat.

So fügen Sie diese Bedingung mithilfe von Azure PowerShell hinzu:

$condition = "((!(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/write'} AND SubOperationMatches{'Blob.Write.WithTagHeaders'}) AND !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/add/action'} AND SubOperationMatches{'Blob.Write.WithTagHeaders'})) OR (@Request[Microsoft.Storage/storageAccounts/blobServices/containers/blobs/tags:Project<`$key_case_sensitive`$>] StringEquals 'Cascade'))"
$testRa = Get-AzRoleAssignment -Scope $scope -RoleDefinitionName $roleDefinitionName -ObjectId $userObjectID
$testRa.Condition = $condition
$testRa.ConditionVersion = "2.0"
Set-AzRoleAssignment -InputObject $testRa -PassThru

So können Sie diese Bedingung testen:

$localSrcFile = # path to an example file, can be an empty txt
$ungrantedTag = @{'Project'='Baker'}
$grantedTag = @{'Project'='Cascade'}
# Get new context for request
$bearerCtx = New-AzStorageContext -StorageAccountName $storageAccountName
# try ungranted tags
$content = Set-AzStorageBlobContent -File $localSrcFile -Container example2 -Blob "Example2.txt" -Tag $ungrantedTag -Context $bearerCtx
# try granted tags
$content = Set-AzStorageBlobContent -File $localSrcFile -Container example2 -Blob "Example2.txt" -Tag $grantedTag -Context $bearerCtx

Diese Einstellungen müssen verwendet werden, um diese Bedingung über das Azure-Portal hinzuzufügen.

Um die Bedingung mithilfe des Code-Editors hinzuzufügen, kopieren Sie das Bedingungscodebeispiel, und fügen Sie es in den Code-Editor ein. Nachdem Sie Ihren Code eingegeben haben, wechseln Sie zurück zum visuellen Editor, um ihn zu überprüfen.

(
 (
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/write'} AND SubOperationMatches{'Blob.Write.WithTagHeaders'})
  AND
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/tags/write'})
 )
 OR 
 (
  @Request[Microsoft.Storage/storageAccounts/blobServices/containers/blobs/tags&$keys$&] ForAllOfAnyValues:StringEquals {'Project', 'Program'}
 )
)

Wenn ein*e Benutzer*in versucht, in der zugewiesenen Rolle eine Aktion auszuführen, die nicht einer durch die Bedingung eingeschränkten Aktion entspricht, ergeben die Auswertung von !(ActionMatches) und die Auswertung der gesamten Bedingung „true“. Dieses Ergebnis erlaubt die Ausführung der Aktion.

Weitere Informationen zur Formatierung und Auswertung von Bedingungen finden Sie unter Bedingungenformat.

So fügen Sie diese Bedingung mithilfe von Azure PowerShell hinzu:

$condition = "((!(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/write'} AND SubOperationMatches{'Blob.Write.WithTagHeaders'}) AND !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/tags/write'})) OR (@Request[Microsoft.Storage/storageAccounts/blobServices/containers/blobs/tags&`$keys`$&] ForAllOfAnyValues:StringEquals {'Project', 'Program'}))"
$testRa = Get-AzRoleAssignment -Scope $scope -RoleDefinitionName $roleDefinitionName -ObjectId $userObjectID
$testRa.Condition = $condition
$testRa.ConditionVersion = "2.0"
Set-AzRoleAssignment -InputObject $testRa -PassThru

So können Sie diese Bedingung testen:

$localSrcFile = # path to an example file, can be an empty txt
$ungrantedTag = @{'Mode'='Baker'}
$grantedTag = @{'Program'='Alpine';'Project'='Cascade'}
# Get new context for request
$bearerCtx = New-AzStorageContext -StorageAccountName $storageAccountName
# try ungranted tags
$content = Set-AzStorageBlobContent -File $localSrcFile -Container example3 -Blob "Example3.txt" -Tag $ungrantedTag -Context $bearerCtx
# try granted tags
$content = Set-AzStorageBlobContent -File $localSrcFile -Container example3 -Blob "Example3.txt" -Tag $grantedTag -Context $bearerCtx

Diese Einstellungen müssen verwendet werden, um diese Bedingung über das Azure-Portal hinzuzufügen.

Um die Bedingung mithilfe des Code-Editors hinzuzufügen, kopieren Sie das Bedingungscodebeispiel, und fügen Sie es in den Code-Editor ein. Nachdem Sie Ihren Code eingegeben haben, wechseln Sie zurück zum visuellen Editor, um ihn zu überprüfen.

(
 (
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/write'} AND SubOperationMatches{'Blob.Write.WithTagHeaders'})
  AND
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/tags/write'})
 )
 OR 
 (
  @Request[Microsoft.Storage/storageAccounts/blobServices/containers/blobs/tags&$keys$&] ForAnyOfAnyValues:StringEquals {'Project'}
  AND
  @Request[Microsoft.Storage/storageAccounts/blobServices/containers/blobs/tags:Project<$key_case_sensitive$>] ForAllOfAnyValues:StringEquals {'Cascade', 'Baker', 'Skagit'}
 )
)

Wenn ein*e Benutzer*in versucht, in der zugewiesenen Rolle eine Aktion auszuführen, die nicht einer durch die Bedingung eingeschränkten Aktion entspricht, ergeben die Auswertung von !(ActionMatches) und die Auswertung der gesamten Bedingung „true“. Dieses Ergebnis erlaubt die Ausführung der Aktion.

Weitere Informationen zur Formatierung und Auswertung von Bedingungen finden Sie unter Bedingungenformat.

So fügen Sie diese Bedingung mithilfe von Azure PowerShell hinzu:

$condition = "((!(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/write'} AND SubOperationMatches{'Blob.Write.WithTagHeaders'}) AND !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/tags/write'})) OR (@Request[Microsoft.Storage/storageAccounts/blobServices/containers/blobs/tags&`$keys`$&] ForAnyOfAnyValues:StringEquals {'Project'} AND @Request[Microsoft.Storage/storageAccounts/blobServices/containers/blobs/tags:Project<`$key_case_sensitive`$>] ForAllOfAnyValues:StringEquals {'Cascade', 'Baker', 'Skagit'}))"
$testRa = Get-AzRoleAssignment -Scope $scope -RoleDefinitionName $roleDefinitionName -ObjectId $userObjectID
$testRa.Condition = $condition
$testRa.ConditionVersion = "2.0"
Set-AzRoleAssignment -InputObject $testRa -PassThru

So können Sie diese Bedingung testen:

$localSrcFile = <pathToLocalFile>
$ungrantedTag = @{'Project'='Alpine'}
$grantedTag1 = @{'Project'='Cascade'}
$grantedTag2 = @{'Project'='Baker'}
$grantedTag3 = @{'Project'='Skagit'}
# Get new context for request
$bearerCtx = New-AzStorageContext -StorageAccountName $storageAccountName
# try ungranted tags
Set-AzStorageBlobTag -Container example4 -Blob "Example4.txt" -Tag $ungrantedTag -Context $bearerCtx
# try granted tags
Set-AzStorageBlobTag -Container example4 -Blob "Example4.txt" -Tag $grantedTag1 -Context $bearerCtx
Set-AzStorageBlobTag -Container example4 -Blob "Example4.txt" -Tag $grantedTag2 -Context $bearerCtx
Set-AzStorageBlobTag -Container example4 -Blob "Example4.txt" -Tag $grantedTag3 -Context $bearerCtx

Diese Einstellungen müssen verwendet werden, um diese Bedingung über das Azure-Portal hinzuzufügen.

Um die Bedingung mithilfe des Code-Editors hinzuzufügen, kopieren Sie das Bedingungscodebeispiel, und fügen Sie es in den Code-Editor ein. Nachdem Sie Ihren Code eingegeben haben, wechseln Sie zurück zum visuellen Editor, um ihn zu überprüfen.

Besitzer von Speicherblobdaten

(
 (
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/delete'})
  AND
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'})
  AND
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/write'})
  AND
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/add/action'})
  AND
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/runAsSuperUser/action'})
 )
 OR 
 (
  @Resource[Microsoft.Storage/storageAccounts/blobServices/containers:name] StringEquals 'blobs-example-container'
 )
)

Mitwirkender an Speicherblobdaten

(
 (
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/delete'})
  AND
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'})
  AND
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/write'})
  AND
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/add/action'})
 )
 OR 
 (
  @Resource[Microsoft.Storage/storageAccounts/blobServices/containers:name] StringEquals 'blobs-example-container'
 )
)

Wenn ein*e Benutzer*in versucht, in der zugewiesenen Rolle eine Aktion auszuführen, die nicht einer durch die Bedingung eingeschränkten Aktion entspricht, ergeben die Auswertung von !(ActionMatches) und die Auswertung der gesamten Bedingung „true“. Dieses Ergebnis erlaubt die Ausführung der Aktion.

Weitere Informationen zur Formatierung und Auswertung von Bedingungen finden Sie unter Bedingungenformat.

So fügen Sie diese Bedingung mithilfe von Azure PowerShell hinzu:

$condition = "((!(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/delete'}) AND !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'}) AND !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/write'}) AND !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/add/action'}) AND !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/runAsSuperUser/action'})) OR (@Resource[Microsoft.Storage/storageAccounts/blobServices/containers:name] StringEquals 'blobs-example-container'))"
$testRa = Get-AzRoleAssignment -Scope $scope -RoleDefinitionName $roleDefinitionName -ObjectId $userObjectID
$testRa.Condition = $condition
$testRa.ConditionVersion = "2.0"
Set-AzRoleAssignment -InputObject $testRa -PassThru

So können Sie diese Bedingung testen:

$localSrcFile = <pathToLocalFile>
$grantedContainer = "blobs-example-container"
$ungrantedContainer = "ungranted"
# Get new context for request
$bearerCtx = New-AzStorageContext -StorageAccountName $storageAccountName
# Ungranted Container actions
$content = Set-AzStorageBlobContent -File $localSrcFile -Container $ungrantedContainer -Blob "Example5.txt" -Context $bearerCtx
$content = Get-AzStorageBlobContent -Container $ungrantedContainer -Blob "Example5.txt" -Context $bearerCtx
$content = Remove-AzStorageBlob -Container $ungrantedContainer -Blob "Example5.txt" -Context $bearerCtx
# Granted Container actions
$content = Set-AzStorageBlobContent -File $localSrcFile -Container $grantedContainer -Blob "Example5.txt" -Context $bearerCtx
$content = Get-AzStorageBlobContent -Container $grantedContainer -Blob "Example5.txt" -Context $bearerCtx
$content = Remove-AzStorageBlob -Container $grantedContainer -Blob "Example5.txt" -Context $bearerCtx

Diese Einstellungen müssen verwendet werden, um diese Bedingung über das Azure-Portal hinzuzufügen.

Um die Bedingung mithilfe des Code-Editors hinzuzufügen, kopieren Sie das Bedingungscodebeispiel, und fügen Sie es in den Code-Editor ein. Nachdem Sie Ihren Code eingegeben haben, wechseln Sie zurück zum visuellen Editor, um ihn zu überprüfen.

Besitzer von Speicherblobdaten

(
 (
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'} AND NOT SubOperationMatches{'Blob.List'})
  AND
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/runAsSuperUser/action'})
 )
 OR 
 (
  @Resource[Microsoft.Storage/storageAccounts/blobServices/containers:name] StringEquals 'blobs-example-container'
  AND
  @Resource[Microsoft.Storage/storageAccounts/blobServices/containers/blobs:path] StringLike 'readonly/*'
 )
)

Storage Blob Data Reader, Storage Blob Data Contributor

(
 (
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'} AND NOT SubOperationMatches{'Blob.List'})
 )
 OR 
 (
  @Resource[Microsoft.Storage/storageAccounts/blobServices/containers:name] StringEquals 'blobs-example-container'
  AND
  @Resource[Microsoft.Storage/storageAccounts/blobServices/containers/blobs:path] StringLike 'readonly/*'
 )
)

In diesem Beispiel schränkt die Bedingung die Leseaktion ein, sofern der untergeordnete Vorgang nicht Blob.List ist. Dies bedeutet, dass ein Vorgang „List Blobs“ zulässig ist, aber alle anderen Leseaktionen anhand des Ausdrucks, der nach dem Containernamen und -pfad sucht, weiter ausgewertet werden.

Wenn ein*e Benutzer*in versucht, in der zugewiesenen Rolle eine Aktion auszuführen, die nicht einer durch die Bedingung eingeschränkten Aktion entspricht, ergeben die Auswertung von !(ActionMatches) und die Auswertung der gesamten Bedingung „true“. Dieses Ergebnis erlaubt die Ausführung der Aktion.

Weitere Informationen zur Formatierung und Auswertung von Bedingungen finden Sie unter Bedingungenformat.

So fügen Sie diese Bedingung mithilfe von Azure PowerShell hinzu:

$condition = "((!(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'} AND NOT SubOperationMatches{'Blob.List'}) AND !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/runAsSuperUser/action'})) OR (@Resource[Microsoft.Storage/storageAccounts/blobServices/containers:name] StringEquals 'blobs-example-container' AND @Resource[Microsoft.Storage/storageAccounts/blobServices/containers/blobs:path] StringLike 'readonly/*'))"
$testRa = Get-AzRoleAssignment -Scope $scope -RoleDefinitionName $roleDefinitionName -ObjectId $userObjectID
$testRa.Condition = $condition
$testRa.ConditionVersion = "2.0"
Set-AzRoleAssignment -InputObject $testRa -PassThru

So können Sie diese Bedingung testen:

$grantedContainer = "blobs-example-container"
# Get new context for request
$bearerCtx = New-AzStorageContext -StorageAccountName $storageAccountName
# Try to get ungranted blob
$content = Get-AzStorageBlobContent -Container $grantedContainer -Blob "Ungranted.txt" -Context $bearerCtx
# Try to get granted blob
$content = Get-AzStorageBlobContent -Container $grantedContainer -Blob "readonly/Example6.txt" -Context $bearerCtx

Diese Einstellungen müssen verwendet werden, um diese Bedingung über das Azure-Portal hinzuzufügen.

Um die Bedingung mithilfe des Code-Editors hinzuzufügen, kopieren Sie das Bedingungscodebeispiel, und fügen Sie es in den Code-Editor ein. Nachdem Sie Ihren Code eingegeben haben, wechseln Sie zurück zum visuellen Editor, um ihn zu überprüfen.

Besitzer von Speicherblobdaten

(
 (
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'} AND NOT SubOperationMatches{'Blob.List'})
  AND
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/runAsSuperUser/action'})
 )
 OR 
 (
  @Resource[Microsoft.Storage/storageAccounts/blobServices/containers:name] StringEquals 'blobs-example-container'
  AND
  @Resource[Microsoft.Storage/storageAccounts/blobServices/containers/blobs:path] StringStartsWith 'readonly/'
 )
)
AND
(
 (
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'} AND SubOperationMatches{'Blob.List'})
  AND
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/runAsSuperUser/action'})
 )
 OR 
 (
  @Resource[Microsoft.Storage/storageAccounts/blobServices/containers:name] StringEquals 'blobs-example-container'
  AND
  @Request[Microsoft.Storage/storageAccounts/blobServices/containers/blobs:prefix] StringStartsWith 'readonly/'
 )
)

Storage Blob Data Reader, Storage Blob Data Contributor

(
 (
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'} AND NOT SubOperationMatches{'Blob.List'})
 )
 OR 
 (
  @Resource[Microsoft.Storage/storageAccounts/blobServices/containers:name] StringEquals 'blobs-example-container'
  AND
  @Resource[Microsoft.Storage/storageAccounts/blobServices/containers/blobs:path] StringStartsWith 'readonly/'
 )
)
AND
(
 (
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'} AND SubOperationMatches{'Blob.List'})
 )
 OR 
 (
  @Resource[Microsoft.Storage/storageAccounts/blobServices/containers:name] StringEquals 'blobs-example-container'
  AND
  @Request[Microsoft.Storage/storageAccounts/blobServices/containers/blobs:prefix] StringStartsWith 'readonly/'
 )
)

Wenn ein*e Benutzer*in versucht, in der zugewiesenen Rolle eine Aktion auszuführen, die nicht einer durch die Bedingung eingeschränkten Aktion entspricht, ergeben die Auswertung von !(ActionMatches) und die Auswertung der gesamten Bedingung „true“. Dieses Ergebnis erlaubt die Ausführung der Aktion.

Weitere Informationen zur Formatierung und Auswertung von Bedingungen finden Sie unter Bedingungenformat.

Derzeit ist kein Beispiel vorhanden.

Diese Einstellungen müssen verwendet werden, um diese Bedingung über das Azure-Portal hinzuzufügen.

Um die Bedingung mithilfe des Code-Editors hinzuzufügen, kopieren Sie das Bedingungscodebeispiel, und fügen Sie es in den Code-Editor ein. Nachdem Sie Ihren Code eingegeben haben, wechseln Sie zurück zum visuellen Editor, um ihn zu überprüfen.

Besitzer von Speicherblobdaten

(
 (
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/write'})
  AND
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/add/action'})
  AND
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/runAsSuperUser/action'})
 )
 OR 
 (
  @Resource[Microsoft.Storage/storageAccounts/blobServices/containers:name] StringEquals 'contosocorp'
  AND
  @Resource[Microsoft.Storage/storageAccounts/blobServices/containers/blobs:path] StringLike 'uploads/contoso/*'
 )
)

Mitwirkender an Speicherblobdaten

(
 (
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/write'})
  AND
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/add/action'})
 )
 OR 
 (
  @Resource[Microsoft.Storage/storageAccounts/blobServices/containers:name] StringEquals 'contosocorp'
  AND
  @Resource[Microsoft.Storage/storageAccounts/blobServices/containers/blobs:path] StringLike 'uploads/contoso/*'
 )
)

Wenn ein*e Benutzer*in versucht, in der zugewiesenen Rolle eine Aktion auszuführen, die nicht einer durch die Bedingung eingeschränkten Aktion entspricht, ergeben die Auswertung von !(ActionMatches) und die Auswertung der gesamten Bedingung „true“. Dieses Ergebnis erlaubt die Ausführung der Aktion.

Weitere Informationen zur Formatierung und Auswertung von Bedingungen finden Sie unter Bedingungenformat.

So fügen Sie diese Bedingung mithilfe von Azure PowerShell hinzu:

$condition = "((!(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/write'}) AND !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/add/action'}) AND !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/runAsSuperUser/action'})) OR (@Resource[Microsoft.Storage/storageAccounts/blobServices/containers:name] StringEquals 'contosocorp' AND @Resource[Microsoft.Storage/storageAccounts/blobServices/containers/blobs:path] StringLike 'uploads/contoso/*'))"
$testRa = Get-AzRoleAssignment -Scope $scope -RoleDefinitionName $roleDefinitionName -ObjectId $userObjectID
$testRa.Condition = $condition
$testRa.ConditionVersion = "2.0"
Set-AzRoleAssignment -InputObject $testRa -PassThru

So können Sie diese Bedingung testen:

$grantedContainer = "contosocorp"
$localSrcFile = <pathToLocalFile>
$bearerCtx = New-AzStorageContext -StorageAccountName $storageAccountName
# Try to set ungranted blob
$content = Set-AzStorageBlobContent -Container $grantedContainer -Blob "Example7.txt" -Context $bearerCtx -File $localSrcFile
# Try to set granted blob
$content = Set-AzStorageBlobContent -Container $grantedContainer -Blob "uploads/contoso/Example7.txt" -Context $bearerCtx -File $localSrcFile

Diese Einstellungen müssen verwendet werden, um diese Bedingung über das Azure-Portal hinzuzufügen.

Um die Bedingung mithilfe des Code-Editors hinzuzufügen, kopieren Sie das Bedingungscodebeispiel, und fügen Sie es in den Code-Editor ein. Nachdem Sie Ihren Code eingegeben haben, wechseln Sie zurück zum visuellen Editor, um ihn zu überprüfen.

(
 (
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'} AND NOT SubOperationMatches{'Blob.List'})
 )
 OR 
 (
  @Resource[Microsoft.Storage/storageAccounts/blobServices/containers/blobs/tags:Program<$key_case_sensitive$>] StringEquals 'Alpine'
 )
)
AND
(
 (
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'} AND NOT SubOperationMatches{'Blob.List'})
 )
 OR 
 (
  @Resource[Microsoft.Storage/storageAccounts/blobServices/containers/blobs:path] StringLike 'logs*'
 )
)

In diesem Beispiel schränkt die Bedingung die Leseaktion ein, sofern der untergeordnete Vorgang nicht Blob.List ist. Dies bedeutet, dass ein Vorgang „List Blobs“ zulässig ist, aber alle anderen Leseaktionen anhand des Ausdrucks, der nach dem Blob-Indextag und -pfad sucht, weiter ausgewertet werden.

Wenn ein*e Benutzer*in versucht, in der zugewiesenen Rolle eine Aktion auszuführen, die nicht einer durch die Bedingung eingeschränkten Aktion entspricht, ergeben die Auswertung von !(ActionMatches) und die Auswertung der gesamten Bedingung „true“. Dieses Ergebnis erlaubt die Ausführung der Aktion.

Weitere Informationen zur Formatierung und Auswertung von Bedingungen finden Sie unter Bedingungenformat.

So fügen Sie diese Bedingung mithilfe von Azure PowerShell hinzu:

$condition = "((!(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'} AND NOT SubOperationMatches{'Blob.List'})) OR (@Resource[Microsoft.Storage/storageAccounts/blobServices/containers/blobs/tags:Program<`$key_case_sensitive`$>] StringEquals 'Alpine')) AND ((!(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'} AND NOT SubOperationMatches{'Blob.List'})) OR (@Resource[Microsoft.Storage/storageAccounts/blobServices/containers/blobs:path] StringLike 'logs*'))"
$testRa = Get-AzRoleAssignment -Scope $scope -RoleDefinitionName $roleDefinitionName -ObjectId $userObjectID
$testRa.Condition = $condition
$testRa.ConditionVersion = "2.0"
Set-AzRoleAssignment -InputObject $testRa -PassThru

So können Sie diese Bedingung testen:

$grantedContainer = "contosocorp"
# Get new context for request
$bearerCtx = New-AzStorageContext -StorageAccountName $storageAccountName
# Try to get ungranted blobs
# Wrong name but right tags
$content = Get-AzStorageBlobContent -Container $grantedContainer -Blob "AlpineFile.txt" -Context $bearerCtx
# Right name but wrong tags
$content = Get-AzStorageBlobContent -Container $grantedContainer -Blob "logsAlpine.txt" -Context $bearerCtx
# Try to get granted blob
$content = Get-AzStorageBlobContent -Container $grantedContainer -Blob "logs/AlpineFile.txt" -Context $bearerCtx

Diese Einstellungen müssen verwendet werden, um diese Bedingung über das Azure-Portal hinzuzufügen.

Um die Bedingung mithilfe des Code-Editors hinzuzufügen, kopieren Sie das Bedingungscodebeispiel, und fügen Sie es in den Code-Editor ein. Nachdem Sie Ihren Code eingegeben haben, wechseln Sie zurück zum visuellen Editor, um ihn zu überprüfen.

Leser von Speicherblobdaten

(
 (
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'})
 )
 OR 
 (
  @Resource[Microsoft.Storage/storageAccounts/blobServices/containers/metadata:testKey] StringEquals 'testValue'
 )
)

Wenn ein*e Benutzer*in versucht, in der zugewiesenen Rolle eine Aktion auszuführen, die nicht einer durch die Bedingung eingeschränkten Aktion entspricht, ergeben die Auswertung von !(ActionMatches) und die Auswertung der gesamten Bedingung „true“. Dieses Ergebnis erlaubt die Ausführung der Aktion.

Weitere Informationen zur Formatierung und Auswertung von Bedingungen finden Sie unter Bedingungenformat.

So fügen Sie diese Bedingung mithilfe von Azure PowerShell hinzu:

$condition = "( `
 ( `
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'}) `
 ) `
 OR `
 ( `
  @Resource[Microsoft.Storage/storageAccounts/blobServices/containers/metadata:testKey] StringEquals 'testValue' `
 ) `
)"
$testRa = Get-AzRoleAssignment -Scope $scope -RoleDefinitionName $roleDefinitionName -ObjectId $userObjectID
$testRa.Condition = $condition
$testRa.ConditionVersion = "2.0"
Set-AzRoleAssignment -InputObject $testRa -PassThru

Diese Einstellungen müssen verwendet werden, um diese Bedingung über das Azure-Portal hinzuzufügen.

Um die Bedingung mithilfe des Code-Editors hinzuzufügen, kopieren Sie das Bedingungscodebeispiel, und fügen Sie es in den Code-Editor ein. Nachdem Sie Ihren Code eingegeben haben, wechseln Sie zurück zum visuellen Editor, um ihn zu überprüfen.

Mitwirkender an Speicherblobdaten

(
 (
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/write'})
  AND
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/delete'})
 )
 OR 
 (
  @Resource[Microsoft.Storage/storageAccounts/blobServices/containers/metadata:testKey] StringEquals 'testValue'
 )
)

Wenn ein*e Benutzer*in versucht, in der zugewiesenen Rolle eine Aktion auszuführen, die nicht einer durch die Bedingung eingeschränkten Aktion entspricht, ergeben die Auswertung von !(ActionMatches) und die Auswertung der gesamten Bedingung „true“. Dieses Ergebnis erlaubt die Ausführung der Aktion.

Weitere Informationen zur Formatierung und Auswertung von Bedingungen finden Sie unter Bedingungenformat.

So fügen Sie diese Bedingung mithilfe von Azure PowerShell hinzu:

$condition = "( `
 ( `
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/write'}) `
  AND `
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/delete'}) `
 ) `
 OR `
 ( `
  @Resource[Microsoft.Storage/storageAccounts/blobServices/containers/metadata:testKey] StringEquals 'testValue' `
 ) `
) `
$testRa = Get-AzRoleAssignment -Scope $scope -RoleDefinitionName $roleDefinitionName -ObjectId $userObjectID
$testRa.Condition = $condition
$testRa.ConditionVersion = "2.0"
Set-AzRoleAssignment -InputObject $testRa -PassThru

Diese Einstellungen müssen verwendet werden, um diese Bedingung über das Azure-Portal hinzuzufügen.

Um die Bedingung mithilfe des Code-Editors hinzuzufügen, kopieren Sie das Bedingungscodebeispiel, und fügen Sie es in den Code-Editor ein. Nachdem Sie Ihren Code eingegeben haben, wechseln Sie zurück zum visuellen Editor, um ihn zu überprüfen.

Besitzer von Speicherblobdaten

(
 (
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'} AND NOT SubOperationMatches{'Blob.List'})
  AND
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/runAsSuperUser/action'})
 )
 OR 
 (
  @Resource[Microsoft.Storage/storageAccounts/blobServices/containers/blobs:isCurrentVersion] BoolEquals true
 )
)

Storage Blob Data Reader, Storage Blob Data Contributor

(
 (
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'} AND NOT SubOperationMatches{'Blob.List'})
 )
 OR 
 (
  @Resource[Microsoft.Storage/storageAccounts/blobServices/containers/blobs:isCurrentVersion] BoolEquals true
 )
)

In diesem Beispiel schränkt die Bedingung die Leseaktion ein, sofern der untergeordnete Vorgang nicht Blob.List ist. Dies bedeutet, dass ein Vorgang „List Blobs“ zulässig ist, aber alle anderen Leseaktionen anhand des Ausdrucks, der die Version überprüft, weiter ausgewertet werden.

Wenn ein*e Benutzer*in versucht, in der zugewiesenen Rolle eine Aktion auszuführen, die nicht einer durch die Bedingung eingeschränkten Aktion entspricht, ergeben die Auswertung von !(ActionMatches) und die Auswertung der gesamten Bedingung „true“. Dieses Ergebnis erlaubt die Ausführung der Aktion.

Weitere Informationen zur Formatierung und Auswertung von Bedingungen finden Sie unter Bedingungenformat.

Derzeit ist kein Beispiel vorhanden.

Diese Einstellungen müssen verwendet werden, um diese Bedingung über das Azure-Portal hinzuzufügen.

Um die Bedingung mithilfe des Code-Editors hinzuzufügen, kopieren Sie das Bedingungscodebeispiel, und fügen Sie es in den Code-Editor ein. Nachdem Sie Ihren Code eingegeben haben, wechseln Sie zurück zum visuellen Editor, um ihn zu überprüfen.

(
 (
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'} AND NOT SubOperationMatches{'Blob.List'})
 )
 OR 
 (
  @Request[Microsoft.Storage/storageAccounts/blobServices/containers/blobs:versionId] DateTimeEquals '2022-06-01T23:38:32.8883645Z'
  OR
  @Resource[Microsoft.Storage/storageAccounts/blobServices/containers/blobs:isCurrentVersion] BoolEquals true
 )
)

In diesem Beispiel schränkt die Bedingung die Leseaktion ein, sofern der untergeordnete Vorgang nicht Blob.List ist. Dies bedeutet, dass ein Vorgang „List Blobs“ zulässig ist, aber alle anderen Leseaktionen anhand des Ausdrucks, der die Versionsinformationen überprüft, weiter ausgewertet werden.

Wenn ein*e Benutzer*in versucht, in der zugewiesenen Rolle eine Aktion auszuführen, die nicht einer durch die Bedingung eingeschränkten Aktion entspricht, ergeben die Auswertung von !(ActionMatches) und die Auswertung der gesamten Bedingung „true“. Dieses Ergebnis erlaubt die Ausführung der Aktion.

Weitere Informationen zur Formatierung und Auswertung von Bedingungen finden Sie unter Bedingungenformat.

Derzeit ist kein Beispiel vorhanden.

Diese Einstellungen müssen verwendet werden, um diese Bedingung über das Azure-Portal hinzuzufügen.

Um die Bedingung mithilfe des Code-Editors hinzuzufügen, kopieren Sie das Bedingungscodebeispiel, und fügen Sie es in den Code-Editor ein. Nachdem Sie Ihren Code eingegeben haben, wechseln Sie zurück zum visuellen Editor, um ihn zu überprüfen.

(
 (
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/delete'})
  AND
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/deleteBlobVersion/action'})
 )
 OR 
 (
  @Request[Microsoft.Storage/storageAccounts/blobServices/containers/blobs:versionId] DateTimeLessThan '2022-06-01T00:00:00.0Z'
 )
)

Wenn ein*e Benutzer*in versucht, in der zugewiesenen Rolle eine Aktion auszuführen, die nicht einer durch die Bedingung eingeschränkten Aktion entspricht, ergeben die Auswertung von !(ActionMatches) und die Auswertung der gesamten Bedingung „true“. Dieses Ergebnis erlaubt die Ausführung der Aktion.

Weitere Informationen zur Formatierung und Auswertung von Bedingungen finden Sie unter Bedingungenformat.

Derzeit ist kein Beispiel vorhanden.

Diese Einstellungen müssen verwendet werden, um diese Bedingung über das Azure-Portal hinzuzufügen.

Um die Bedingung mithilfe des Code-Editors hinzuzufügen, kopieren Sie das Bedingungscodebeispiel, und fügen Sie es in den Code-Editor ein. Nachdem Sie Ihren Code eingegeben haben, wechseln Sie zurück zum visuellen Editor, um ihn zu überprüfen.

Besitzer von Speicherblobdaten

(
 (
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'} AND NOT SubOperationMatches{'Blob.List'})
  AND
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/runAsSuperUser/action'})
 )
 OR 
 (
  Exists @Request[Microsoft.Storage/storageAccounts/blobServices/containers/blobs:snapshot]
  OR
  @Resource[Microsoft.Storage/storageAccounts/blobServices/containers/blobs:isCurrentVersion] BoolEquals true
 )
)

Storage Blob Data Reader, Storage Blob Data Contributor

(
 (
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'} AND NOT SubOperationMatches{'Blob.List'})
 )
 OR 
 (
  Exists @Request[Microsoft.Storage/storageAccounts/blobServices/containers/blobs:snapshot]
  OR
  @Resource[Microsoft.Storage/storageAccounts/blobServices/containers/blobs:isCurrentVersion] BoolEquals true
 )
)

In diesem Beispiel schränkt die Bedingung die Leseaktion ein, sofern der untergeordnete Vorgang nicht Blob.List ist. Dies bedeutet, dass ein Vorgang „List Blobs“ zulässig ist, aber alle anderen Leseaktionen anhand des Ausdrucks, der die Informationen zu Version und Momentaufnahme überprüft, weiter ausgewertet werden.

Wenn ein*e Benutzer*in versucht, in der zugewiesenen Rolle eine Aktion auszuführen, die nicht einer durch die Bedingung eingeschränkten Aktion entspricht, ergeben die Auswertung von !(ActionMatches) und die Auswertung der gesamten Bedingung „true“. Dieses Ergebnis erlaubt die Ausführung der Aktion.

Weitere Informationen zur Formatierung und Auswertung von Bedingungen finden Sie unter Bedingungenformat.

Derzeit ist kein Beispiel vorhanden.

Diese Einstellungen müssen verwendet werden, um diese Bedingung über das Azure-Portal hinzuzufügen.

Um die Bedingung mithilfe des Code-Editors hinzuzufügen, kopieren Sie das Bedingungscodebeispiel, und fügen Sie es in den Code-Editor ein. Nachdem Sie Ihren Code eingegeben haben, wechseln Sie zurück zum visuellen Editor, um ihn zu überprüfen.

Leser von Speicherblobdaten

(
 (
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'} AND SubOperationMatches{'Blob.List'})
 )
 OR 
 (
  @Request[Microsoft.Storage/storageAccounts/blobServices/containers/blobs:include] ForAllOfAnyValues:StringEqualsIgnoreCase {'metadata', 'snapshots', 'versions'}
 )
)

In diesem Beispiel schränkt die Bedingung die Leseaktion ein, wenn der untergeordnete Vorgang Blob.List ist. Dies bedeutet, dass ein Vorgang list blobs anhand des Ausdrucks, der die include-Werte überprüft, weiter ausgewertet wird, aber dass alle anderen Leseaktionen nicht erlaubt sind.

Wenn ein*e Benutzer*in versucht, in der zugewiesenen Rolle eine Aktion auszuführen, die nicht einer durch die Bedingung eingeschränkten Aktion entspricht, ergeben die Auswertung von !(ActionMatches) und die Auswertung der gesamten Bedingung „true“. Dieses Ergebnis erlaubt die Ausführung der Aktion.

Weitere Informationen zur Formatierung und Auswertung von Bedingungen finden Sie unter Bedingungenformat.

Derzeit ist kein Beispiel vorhanden.

Diese Einstellungen müssen verwendet werden, um diese Bedingung über das Azure-Portal hinzuzufügen.

Um die Bedingung mithilfe des Code-Editors hinzuzufügen, kopieren Sie das Bedingungscodebeispiel, und fügen Sie es in den Code-Editor ein. Nachdem Sie Ihren Code eingegeben haben, wechseln Sie zurück zum visuellen Editor, um ihn zu überprüfen.

Leser von Speicherblobdaten

(
 (
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'} AND SubOperationMatches{'Blob.List'})
 )
 OR 
 (
  @Request[Microsoft.Storage/storageAccounts/blobServices/containers/blobs:include] ForAllOfAllValues:StringNotEquals {'metadata'}
 )
)

In diesem Beispiel schränkt die Bedingung die Leseaktion ein, wenn der untergeordnete Vorgang Blob.List ist. Dies bedeutet, dass ein Vorgang list blobs anhand des Ausdrucks, der die include-Werte überprüft, weiter ausgewertet wird, aber dass alle anderen Leseaktionen nicht erlaubt sind.

Wenn ein*e Benutzer*in versucht, in der zugewiesenen Rolle eine Aktion auszuführen, die nicht einer durch die Bedingung eingeschränkten Aktion entspricht, ergeben die Auswertung von !(ActionMatches) und die Auswertung der gesamten Bedingung „true“. Dieses Ergebnis erlaubt die Ausführung der Aktion.

Weitere Informationen zur Formatierung und Auswertung von Bedingungen finden Sie unter Bedingungenformat.

Derzeit ist kein Beispiel vorhanden.

Diese Einstellungen müssen verwendet werden, um diese Bedingung über das Azure-Portal hinzuzufügen.

Um die Bedingung mithilfe des Code-Editors hinzuzufügen, kopieren Sie das Bedingungscodebeispiel, und fügen Sie es in den Code-Editor ein. Nachdem Sie Ihren Code eingegeben haben, wechseln Sie zurück zum visuellen Editor, um ihn zu überprüfen.

Besitzer von Speicherblobdaten

(
 (
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'} AND NOT SubOperationMatches{'Blob.List'})
  AND
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/runAsSuperUser/action'})
 )
 OR 
 (
  @Resource[Microsoft.Storage/storageAccounts:isHnsEnabled] BoolEquals true
 )
)

Storage Blob Data Reader, Storage Blob Data Contributor

(
 (
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'} AND NOT SubOperationMatches{'Blob.List'})
 )
 OR 
 (
  @Resource[Microsoft.Storage/storageAccounts:isHnsEnabled] BoolEquals true
 )
)

In diesem Beispiel schränkt die Bedingung die Leseaktion ein, sofern der untergeordnete Vorgang nicht Blob.List ist. Dies bedeutet, dass ein Vorgang „List Blobs“ zulässig ist, aber alle anderen Leseaktionen anhand des Ausdrucks, der nach dem hierarchischen Namespace sucht, weiter ausgewertet werden.

Wenn ein*e Benutzer*in versucht, in der zugewiesenen Rolle eine Aktion auszuführen, die nicht einer durch die Bedingung eingeschränkten Aktion entspricht, ergeben die Auswertung von !(ActionMatches) und die Auswertung der gesamten Bedingung „true“. Dieses Ergebnis erlaubt die Ausführung der Aktion.

Weitere Informationen zur Formatierung und Auswertung von Bedingungen finden Sie unter Bedingungenformat.

Derzeit ist kein Beispiel vorhanden.

Diese Einstellungen müssen verwendet werden, um diese Bedingung über das Azure-Portal hinzuzufügen.

Um die Bedingung mithilfe des Code-Editors hinzuzufügen, kopieren Sie das Bedingungscodebeispiel, und fügen Sie es in den Code-Editor ein. Nachdem Sie Ihren Code eingegeben haben, wechseln Sie zurück zum visuellen Editor, um ihn zu überprüfen.

(
 (
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'} AND NOT SubOperationMatches{'Blob.List'})
 )
 OR 
 (
  @Resource[Microsoft.Storage/storageAccounts/encryptionScopes:name] ForAnyOfAnyValues:StringEquals {'validScope1', 'validScope2'}
 )
)

In diesem Beispiel schränkt die Bedingung die Leseaktion ein, sofern der untergeordnete Vorgang nicht Blob.List ist. Dies bedeutet, dass ein Vorgang „List Blobs“ zulässig ist, aber alle anderen Leseaktionen anhand des Ausdrucks, der die Verschlüsselungsbereiche überprüft, weiter ausgewertet werden.

Wenn ein*e Benutzer*in versucht, in der zugewiesenen Rolle eine Aktion auszuführen, die nicht einer durch die Bedingung eingeschränkten Aktion entspricht, ergeben die Auswertung von !(ActionMatches) und die Auswertung der gesamten Bedingung „true“. Dieses Ergebnis erlaubt die Ausführung der Aktion.

Weitere Informationen zur Formatierung und Auswertung von Bedingungen finden Sie unter Bedingungenformat.

Derzeit ist kein Beispiel vorhanden.

Diese Einstellungen müssen verwendet werden, um diese Bedingung über das Azure-Portal hinzuzufügen.

Um die Bedingung mithilfe des Code-Editors hinzuzufügen, kopieren Sie das Bedingungscodebeispiel, und fügen Sie es in den Code-Editor ein. Nachdem Sie Ihren Code eingegeben haben, wechseln Sie zurück zum visuellen Editor, um ihn zu überprüfen.

(
 (
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'} AND NOT SubOperationMatches{'Blob.List'})
  AND
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/write'})
  AND
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/add/action'})
 )
 OR 
 (
  @Resource[Microsoft.Storage/storageAccounts:name] StringEquals 'sampleaccount'
  AND
  @Resource[Microsoft.Storage/storageAccounts/encryptionScopes:name] ForAnyOfAnyValues:StringEquals {'ScopeCustomKey1'}
 )
)

Wenn ein*e Benutzer*in versucht, in der zugewiesenen Rolle eine Aktion auszuführen, die nicht einer durch die Bedingung eingeschränkten Aktion entspricht, ergeben die Auswertung von !(ActionMatches) und die Auswertung der gesamten Bedingung „true“. Dieses Ergebnis erlaubt die Ausführung der Aktion.

Weitere Informationen zur Formatierung und Auswertung von Bedingungen finden Sie unter Bedingungenformat.

Derzeit ist kein Beispiel vorhanden.

Diese Einstellungen müssen verwendet werden, um diese Bedingung über das Azure-Portal hinzuzufügen.

Um die Bedingung mithilfe des Code-Editors hinzuzufügen, kopieren Sie das Bedingungscodebeispiel, und fügen Sie es in den Code-Editor ein. Nachdem Sie Ihren Code eingegeben haben, wechseln Sie zurück zum visuellen Editor, um ihn zu überprüfen.

(
 (
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'} AND NOT SubOperationMatches{'Blob.List'})
 )
 OR 
 (
  @Principal[Microsoft.Directory/CustomSecurityAttributes/Id:Engineering_Project] StringEquals @Resource[Microsoft.Storage/storageAccounts/blobServices/containers/blobs/tags:Project<$key_case_sensitive$>]
 )
)
AND
(
 (
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/write'} AND SubOperationMatches{'Blob.Write.WithTagHeaders'})
  AND
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/add/action'} AND SubOperationMatches{'Blob.Write.WithTagHeaders'})
 )
 OR 
 (
  @Principal[Microsoft.Directory/CustomSecurityAttributes/Id:Engineering_Project] StringEquals @Request[Microsoft.Storage/storageAccounts/blobServices/containers/blobs/tags:Project<$key_case_sensitive$>]
 )
)

Wenn ein*e Benutzer*in versucht, in der zugewiesenen Rolle eine Aktion auszuführen, die nicht einer durch die Bedingung eingeschränkten Aktion entspricht, ergeben die Auswertung von !(ActionMatches) und die Auswertung der gesamten Bedingung „true“. Dieses Ergebnis erlaubt die Ausführung der Aktion.

Weitere Informationen zur Formatierung und Auswertung von Bedingungen finden Sie unter Bedingungenformat.

Derzeit ist kein Beispiel vorhanden.

Diese Einstellungen müssen verwendet werden, um diese Bedingung über das Azure-Portal hinzuzufügen.

Um die Bedingung mithilfe des Code-Editors hinzuzufügen, kopieren Sie das Bedingungscodebeispiel, und fügen Sie es in den Code-Editor ein. Nachdem Sie Ihren Code eingegeben haben, wechseln Sie zurück zum visuellen Editor, um ihn zu überprüfen.

(
 (
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'} AND NOT SubOperationMatches{'Blob.List'})
 )
 OR 
 (
  @Resource[Microsoft.Storage/storageAccounts/blobServices/containers/blobs/tags:Project<$key_case_sensitive$>] ForAnyOfAnyValues:StringEquals @Principal[Microsoft.Directory/CustomSecurityAttributes/Id:Engineering_Project]
 )
)

In diesem Beispiel schränkt die Bedingung die Leseaktion ein, sofern der untergeordnete Vorgang nicht Blob.List ist. Dies bedeutet, dass ein Vorgang „List Blobs“ zulässig ist, aber alle anderen Leseaktionen anhand des Ausdrucks, der nach dem Blob-Indextags und den benutzerdefinierten Sicherheitsattributen sucht, weiter ausgewertet werden.

Wenn ein*e Benutzer*in versucht, in der zugewiesenen Rolle eine Aktion auszuführen, die nicht einer durch die Bedingung eingeschränkten Aktion entspricht, ergeben die Auswertung von !(ActionMatches) und die Auswertung der gesamten Bedingung „true“. Dieses Ergebnis erlaubt die Ausführung der Aktion.

Weitere Informationen zur Formatierung und Auswertung von Bedingungen finden Sie unter Bedingungenformat.

Derzeit ist kein Beispiel vorhanden.

Hinzufügen einer Aktion

Wählen Sie Aktion hinzufügen aus, und wählen Sie dann nur den Untervorgang Lesen eines Blobs aus, wie in der folgenden Tabelle gezeigt.

Wählen Sie nicht die Aktion Alle Lesevorgänge der obersten Ebene oder irgendeinen anderen Untervorgang aus, wie in der folgenden Abbildung gezeigt:

Ausdruck erstellen

Verwenden Sie die Werte in der folgenden Tabelle, um den Ausdrucksteil der Bedingung zu erstellen:

Konfiguration	Wert
Attributquelle	Ressource
Merkmal	Containername
Bediener	StringEquals
Wert	container1
Logischer Operator	'UND'
Attributquelle	Umgebung
Merkmal	UtcNow
Bediener	DateTimeGreaterThan
Wert	2023-05-01T13:00:00.000Z

Die folgende Abbildung zeigt die Bedingung, nachdem die Einstellungen in das Azure-Portal eingegeben wurden. Beachten Sie, dass Sie Ausdrücke gruppieren müssen, damit sie korrekt ausgewertet werden können.

Um die Bedingung mithilfe des Code-Editors hinzuzufügen, kopieren Sie das Bedingungscodebeispiel unten, und fügen Sie es in den Code-Editor ein. Nachdem Sie Ihren Code eingegeben haben, wechseln Sie zurück zum visuellen Editor, um ihn zu überprüfen.

( 
 ( 
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'}) 
 ) 
 OR  
 ( 
  @Resource[Microsoft.Storage/storageAccounts/blobServices/containers:name] StringEquals 'container1'
  AND 
  @Environment[UtcNow] DateTimeGreaterThan '2023-05-01T13:00:00.000Z' 
 ) 
) 

Wenn ein*e Benutzer*in versucht, in der zugewiesenen Rolle eine Aktion auszuführen, die nicht einer durch die Bedingung eingeschränkten Aktion entspricht, ergeben die Auswertung von !(ActionMatches) und die Auswertung der gesamten Bedingung „true“. Dieses Ergebnis erlaubt die Ausführung der Aktion.

Weitere Informationen zur Formatierung und Auswertung von Bedingungen finden Sie unter Bedingungenformat.

So fügen Sie diese Bedingung für die Rolle Storage-Blobdatenleser mithilfe von Azure PowerShell hinzu:

$subId = "<your subscription id>"
$rgName = "<resource group name>"
$storageAccountName = "<storage account name>"
$roleDefinitionName = "Storage Blob Data Reader"
$userUpn = "<user UPN>"
$userObjectID = (Get-AzADUser -UserPrincipalName $userUpn).Id
$containerName = "container1"
$dateTime = "2023-05-01T13:00:00.000Z"
$scope = "/subscriptions/$subId/resourceGroups/$rgName/providers/Microsoft.Storage/storageAccounts/$storageAccountName"

$condition = `
"( `
 ( `
 !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'}) `
 ) `
 OR ` 
 ( `
  @Resource[Microsoft.Storage/storageAccounts/blobServices/containers:name] StringEquals '$containerName' `
  AND `
  @Environment[UtcNow] DateTimeGreaterThan '$dateTime' `
 ) `
)"

$testRa = Get-AzRoleAssignment -Scope $scope -RoleDefinitionName $roleDefinitionName -ObjectId $userObjectID
$testRa.Condition = $condition
$testRa.ConditionVersion = "2.0"
Set-AzRoleAssignment -InputObject $testRa -PassThru

Hinzufügen einer Aktion

Wählen Sie Aktion hinzufügen aus, und wählen Sie dann nur die Aktionen der obersten Ebene aus, die in der folgenden Tabelle gezeigt werden.

Wählen Sie keine einzelnen Untervorgänge aus, wie in der folgenden Abbildung gezeigt:

Ausdruck erstellen

Verwenden Sie die Werte in der folgenden Tabelle, um den Ausdrucksteil der Bedingung zu erstellen:

Konfiguration	Wert
Attributquelle	Ressource
Merkmal	Containername
Bediener	StringEquals
Wert	container1
Logischer Operator	'UND'
Attributquelle	Umgebung
Merkmal	Subnetz
Bediener	StringEqualsIgnoreCase
Wert	/subscriptions/<your subscription id>/resourceGroups/<resource group name>/providers/Microsoft.Network/virtualNetworks/virtualnetwork1/subnets/default

Die folgende Abbildung zeigt die Bedingung, nachdem die Einstellungen in das Azure-Portal eingegeben wurden. Beachten Sie, dass Sie Ausdrücke gruppieren müssen, damit sie korrekt ausgewertet werden können.

Um die Bedingung mithilfe des Code-Editors hinzuzufügen, kopieren Sie das Bedingungscodebeispiel unten, und fügen Sie es in den Code-Editor ein. Nachdem Sie Ihren Code eingegeben haben, wechseln Sie zurück zum visuellen Editor, um ihn zu überprüfen.

(
 (
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'})
  AND
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/write'})
  AND
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/add/action'})
  AND
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/delete'})
 )
 OR
 (
  @Resource[Microsoft.Storage/storageAccounts/blobServices/containers:name]StringEquals 'container1'
  AND
  @Environment[Microsoft.Network/virtualNetworks/subnets] StringEqualsIgnoreCase '/subscriptions/<your subscription id>/resourceGroups/example-group/providers/Microsoft.Network/virtualNetworks/virtualnetwork1/subnets/default'
 )
)

Wenn ein*e Benutzer*in versucht, in der zugewiesenen Rolle eine Aktion auszuführen, die nicht einer durch die Bedingung eingeschränkten Aktion entspricht, ergeben die Auswertung von !(ActionMatches) und die Auswertung der gesamten Bedingung „true“. Dieses Ergebnis erlaubt die Ausführung der Aktion.

Weitere Informationen zur Formatierung und Auswertung von Bedingungen finden Sie unter Bedingungenformat.

So fügen Sie diese Bedingung für die Rolle Mitwirkender an Storage-Blobdaten mithilfe von Azure PowerShell hinzu:

$subId = "<your subscription id>"
$rgName = "<resource group name>"
$storageAccountName = "<storage account name>"
$roleDefinitionName = "Storage Blob Data Contributor"
$userUpn = "<user UPN>"
$userObjectID = (Get-AzADUser -UserPrincipalName $userUpn).Id
$containerName = "container1"
$vnetName = "virtualnetwork1"
$subnetName = "default"
$scope = "/subscriptions/$subId/resourceGroups/$rgName/providers/Microsoft.Storage/storageAccounts/$storageAccountName"

$condition = `
"( `
 ( `
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'}) `
  AND `
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/write'}) `
  AND `
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/add/action'}) `
  AND `
 !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/delete'}) `
 ) `
 OR ` 
 ( `
  @Resource[Microsoft.Storage/storageAccounts/blobServices/containers:name] StringEquals '$containerName' `
  AND `
  @Environment[Microsoft.Network/virtualNetworks/subnets] StringEqualsIgnoreCase '/subscriptions/$subId/resourceGroups/$rgName/providers/Microsoft.Network/virtualNetworks/$vnetName/subnets/$subnetName' `
 ) `
)"

$testRa = Get-AzRoleAssignment -Scope $scope -RoleDefinitionName $roleDefinitionName -ObjectId $userObjectID
$testRa.Condition = $condition
$testRa.ConditionVersion = "2.0"
Set-AzRoleAssignment -InputObject $testRa -PassThru

Diese Einstellungen müssen verwendet werden, um diese Bedingung mithilfe des visuellen Bedingungs-Editors im Azure-Portal hinzuzufügen.

Hinzufügen einer Aktion

Wählen Sie Aktion hinzufügen aus, und wählen Sie dann nur den Untervorgang Lesen eines Blobs aus, wie in der folgenden Tabelle gezeigt.

Wählen Sie nicht die Aktion Alle Lesevorgänge der obersten Ebene irgendeines anderen Untervorgangs aus, wie in der folgenden Abbildung gezeigt:

Ausdruck erstellen

Verwenden Sie die Werte in der folgenden Tabelle, um den Ausdrucksteil der Bedingung zu erstellen:

Gruppe	Konfiguration	Wert
Gruppe #1
	Attributquelle	Ressource
	Merkmal	Blobindextags [Werte im Schlüssel]
	Schlüssel	sensitivity
	Bediener	StringEquals
	Wert	high
	Logischer Operator	'AND'
	Attributquelle	Umgebung
	Merkmal	Ist eine private Verbindung
	Bediener	BoolEquals
	Wert	True
Ende der Gruppe #1
	Logischer Operator	'OR'
	Attributquelle	Ressource
	Merkmal	Blobindextags [Werte im Schlüssel]
	Schlüssel	sensitivity
	Bediener	StringNotEquals
	Wert	high

Die folgende Abbildung zeigt die Bedingung, nachdem die Einstellungen in das Azure-Portal eingegeben wurden. Beachten Sie, dass Sie Ausdrücke gruppieren müssen, damit sie korrekt ausgewertet werden können.

Um die Bedingung mithilfe des Code-Editors hinzuzufügen, kopieren Sie das Bedingungscodebeispiel unten, und fügen Sie es in den Code-Editor ein. Nachdem Sie Ihren Code eingegeben haben, wechseln Sie zurück zum visuellen Editor, um ihn zu überprüfen.

(
 (
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'} AND NOT SubOperationMatches{'Blob.List'})
 )
 OR
 (
  (
   @Resource[Microsoft.Storage/storageAccounts/blobServices/containers/blobs/tags:sensitivity<$key_case_sensitive$>] StringEquals 'high'
   AND
   @Environment[isPrivateLink] BoolEquals true
  )
  OR
  @Resource[Microsoft.Storage/storageAccounts/blobServices/containers/blobs/tags:sensitivity<$key_case_sensitive$>] StringNotEquals 'high'
 )
)

In diesem Beispiel schränkt die Bedingung die Leseaktion ein, sofern der untergeordnete Vorgang nicht Blob.List ist. Dies bedeutet, dass ein Vorgang „List Blobs“ zulässig ist, aber alle anderen Leseaktionen anhand des Ausdrucks weiter ausgewertet werden.

Wenn ein*e Benutzer*in versucht, in der zugewiesenen Rolle eine Aktion auszuführen, die nicht einer durch die Bedingung eingeschränkten Aktion entspricht, ergeben die Auswertung von !(ActionMatches) und die Auswertung der gesamten Bedingung „true“. Dieses Ergebnis erlaubt die Ausführung der Aktion.

Weitere Informationen zur Formatierung und Auswertung von Bedingungen finden Sie unter Bedingungenformat.

So fügen Sie diese Bedingung für die Rolle Storage-Blobdatenleser mithilfe von Azure PowerShell hinzu:

$subId = "<your subscription id>"
$rgName = "<resource group name>"
$storageAccountName = "<storage account name>"
$roleDefinitionName = "Storage Blob Data Reader"
$userUpn = "<user UPN>"
$userObjectID = (Get-AzADUser -UserPrincipalName $userUpn).Id
$scope = "/subscriptions/$subId/resourceGroups/$rgName/providers/Microsoft.Storage/storageAccounts/$storageAccountName"

$condition = `
"( `
 ( `
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'} AND NOT SubOperationMatches{'Blob.List'}) `
 ) `
 OR `
 ( `
  ( `
   @Resource[Microsoft.Storage/storageAccounts/blobServices/containers/blobs/tags:sensitivity<`$key_case_sensitive`$>] StringEquals 'high' `
   AND `
   @Environment[isPrivateLink] BoolEquals true `
  ) `
  OR `
  @Resource[Microsoft.Storage/storageAccounts/blobServices/containers/blobs/tags:sensitivity<`$key_case_sensitive`$>] StringNotEquals 'high' `
 ) `
)"

$testRa = Get-AzRoleAssignment -Scope $scope -RoleDefinitionName $roleDefinitionName -ObjectId $userObjectID
$testRa.Condition = $condition
$testRa.ConditionVersion = "2.0"
Set-AzRoleAssignment -InputObject $testRa -PassThru

Diese Einstellungen müssen verwendet werden, um diese Bedingung mithilfe des visuellen Bedingungs-Editors im Azure-Portal hinzuzufügen.

Hinzufügen einer Aktion

Wählen Sie Aktion hinzufügen aus, und wählen Sie dann nur die Aktionen der obersten Ebene aus, die in der folgenden Tabelle gezeigt werden.

Wählen Sie keine einzelnen Untervorgänge aus, wie in der folgenden Abbildung gezeigt:

Ausdruck erstellen

Verwenden Sie die Werte in der folgenden Tabelle, um den Ausdrucksteil der Bedingung zu erstellen:

Gruppe	Konfiguration	Wert
Gruppe #1
	Attributquelle	Ressource
	Merkmal	Containername
	Bediener	StringEquals
	Wert	container1
	Logischer Operator	'AND'
	Attributquelle	Umgebung
	Merkmal	Privater Endpunkt
	Bediener	StringEqualsIgnoreCase
	Wert	/subscriptions/<your subscription id>/resourceGroups/<resource group name>/providers/Microsoft.Network/privateEndpoints/privateendpoint1
Ende der Gruppe #1
	Logischer Operator	'OR'
	Attributquelle	Ressource
	Merkmal	Containername
	Bediener	StringNotEquals
	Wert	container1

Die folgende Abbildung zeigt die Bedingung, nachdem die Einstellungen in das Azure-Portal eingegeben wurden. Beachten Sie, dass Sie Ausdrücke gruppieren müssen, damit sie korrekt ausgewertet werden können.

Um die Bedingung mithilfe des Code-Editors hinzuzufügen, wählen Sie eines der folgenden Bedingungscodebeispiele aus, je nachdem, welche Rolle der Zuweisung zugeordnet ist. Nachdem Sie Ihren Code eingegeben haben, wechseln Sie zurück zum visuellen Editor, um ihn zu überprüfen.

Besitzende Person von Speicherblobdaten:

(
 (
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'})
  AND
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/write'})
  AND
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/add/action'})
  AND
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/delete'})
  AND
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/runAsSuperUser/action'})
 )
 OR
 (
  (
   @Resource[Microsoft.Storage/storageAccounts/blobServices/containers:name] StringEquals 'container1'
   AND
   @Environment[Microsoft.Network/privateEndpoints] StringEqualsIgnoreCase '/subscriptions/<your subscription id>/resourceGroups/example-group/providers/Microsoft.Network/privateEndpoints/privateendpoint1'
  )
  OR
  @Resource[Microsoft.Storage/storageAccounts/blobServices/containers:name] StringNotEquals 'container1'
 )
)

Mitwirkende an Speicherblobdaten:

(
 (
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'})
  AND
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/write'})
  AND
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/add/action'})
  AND
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/delete'})
 )
 OR
 (
  (
   @Resource[Microsoft.Storage/storageAccounts/blobServices/containers:name] StringEquals 'container1'
   AND
   @Environment[Microsoft.Network/privateEndpoints] StringEqualsIgnoreCase '/subscriptions/<your subscription id>/resourceGroups/example-group/providers/Microsoft.Network/privateEndpoints/privateendpoint1'
  )
  OR
  @Resource[Microsoft.Storage/storageAccounts/blobServices/containers:name] StringNotEquals 'container1'
 )
)

Wenn ein*e Benutzer*in versucht, in der zugewiesenen Rolle eine Aktion auszuführen, die nicht einer durch die Bedingung eingeschränkten Aktion entspricht, ergeben die Auswertung von !(ActionMatches) und die Auswertung der gesamten Bedingung „true“. Dieses Ergebnis erlaubt die Ausführung der Aktion.

Weitere Informationen zur Formatierung und Auswertung von Bedingungen finden Sie unter Bedingungenformat.

So fügen Sie diese Bedingung für die Rolle Mitwirkender an Storage-Blobdaten mithilfe von Azure PowerShell hinzu:

$subId = "<your subscription id>"
$rgName = "<resource group name>"
$storageAccountName = "<storage account name>"
$roleDefinitionName = "Storage Blob Data Contributor"
$userUpn = "<user UPN>"
$userObjectID = (Get-AzADUser -UserPrincipalName $userUpn).Id
$containerName = "container1"
$privateEndpointName = "privateendpoint1"
$scope = "/subscriptions/$subId/resourceGroups/$rgName/providers/Microsoft.Storage/storageAccounts/$storageAccountName"

$condition = `
"( `
 ( `
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'}) `
  AND `
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/write'}) `
  AND `
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/add/action'}) `
  AND `
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/delete'}) `
 ) `
 OR `
 ( `
  ( `
   @Resource[Microsoft.Storage/storageAccounts/blobServices/containers:name] StringEquals '$containerName' `
   AND `
   @Environment[Microsoft.Network/privateEndpoints] StringEqualsIgnoreCase '/subscriptions/$subId/resourceGroups/$rgName/providers/Microsoft.Network/privateEndpoints/$privateEndpointName' `
  ) `
  OR `
  @Resource[Microsoft.Storage/storageAccounts/blobServices/containers:name] StringNotEquals '$containerName' `
 ) `
)"

$testRa = Get-AzRoleAssignment -Scope $scope -RoleDefinitionName $roleDefinitionName -ObjectId $userObjectID
$testRa.Condition = $condition
$testRa.ConditionVersion = "2.0"
Set-AzRoleAssignment -InputObject $testRa -PassThru

Diese Einstellungen müssen verwendet werden, um diese Bedingung mithilfe des visuellen Bedingungs-Editors im Azure-Portal hinzuzufügen.

Hinzufügen einer Aktion

Wählen Sie Aktion hinzufügen aus, und wählen Sie dann nur den Untervorgang Lesen eines Blobs aus, wie in der folgenden Tabelle gezeigt.

Wählen Sie nicht die Aktion auf oberster Ebene aus, wie in der folgenden Abbildung gezeigt:

Ausdruck erstellen

Verwenden Sie die Werte in der folgenden Tabelle, um den Ausdrucksteil der Bedingung zu erstellen:

Die folgende Abbildung zeigt die Bedingung, nachdem die Einstellungen in das Azure-Portal eingegeben wurden. Beachten Sie, dass Sie Ausdrücke gruppieren müssen, damit sie korrekt ausgewertet werden können.

Um die Bedingung mithilfe des Code-Editors hinzuzufügen, kopieren Sie das Bedingungscodebeispiel unten, und fügen Sie es in den Code-Editor ein. Nachdem Sie Ihren Code eingegeben haben, wechseln Sie zurück zum visuellen Editor, um ihn zu überprüfen.

(
 (
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'} AND NOT SubOperationMatches{'Blob.List'})
 )
 OR
 (
  (
   @Principal[Microsoft.Directory/CustomSecurityAttributes/Id:sensitivity] StringEqualsIgnoreCase @Resource[Microsoft.Storage/storageAccounts/blobServices/containers/blobs/tags:sensitivity<$key_case_sensitive$>]
   AND
   @Environment[Microsoft.Network/privateEndpoints] StringEqualsIgnoreCase '/subscriptions/<your subscription id>/resourceGroups/example-group/providers/Microsoft.Network/privateEndpoints/privateendpoint1'
  )
  OR
  @Resource[Microsoft.Storage/storageAccounts/blobServices/containers/blobs/tags:sensitivity<$key_case_sensitive$>] StringNotEquals 'high'
 )
)

In diesem Beispiel schränkt die Bedingung die Leseaktion ein, sofern der untergeordnete Vorgang nicht Blob.List ist. Dies bedeutet, dass ein Vorgang „List Blobs“ zulässig ist, aber alle anderen Leseaktionen anhand des Ausdrucks weiter ausgewertet werden.

Wenn ein*e Benutzer*in versucht, in der zugewiesenen Rolle eine Aktion auszuführen, die nicht einer durch die Bedingung eingeschränkten Aktion entspricht, ergeben die Auswertung von !(ActionMatches) und die Auswertung der gesamten Bedingung „true“. Dieses Ergebnis erlaubt die Ausführung der Aktion.

Weitere Informationen zur Formatierung und Auswertung von Bedingungen finden Sie unter Bedingungenformat.

So fügen Sie diese Bedingung für die Rolle Storage-Blobdatenleser mithilfe von Azure PowerShell hinzu:

$subId = "<your subscription id>"
$rgName = "<resource group name>"
$storageAccountName = "<storage account name>"
$roleDefinitionName = "Storage Blob Data Reader"
$userUpn = "<user UPN>"
$userObjectID = (Get-AzADUser -UserPrincipalName $userUpn).Id
$privateEndpointName = "privateendpoint1"
$scope = "/subscriptions/$subId/resourceGroups/$rgName/providers/Microsoft.Storage/storageAccounts/$storageAccountName"

$condition = `
"( `
 ( `
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'} AND NOT SubOperationMatches{'Blob.List'}) `
 ) `
 OR `
 ( `
  ( `
   @Principal[Microsoft.Directory/CustomSecurityAttributes/Id:sensitivity] StringEqualsIgnoreCase @Resource[Microsoft.Storage/storageAccounts/blobServices/containers/blobs/tags:sensitivity<`$key_case_sensitive`$>] `
   AND `
   @Environment[Microsoft.Network/privateEndpoints] StringEqualsIgnoreCase '/subscriptions/$subid/resourceGroups/$rgname/providers/Microsoft.Network/privateEndpoints/$privateEndpointName' `
  ) `
  OR `
  @Resource[Microsoft.Storage/storageAccounts/blobServices/containers/blobs/tags:sensitivity<`$key_case_sensitive`$>] StringNotEquals 'high' `
 ) `
)"

$testRa = Get-AzRoleAssignment -Scope $scope -RoleDefinitionName $roleDefinitionName -ObjectId $userObjectID
$testRa.Condition = $condition
$testRa.ConditionVersion = "2.0"
Set-AzRoleAssignment -InputObject $testRa -PassThru