Voorbeeld van Voorwaarden voor Azure-roltoewijzing voor Blob Storage

2025-04-05

In dit artikel vindt u enkele voorbeelden van roltoewijzingsvoorwaarden voor het beheren van de toegang tot Azure Blob Storage.

Belangrijk

Op kenmerken gebaseerd toegangsbeheer van Azure (Azure ABAC) is algemeen beschikbaar (GA) voor het beheren van de toegang tot Azure Blob Storage, Azure Data Lake Storage Gen2 en Azure Queues met behulp van request, resourceen environmentprincipal kenmerken in de prestatielagen standard en Premium Storage-account. Op dit moment bevat de lijst-blob het aanvraagkenmerk en het momentopnameaanvraagkenmerk voor hiërarchische naamruimte in PREVIEW. Zie Status van voorwaardefuncties in Azure Storage voor volledige informatie over de functiestatus van ABAC voor Azure Storage.

Raadpleeg de Aanvullende voorwaarden voor Microsoft Azure-previews voor juridische voorwaarden die van toepassing zijn op Azure-functies die in bèta of preview zijn of die anders nog niet algemeen beschikbaar zijn.

Vereiste voorwaarden

Zie Voorwaarden voor informatie over de vereisten voor het toevoegen of bewerken van voorwaarden voor roltoewijzing.

Overzicht van voorbeelden in dit artikel

Gebruik de volgende tabel om snel een voorbeeld te vinden dat past bij uw ABAC-scenario. De tabel bevat een korte beschrijving van het scenario, plus een lijst met kenmerken die worden gebruikt in het voorbeeld per bron (omgeving, principal, aanvraag en resource).

Voorbeeld	Milieu	Schoolleider	Aanvraag	Hulpbron
Blobs lezen met een blob-index-tag				etiketten
Nieuwe blobs moeten een blobindextag bevatten			etiketten
Bestaande blobs moeten blob-indextagsleutels hebben			etiketten
Bestaande blobs moeten een sleutel en waarden voor de blob-indextag hebben			etiketten
Blobs lezen, schrijven of verwijderen in benoemde containers				containernaam
Blobs uitlezen in benoemde containers via een pad				containernaam blobbaan
Blobs lezen of opsommen in benoemde containers via een pad			blobvoorvoegsel	containernaam blobbaan
Blobs schrijven in benoemde containers met een specifiek pad				containernaam blobbaan
Blobs lezen met een blob-index-tag en een pad				pad naar tags-blob
Blobs lezen in container met specifieke metagegevens				containermetagegevens
Blobs schrijven of verwijderen in een container met specifieke metagegevens				containermetagegevens
Alleen huidige blobversies lezen				isCurrentVersion
Lees huidige blobversies en een specifieke blobversie			versionId	isCurrentVersion
Oude blobversies verwijderen			versionId
Lees de huidige versies van blobs en eventuele momentopnamen van blobs			momentopname	isCurrentVersion
Lijstblobbewerking toestaan om blobmetagegevens, momentopnamen of versies op te nemen			lijst-blob opnemen
Lijstblobbewerking beperken tot het niet opnemen van blobmetagegevens			lijst-blob opnemen
Alleen-lezen opslagaccounts waarvoor hiërarchische naamruimte is ingeschakeld				isHnsIngeschakeld
Blobs lezen met specifieke versleutelingsbereiken				Naam van versleutelingsbereik
Blobs lezen of schrijven in benoemd opslagaccount met een specifiek versleutelingsbereik				Naam van versleutelingsbereik voor opslagaccount
Blobs lezen of schrijven op basis van blob-indextags en aangepaste beveiligingskenmerken		ID-kaart	etiketten	etiketten
Blobs lezen op basis van blob-indextags en aangepaste beveiligingskenmerken met meerdere waarden		ID-kaart		etiketten
Leestoegang tot blobs toestaan na een specifieke datum en tijd	UtcNow			containernaam
Toegang tot blobs in specifieke containers vanuit een specifiek subnet toestaan	Subnetwerk			containernaam
Toegang tot private link vereisen om blobs met een hoge gevoeligheid te lezen	isPrivateLink			etiketten
Alleen toegang tot een container vanaf een specifiek privé-eindpunt toestaan	Privé-eindpunt			containernaam
Voorbeeld: Leestoegang tot zeer gevoelige blobgegevens alleen toestaan vanuit een specifiek privé-eindpunt en door gebruikers die zijn getagd voor toegang	Privé-eindpunt	ID-kaart		etiketten

Blob-indextags

Deze sectie bevat voorbeelden van blobindextags.

Belangrijk

Hoewel de Read content from a blob with tag conditions suboperation momenteel wordt ondersteund voor compatibiliteit met voorwaarden die zijn geïmplementeerd tijdens de preview van de ABAC-functie, is deze afgeschaft en raadt Microsoft aan de Read a blob actie te gebruiken.

Wanneer u ABAC-voorwaarden configureert in de Azure-portal, ziet u mogelijk AFGESCHAFT: Inhoud lezen uit een blob met tagvoorwaarden. Microsoft raadt u aan de bewerking te verwijderen en deze te vervangen door de Read a blob actie.

Als u uw eigen voorwaarde ontwerpt waarmee u de leestoegang wilt beperken op basis van tagvoorwaarden, raadpleegt u Voorbeeld: blobs lezen met een blobindextag.

Voorbeeld: Blobs lezen met een blob-index-tag

Met deze voorwaarde kunnen gebruikers blobs lezen met een blob-indexlabel met de sleutel Project en de waarde Cascade. Pogingen om toegang te krijgen tot blobs zonder deze sleutelwaardetag is niet toegestaan.

Als u wilt dat deze voorwaarde effectief is voor een beveiligingsprincipaal, moet u deze toevoegen aan alle roltoewijzingen die de volgende acties bevatten:

Handeling	Opmerkingen
`Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read`
`Microsoft.Storage/storageAccounts/blobServices/containers/blobs/runAsSuperUser/action`	Voeg toe als de roldefinitie deze actie bevat, zoals eigenaar van opslagblobgegevens.

Diagram van conditie met leestoegang tot blobs met een blob-indexlabel.

De voorwaarde kan worden toegevoegd aan een roltoewijzing met behulp van Azure Portal of Azure PowerShell. De portal heeft twee hulpprogramma's voor het bouwen van ABAC-voorwaarden: de visuele editor en de code-editor. U kunt schakelen tussen de twee editors in Azure Portal om uw voorwaarden in verschillende weergaven te bekijken. Schakel tussen het tabblad Visual Editor en de tabbladen Code-editor om de voorbeelden voor de portaleditor van uw voorkeur weer te geven.

Hier volgen de instellingen voor het toevoegen van deze voorwaarde met behulp van de visual-editor van Azure Portal.

Voorwaarde 1	Omgeving
Acties	Een blob lezen
Kenmerkbron	Hulpbron
Kenmerk	Blob-indextags [Waarden in sleutel]
Sleutelcode	{keyName}
Bediener	StringEquals
Waarde	{keyValue}

Als u de voorwaarde wilt toevoegen met behulp van de code-editor, kopieert u het codevoorbeeld van de voorwaarde en plakt u deze in de code-editor. Nadat u de code hebt ingevoerd, gaat u terug naar de visual-editor om deze te valideren.

(
 (
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'} AND NOT SubOperationMatches{'Blob.List'})
 )
 OR 
 (
  @Resource[Microsoft.Storage/storageAccounts/blobServices/containers/blobs/tags:Project<$key_case_sensitive$>] StringEquals 'Cascade'
 )
)

In dit voorbeeld beperkt de voorwaarde de leesactie, behalve wanneer de suboperation is Blob.List. Dit betekent dat een lijst-blobs-bewerking is toegestaan, maar alle andere leesacties worden verder geëvalueerd op basis van de expressie die controleert op de blobindextag.

Als een gebruiker probeert een actie uit te voeren in de toegewezen rol die geen actie is die wordt beperkt door de voorwaarde, !(ActionMatches) is dit waar en is de algehele voorwaarde waar. Met dit resultaat kan de actie worden uitgevoerd.

Zie Voorwaarden-indeling voor meer informatie over hoe voorwaarden worden opgemaakt en geëvalueerd.

U kunt deze voorwaarde als volgt toevoegen met behulp van Azure PowerShell.

$condition = "((!(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'} AND NOT SubOperationMatches{'Blob.List'})) OR (@Resource[Microsoft.Storage/storageAccounts/blobServices/containers/blobs/tags:Project<`$key_case_sensitive`$>] StringEquals 'Cascade'))"
$testRa = Get-AzRoleAssignment -Scope $scope -RoleDefinitionName $roleDefinitionName -ObjectId $userObjectID
$testRa.Condition = $condition
$testRa.ConditionVersion = "2.0"
Set-AzRoleAssignment -InputObject $testRa -PassThru

U kunt deze voorwaarde als volgt testen.

$bearerCtx = New-AzStorageContext -StorageAccountName $storageAccountName
Get-AzStorageBlob -Container <containerName> -Blob <blobName> -Context $bearerCtx

Voorbeeld: Nieuwe blobs moeten een blobindextag bevatten

Deze voorwaarde vereist dat nieuwe blobs een sleutel 'Project' met een waarde 'Cascade' in de blob-indextag bevatten.

Er zijn twee acties waarmee u nieuwe blobs kunt maken, dus u moet beide bereiken. U moet deze voorwaarde toevoegen aan roltoewijzingen die een van de volgende acties bevatten:

Handeling	Opmerkingen
`Microsoft.Storage/storageAccounts/blobServices/containers/blobs/write`
`Microsoft.Storage/storageAccounts/blobServices/containers/blobs/add/action`
`Microsoft.Storage/storageAccounts/blobServices/containers/blobs/runAsSuperUser/action`	Voeg toe als de roldefinitie deze actie bevat, zoals eigenaar van opslagblobgegevens.

Diagram van conditie met nieuwe blobs moet een blobindextag bevatten.

Hier volgen de instellingen voor het toevoegen van deze voorwaarde met behulp van Azure Portal.

Voorwaarde 1	Omgeving
Acties	Schrijven naar een blob met blob-index-tags Schrijven naar een blob met blob-index-tags
Kenmerkbron	Aanvraag
Kenmerk	Blob-indextags [Waarden in sleutel]
Sleutelcode	{keyName}
Bediener	StringEquals
Waarde	{keyValue}

(
 (
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/write'} AND SubOperationMatches{'Blob.Write.WithTagHeaders'})
  AND
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/add/action'} AND SubOperationMatches{'Blob.Write.WithTagHeaders'})
 )
 OR 
 (
  @Request[Microsoft.Storage/storageAccounts/blobServices/containers/blobs/tags:Project<$key_case_sensitive$>] StringEquals 'Cascade'
 )
)

Zie Voorwaarden-indeling voor meer informatie over hoe voorwaarden worden opgemaakt en geëvalueerd.

U kunt deze voorwaarde als volgt toevoegen met behulp van Azure PowerShell.

$condition = "((!(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/write'} AND SubOperationMatches{'Blob.Write.WithTagHeaders'}) AND !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/add/action'} AND SubOperationMatches{'Blob.Write.WithTagHeaders'})) OR (@Request[Microsoft.Storage/storageAccounts/blobServices/containers/blobs/tags:Project<`$key_case_sensitive`$>] StringEquals 'Cascade'))"
$testRa = Get-AzRoleAssignment -Scope $scope -RoleDefinitionName $roleDefinitionName -ObjectId $userObjectID
$testRa.Condition = $condition
$testRa.ConditionVersion = "2.0"
Set-AzRoleAssignment -InputObject $testRa -PassThru

U kunt deze voorwaarde als volgt testen.

$localSrcFile = # path to an example file, can be an empty txt
$ungrantedTag = @{'Project'='Baker'}
$grantedTag = @{'Project'='Cascade'}
# Get new context for request
$bearerCtx = New-AzStorageContext -StorageAccountName $storageAccountName
# try ungranted tags
$content = Set-AzStorageBlobContent -File $localSrcFile -Container example2 -Blob "Example2.txt" -Tag $ungrantedTag -Context $bearerCtx
# try granted tags
$content = Set-AzStorageBlobContent -File $localSrcFile -Container example2 -Blob "Example2.txt" -Tag $grantedTag -Context $bearerCtx

Voorbeeld: bestaande blobs moeten blob-indextagsleutels hebben

Deze voorwaarde vereist dat bestaande blobs worden gelabeld met ten minste één van de toegestane blob-indextagsleutels : Project of Program. Deze voorwaarde is handig voor het toevoegen van governance aan bestaande blobs.

Er zijn twee acties waarmee u tags op bestaande blobs kunt bijwerken, dus u moet zich op beide richten. U moet deze voorwaarde toevoegen aan roltoewijzingen die een van de volgende acties bevatten:

Handeling	Opmerkingen
`Microsoft.Storage/storageAccounts/blobServices/containers/blobs/write`
`Microsoft.Storage/storageAccounts/blobServices/containers/blobs/tags/write`
`Microsoft.Storage/storageAccounts/blobServices/containers/blobs/runAsSuperUser/action`	Voeg toe als de roldefinitie deze actie bevat, zoals eigenaar van opslagblobgegevens.

Diagram van de status met bestaande blobs moet blobindextagsleutels bevatten.

Hier volgen de instellingen voor het toevoegen van deze voorwaarde met behulp van Azure Portal.

Voorwaarde 1	Omgeving
Acties	Schrijven naar een blob met blob-index-tags Blob-indextags schrijven
Kenmerkbron	Aanvraag
Kenmerk	Blob-index tags [Sleutels]
Bediener	ForAllOfAnyValues:StringEquals
Waarde	{keyName1} {keyName2}

(
 (
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/write'} AND SubOperationMatches{'Blob.Write.WithTagHeaders'})
  AND
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/tags/write'})
 )
 OR 
 (
  @Request[Microsoft.Storage/storageAccounts/blobServices/containers/blobs/tags&$keys$&] ForAllOfAnyValues:StringEquals {'Project', 'Program'}
 )
)

Zie Voorwaarden-indeling voor meer informatie over hoe voorwaarden worden opgemaakt en geëvalueerd.

U kunt deze voorwaarde als volgt toevoegen met behulp van Azure PowerShell.

$condition = "((!(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/write'} AND SubOperationMatches{'Blob.Write.WithTagHeaders'}) AND !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/tags/write'})) OR (@Request[Microsoft.Storage/storageAccounts/blobServices/containers/blobs/tags&`$keys`$&] ForAllOfAnyValues:StringEquals {'Project', 'Program'}))"
$testRa = Get-AzRoleAssignment -Scope $scope -RoleDefinitionName $roleDefinitionName -ObjectId $userObjectID
$testRa.Condition = $condition
$testRa.ConditionVersion = "2.0"
Set-AzRoleAssignment -InputObject $testRa -PassThru

U kunt deze voorwaarde als volgt testen.

$localSrcFile = # path to an example file, can be an empty txt
$ungrantedTag = @{'Mode'='Baker'}
$grantedTag = @{'Program'='Alpine';'Project'='Cascade'}
# Get new context for request
$bearerCtx = New-AzStorageContext -StorageAccountName $storageAccountName
# try ungranted tags
$content = Set-AzStorageBlobContent -File $localSrcFile -Container example3 -Blob "Example3.txt" -Tag $ungrantedTag -Context $bearerCtx
# try granted tags
$content = Set-AzStorageBlobContent -File $localSrcFile -Container example3 -Blob "Example3.txt" -Tag $grantedTag -Context $bearerCtx

Voorbeeld: Bestaande blobs moeten een sleutel en waarden voor de blob-index tag hebben.

Voor deze voorwaarde is vereist dat bestaande blobs een blob-indextagsleutel hebben van Project en waarden van Cascade, Baker of Skagit. Deze voorwaarde is handig voor het toevoegen van governance aan bestaande blobs.

Er zijn twee acties waarmee u tags op bestaande blobs kunt bijwerken, dus u moet zich op beide richten. U moet deze voorwaarde toevoegen aan roltoewijzingen die een van de volgende acties bevatten.

Handeling	Opmerkingen
`Microsoft.Storage/storageAccounts/blobServices/containers/blobs/write`
`Microsoft.Storage/storageAccounts/blobServices/containers/blobs/tags/write`
`Microsoft.Storage/storageAccounts/blobServices/containers/blobs/runAsSuperUser/action`	Voeg toe als de roldefinitie deze actie bevat, zoals eigenaar van opslagblobgegevens.

Diagram van de toestand dat bestaande blobs een blob-indextagsleutel en waarden moeten hebben.

Hier volgen de instellingen voor het toevoegen van deze voorwaarde met behulp van Azure Portal.

Voorwaarde 1	Omgeving
Acties	Schrijven naar een blob met blob-index-tags Blob-indextags schrijven
Kenmerkbron	Aanvraag
Kenmerk	Blob-index tags [Sleutels]
Bediener	ForAnyOfAnyValues:StringEquals
Waarde	{keyName}
Bediener	En
Expressie 2
Kenmerkbron	Aanvraag
Kenmerk	Blob-indextags [Waarden in sleutel]
Sleutelcode	{keyName}
Bediener	ForAllOfAnyValues:StringEquals
Waarde	{keyValue1} {keyValue2} {keyValue3}

(
 (
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/write'} AND SubOperationMatches{'Blob.Write.WithTagHeaders'})
  AND
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/tags/write'})
 )
 OR 
 (
  @Request[Microsoft.Storage/storageAccounts/blobServices/containers/blobs/tags&$keys$&] ForAnyOfAnyValues:StringEquals {'Project'}
  AND
  @Request[Microsoft.Storage/storageAccounts/blobServices/containers/blobs/tags:Project<$key_case_sensitive$>] ForAllOfAnyValues:StringEquals {'Cascade', 'Baker', 'Skagit'}
 )
)

Zie Voorwaarden-indeling voor meer informatie over hoe voorwaarden worden opgemaakt en geëvalueerd.

U kunt deze voorwaarde als volgt toevoegen met behulp van Azure PowerShell.

$condition = "((!(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/write'} AND SubOperationMatches{'Blob.Write.WithTagHeaders'}) AND !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/tags/write'})) OR (@Request[Microsoft.Storage/storageAccounts/blobServices/containers/blobs/tags&`$keys`$&] ForAnyOfAnyValues:StringEquals {'Project'} AND @Request[Microsoft.Storage/storageAccounts/blobServices/containers/blobs/tags:Project<`$key_case_sensitive`$>] ForAllOfAnyValues:StringEquals {'Cascade', 'Baker', 'Skagit'}))"
$testRa = Get-AzRoleAssignment -Scope $scope -RoleDefinitionName $roleDefinitionName -ObjectId $userObjectID
$testRa.Condition = $condition
$testRa.ConditionVersion = "2.0"
Set-AzRoleAssignment -InputObject $testRa -PassThru

U kunt deze voorwaarde als volgt testen.

$localSrcFile = <pathToLocalFile>
$ungrantedTag = @{'Project'='Alpine'}
$grantedTag1 = @{'Project'='Cascade'}
$grantedTag2 = @{'Project'='Baker'}
$grantedTag3 = @{'Project'='Skagit'}
# Get new context for request
$bearerCtx = New-AzStorageContext -StorageAccountName $storageAccountName
# try ungranted tags
Set-AzStorageBlobTag -Container example4 -Blob "Example4.txt" -Tag $ungrantedTag -Context $bearerCtx
# try granted tags
Set-AzStorageBlobTag -Container example4 -Blob "Example4.txt" -Tag $grantedTag1 -Context $bearerCtx
Set-AzStorageBlobTag -Container example4 -Blob "Example4.txt" -Tag $grantedTag2 -Context $bearerCtx
Set-AzStorageBlobTag -Container example4 -Blob "Example4.txt" -Tag $grantedTag3 -Context $bearerCtx

Namen of paden van blobcontainers

Deze sectie bevat voorbeelden die laten zien hoe u de toegang tot objecten beperkt op basis van de containernaam of het blobpad.

Voorbeeld: Blobs lezen, schrijven of verwijderen in benoemde containers

Met deze voorwaarde kunnen gebruikers blobs lezen, schrijven of verwijderen in opslagcontainers met de naam blobs-example-container. Deze voorwaarde is handig voor het delen van specifieke opslagcontainers met andere gebruikers in een abonnement.

Er zijn vijf acties voor het lezen, schrijven en verwijderen van bestaande blobs. U moet deze voorwaarde toevoegen aan roltoewijzingen die een van de volgende acties bevatten.

Handeling	Opmerkingen
`Microsoft.Storage/storageAccounts/blobServices/containers/blobs/delete`
`Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read`
`Microsoft.Storage/storageAccounts/blobServices/containers/blobs/write`
`Microsoft.Storage/storageAccounts/blobServices/containers/blobs/add/action`
`Microsoft.Storage/storageAccounts/blobServices/containers/blobs/runAsSuperUser/action`	Voeg toe als de roldefinitie deze actie bevat, zoals eigenaar van opslagblobgegevens. Voeg toe als de opslagaccounts in deze voorwaarde hiërarchische naamruimte hebben ingeschakeld of in de toekomst mogelijk zijn ingeschakeld.

Suboperations worden niet in deze voorwaarde gebruikt omdat de suboperation alleen nodig is wanneer voorwaarden zijn gemaakt op basis van tags.

Diagram van voorwaarde met blobs voor lezen, schrijven of verwijderen in benoemde containers.

Hier volgen de instellingen voor het toevoegen van deze voorwaarde met behulp van Azure Portal.

Voorwaarde 1	Omgeving
Acties	Een blob verwijderen Een blob lezen Schrijven naar een blob Een blob of momentopname maken of gegevens toevoegen Alle gegevensbewerkingen voor accounts waarvoor hiërarchische naamruimte is ingeschakeld (indien van toepassing)
Kenmerkbron	Hulpbron
Kenmerk	Containernaam
Bediener	StringEquals
Waarde	{containerName}

Storage Blob Data-eigenaar

(
 (
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/delete'})
  AND
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'})
  AND
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/write'})
  AND
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/add/action'})
  AND
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/runAsSuperUser/action'})
 )
 OR 
 (
  @Resource[Microsoft.Storage/storageAccounts/blobServices/containers:name] StringEquals 'blobs-example-container'
 )
)

Inzender van opslag-blobgegevens

(
 (
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/delete'})
  AND
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'})
  AND
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/write'})
  AND
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/add/action'})
 )
 OR 
 (
  @Resource[Microsoft.Storage/storageAccounts/blobServices/containers:name] StringEquals 'blobs-example-container'
 )
)

Zie Voorwaarden-indeling voor meer informatie over hoe voorwaarden worden opgemaakt en geëvalueerd.

U kunt deze voorwaarde als volgt toevoegen met behulp van Azure PowerShell.

$condition = "((!(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/delete'}) AND !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'}) AND !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/write'}) AND !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/add/action'}) AND !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/runAsSuperUser/action'})) OR (@Resource[Microsoft.Storage/storageAccounts/blobServices/containers:name] StringEquals 'blobs-example-container'))"
$testRa = Get-AzRoleAssignment -Scope $scope -RoleDefinitionName $roleDefinitionName -ObjectId $userObjectID
$testRa.Condition = $condition
$testRa.ConditionVersion = "2.0"
Set-AzRoleAssignment -InputObject $testRa -PassThru

U kunt deze voorwaarde als volgt testen.

$localSrcFile = <pathToLocalFile>
$grantedContainer = "blobs-example-container"
$ungrantedContainer = "ungranted"
# Get new context for request
$bearerCtx = New-AzStorageContext -StorageAccountName $storageAccountName
# Ungranted Container actions
$content = Set-AzStorageBlobContent -File $localSrcFile -Container $ungrantedContainer -Blob "Example5.txt" -Context $bearerCtx
$content = Get-AzStorageBlobContent -Container $ungrantedContainer -Blob "Example5.txt" -Context $bearerCtx
$content = Remove-AzStorageBlob -Container $ungrantedContainer -Blob "Example5.txt" -Context $bearerCtx
# Granted Container actions
$content = Set-AzStorageBlobContent -File $localSrcFile -Container $grantedContainer -Blob "Example5.txt" -Context $bearerCtx
$content = Get-AzStorageBlobContent -Container $grantedContainer -Blob "Example5.txt" -Context $bearerCtx
$content = Remove-AzStorageBlob -Container $grantedContainer -Blob "Example5.txt" -Context $bearerCtx

Voorbeeld: Blobs lezen in benoemde containers met een pad

Met deze voorwaarde heeft u leestoegang tot opslagcontainers met de naam blobs-example-container met een blobpad van readonly/*. Deze voorwaarde is handig voor het delen van specifieke onderdelen van opslagcontainers voor leestoegang met andere gebruikers in het abonnement.

U moet deze voorwaarde toevoegen aan roltoewijzingen die de volgende acties bevatten.

Handeling	Opmerkingen
`Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read`
`Microsoft.Storage/storageAccounts/blobServices/containers/blobs/runAsSuperUser/action`	Voeg toe als de roldefinitie deze actie bevat, zoals eigenaar van opslagblobgegevens. Voeg toe als de opslagaccounts in deze voorwaarde hiërarchische naamruimte hebben ingeschakeld of in de toekomst mogelijk zijn ingeschakeld.

Diagram van voorwaarde met leestoegang tot blobs in benoemde containers met een pad.

Hier volgen de instellingen voor het toevoegen van deze voorwaarde met behulp van Azure Portal.

Voorwaarde 1	Omgeving
Acties	Een blob lezen Alle gegevensbewerkingen voor accounts waarvoor hiërarchische naamruimte is ingeschakeld (indien van toepassing)
Kenmerkbron	Hulpbron
Kenmerk	Containernaam
Bediener	StringEquals
Waarde	{containerName}
Expressie 2
Bediener	En
Kenmerkbron	Hulpbron
Kenmerk	Blobpad
Bediener	StringLike
Waarde	{pathString}

Storage Blob Data-eigenaar

(
 (
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'} AND NOT SubOperationMatches{'Blob.List'})
  AND
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/runAsSuperUser/action'})
 )
 OR 
 (
  @Resource[Microsoft.Storage/storageAccounts/blobServices/containers:name] StringEquals 'blobs-example-container'
  AND
  @Resource[Microsoft.Storage/storageAccounts/blobServices/containers/blobs:path] StringLike 'readonly/*'
 )
)

Lezer van opslagblobgegevens, Bijdrager aan opslagblobgegevens

(
 (
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'} AND NOT SubOperationMatches{'Blob.List'})
 )
 OR 
 (
  @Resource[Microsoft.Storage/storageAccounts/blobServices/containers:name] StringEquals 'blobs-example-container'
  AND
  @Resource[Microsoft.Storage/storageAccounts/blobServices/containers/blobs:path] StringLike 'readonly/*'
 )
)

Zie Voorwaarden-indeling voor meer informatie over hoe voorwaarden worden opgemaakt en geëvalueerd.

U kunt deze voorwaarde als volgt toevoegen met behulp van Azure PowerShell.

$condition = "((!(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'} AND NOT SubOperationMatches{'Blob.List'}) AND !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/runAsSuperUser/action'})) OR (@Resource[Microsoft.Storage/storageAccounts/blobServices/containers:name] StringEquals 'blobs-example-container' AND @Resource[Microsoft.Storage/storageAccounts/blobServices/containers/blobs:path] StringLike 'readonly/*'))"
$testRa = Get-AzRoleAssignment -Scope $scope -RoleDefinitionName $roleDefinitionName -ObjectId $userObjectID
$testRa.Condition = $condition
$testRa.ConditionVersion = "2.0"
Set-AzRoleAssignment -InputObject $testRa -PassThru

U kunt deze voorwaarde als volgt testen.

$grantedContainer = "blobs-example-container"
# Get new context for request
$bearerCtx = New-AzStorageContext -StorageAccountName $storageAccountName
# Try to get ungranted blob
$content = Get-AzStorageBlobContent -Container $grantedContainer -Blob "Ungranted.txt" -Context $bearerCtx
# Try to get granted blob
$content = Get-AzStorageBlobContent -Container $grantedContainer -Blob "readonly/Example6.txt" -Context $bearerCtx

Voorbeeld: Blobs lezen of vermelden in benoemde containers met een pad

Deze voorwaarde staat leestoegang en lijsttoegang toe tot opslagcontainers met de naam blobs-example-container met een blobpad van readonly/*. Voorwaarde 1 is van toepassing op leesacties, met uitzondering van lijst-blobs. Voorwaarde 2 is van toepassing op lijst-blobs. Deze voorwaarde is handig voor het delen van specifieke onderdelen van opslagcontainers voor lees- of lijsttoegang met andere gebruikers in het abonnement.

U moet deze voorwaarde toevoegen aan roltoewijzingen die de volgende acties bevatten.

Handeling	Opmerkingen
`Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read`
`Microsoft.Storage/storageAccounts/blobServices/containers/blobs/runAsSuperUser/action`	Voeg toe als de roldefinitie deze actie bevat, zoals eigenaar van opslagblobgegevens. Voeg toe als de opslagaccounts in deze voorwaarde hiërarchische naamruimte hebben ingeschakeld of in de toekomst mogelijk zijn ingeschakeld.

Diagram van conditie dat lees- en lijsttoegang tot blobs in benoemde containers met een pad toont.

Hier volgen de instellingen voor het toevoegen van deze voorwaarde met behulp van Azure Portal.

Opmerking

Azure Portal maakt gebruik van voorvoegsel='' om blobs uit de hoofdmap van de container weer te geven. Nadat de voorwaarde is toegevoegd met de lijst-blobs-bewerking met het voorvoegsel StringStartsWith 'readonly/', kunnen gerichte gebruikers geen blobs weergeven uit de hoofdmap van de container in het Azure-portaal.

Voorwaarde 1	Omgeving
Acties	Een blob lezen Alle gegevensbewerkingen voor accounts waarvoor hiërarchische naamruimte is ingeschakeld (indien van toepassing)
Kenmerkbron	Hulpbron
Kenmerk	Containernaam
Bediener	StringEquals
Waarde	{containerName}
Expressie 2
Bediener	En
Kenmerkbron	Hulpbron
Kenmerk	Blobpad
Bediener	`StringStartsWith`
Waarde	{pathString}

Voorwaarde 2	Omgeving
Acties	Blobs oplijsten Alle gegevensbewerkingen voor accounts waarvoor hiërarchische naamruimte is ingeschakeld (indien van toepassing)
Kenmerkbron	Hulpbron
Kenmerk	Containernaam
Bediener	StringEquals
Waarde	{containerName}
Expressie 2
Bediener	En
Kenmerkbron	Aanvraag
Kenmerk	Blobvoorvoegsel
Bediener	`StringStartsWith`
Waarde	{pathString}

Storage Blob Data-eigenaar

(
 (
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'} AND NOT SubOperationMatches{'Blob.List'})
  AND
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/runAsSuperUser/action'})
 )
 OR 
 (
  @Resource[Microsoft.Storage/storageAccounts/blobServices/containers:name] StringEquals 'blobs-example-container'
  AND
  @Resource[Microsoft.Storage/storageAccounts/blobServices/containers/blobs:path] StringStartsWith 'readonly/'
 )
)
AND
(
 (
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'} AND SubOperationMatches{'Blob.List'})
  AND
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/runAsSuperUser/action'})
 )
 OR 
 (
  @Resource[Microsoft.Storage/storageAccounts/blobServices/containers:name] StringEquals 'blobs-example-container'
  AND
  @Request[Microsoft.Storage/storageAccounts/blobServices/containers/blobs:prefix] StringStartsWith 'readonly/'
 )
)

Lezer van opslagblobgegevens, Bijdrager aan opslagblobgegevens

(
 (
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'} AND NOT SubOperationMatches{'Blob.List'})
 )
 OR 
 (
  @Resource[Microsoft.Storage/storageAccounts/blobServices/containers:name] StringEquals 'blobs-example-container'
  AND
  @Resource[Microsoft.Storage/storageAccounts/blobServices/containers/blobs:path] StringStartsWith 'readonly/'
 )
)
AND
(
 (
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'} AND SubOperationMatches{'Blob.List'})
 )
 OR 
 (
  @Resource[Microsoft.Storage/storageAccounts/blobServices/containers:name] StringEquals 'blobs-example-container'
  AND
  @Request[Microsoft.Storage/storageAccounts/blobServices/containers/blobs:prefix] StringStartsWith 'readonly/'
 )
)

Zie Voorwaarden-indeling voor meer informatie over hoe voorwaarden worden opgemaakt en geëvalueerd.

Voorbeeld: Blobs schrijven in benoemde containers met een pad

Met deze voorwaarde kan een partner (een Gastgebruiker van Microsoft Entra) bestanden neerzetten in opslagcontainers met de naam Contosocorp met een pad naar uploads/contoso/*. Deze voorwaarde is handig voor het toestaan van andere gebruikers om gegevens in opslagcontainers te plaatsen.

U moet deze voorwaarde toevoegen aan roltoewijzingen die de volgende acties bevatten.

Handeling	Opmerkingen
`Microsoft.Storage/storageAccounts/blobServices/containers/blobs/write`
`Microsoft.Storage/storageAccounts/blobServices/containers/blobs/add/action`
`Microsoft.Storage/storageAccounts/blobServices/containers/blobs/runAsSuperUser/action`	Voeg toe als de roldefinitie deze actie bevat, zoals eigenaar van opslagblobgegevens. Voeg toe als de opslagaccounts in deze voorwaarde hiërarchische naamruimte hebben ingeschakeld of in de toekomst mogelijk zijn ingeschakeld.

Diagram van voorwaarde met schrijftoegang tot blobs in benoemde containers met een pad.

Hier volgen de instellingen voor het toevoegen van deze voorwaarde met behulp van Azure Portal.

Voorwaarde 1	Omgeving
Acties	Schrijven naar een blob Een blob of momentopname maken of gegevens toevoegen Alle gegevensbewerkingen voor accounts waarvoor hiërarchische naamruimte is ingeschakeld (indien van toepassing)
Kenmerkbron	Hulpbron
Kenmerk	Containernaam
Bediener	StringEquals
Waarde	{containerName}
Expressie 2
Bediener	En
Kenmerkbron	Hulpbron
Kenmerk	Blobpad
Bediener	StringLike
Waarde	{pathString}

Storage Blob Data-eigenaar

(
 (
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/write'})
  AND
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/add/action'})
  AND
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/runAsSuperUser/action'})
 )
 OR 
 (
  @Resource[Microsoft.Storage/storageAccounts/blobServices/containers:name] StringEquals 'contosocorp'
  AND
  @Resource[Microsoft.Storage/storageAccounts/blobServices/containers/blobs:path] StringLike 'uploads/contoso/*'
 )
)

Inzender van opslag-blobgegevens

(
 (
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/write'})
  AND
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/add/action'})
 )
 OR 
 (
  @Resource[Microsoft.Storage/storageAccounts/blobServices/containers:name] StringEquals 'contosocorp'
  AND
  @Resource[Microsoft.Storage/storageAccounts/blobServices/containers/blobs:path] StringLike 'uploads/contoso/*'
 )
)

Zie Voorwaarden-indeling voor meer informatie over hoe voorwaarden worden opgemaakt en geëvalueerd.

U kunt deze voorwaarde als volgt toevoegen met behulp van Azure PowerShell.

$condition = "((!(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/write'}) AND !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/add/action'}) AND !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/runAsSuperUser/action'})) OR (@Resource[Microsoft.Storage/storageAccounts/blobServices/containers:name] StringEquals 'contosocorp' AND @Resource[Microsoft.Storage/storageAccounts/blobServices/containers/blobs:path] StringLike 'uploads/contoso/*'))"
$testRa = Get-AzRoleAssignment -Scope $scope -RoleDefinitionName $roleDefinitionName -ObjectId $userObjectID
$testRa.Condition = $condition
$testRa.ConditionVersion = "2.0"
Set-AzRoleAssignment -InputObject $testRa -PassThru

U kunt deze voorwaarde als volgt testen.

$grantedContainer = "contosocorp"
$localSrcFile = <pathToLocalFile>
$bearerCtx = New-AzStorageContext -StorageAccountName $storageAccountName
# Try to set ungranted blob
$content = Set-AzStorageBlobContent -Container $grantedContainer -Blob "Example7.txt" -Context $bearerCtx -File $localSrcFile
# Try to set granted blob
$content = Set-AzStorageBlobContent -Container $grantedContainer -Blob "uploads/contoso/Example7.txt" -Context $bearerCtx -File $localSrcFile

Voorbeeld: Blobs lezen met een blobindex-tag en een pad

Met deze voorwaarde kan een gebruiker blobs lezen met een blob-indextagsleutel van Program, een waarde van Alpine en een blobpad van logboeken*. Het blobpad van logboeken* bevat ook de blobnaam.

U moet deze voorwaarde toevoegen aan roltoewijzingen die de volgende actie bevatten.

Handeling	Opmerkingen
`Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read`
`Microsoft.Storage/storageAccounts/blobServices/containers/blobs/runAsSuperUser/action`	Voeg toe als de roldefinitie deze actie bevat, zoals eigenaar van opslagblobgegevens.

Diagram van de voorwaarde die leestoegang tot blobs met een blobindextag en een pad toont.

Hier volgen de instellingen voor het toevoegen van deze voorwaarde met behulp van Azure Portal.

Voorwaarde 1	Omgeving
Acties	Een blob lezen
Kenmerkbron	Hulpbron
Kenmerk	Blob-indextags [Waarden in sleutel]
Sleutelcode	{keyName}
Bediener	StringEquals
Waarde	{keyValue}

Voorwaarde 2	Omgeving
Acties	Een blob lezen
Kenmerkbron	Hulpbron
Kenmerk	Blobpad
Bediener	StringLike
Waarde	{pathString}

(
 (
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'} AND NOT SubOperationMatches{'Blob.List'})
 )
 OR 
 (
  @Resource[Microsoft.Storage/storageAccounts/blobServices/containers/blobs/tags:Program<$key_case_sensitive$>] StringEquals 'Alpine'
 )
)
AND
(
 (
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'} AND NOT SubOperationMatches{'Blob.List'})
 )
 OR 
 (
  @Resource[Microsoft.Storage/storageAccounts/blobServices/containers/blobs:path] StringLike 'logs*'
 )
)

Zie Voorwaarden-indeling voor meer informatie over hoe voorwaarden worden opgemaakt en geëvalueerd.

U kunt deze voorwaarde als volgt toevoegen met behulp van Azure PowerShell.

$condition = "((!(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'} AND NOT SubOperationMatches{'Blob.List'})) OR (@Resource[Microsoft.Storage/storageAccounts/blobServices/containers/blobs/tags:Program<`$key_case_sensitive`$>] StringEquals 'Alpine')) AND ((!(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'} AND NOT SubOperationMatches{'Blob.List'})) OR (@Resource[Microsoft.Storage/storageAccounts/blobServices/containers/blobs:path] StringLike 'logs*'))"
$testRa = Get-AzRoleAssignment -Scope $scope -RoleDefinitionName $roleDefinitionName -ObjectId $userObjectID
$testRa.Condition = $condition
$testRa.ConditionVersion = "2.0"
Set-AzRoleAssignment -InputObject $testRa -PassThru

U kunt deze voorwaarde als volgt testen.

$grantedContainer = "contosocorp"
# Get new context for request
$bearerCtx = New-AzStorageContext -StorageAccountName $storageAccountName
# Try to get ungranted blobs
# Wrong name but right tags
$content = Get-AzStorageBlobContent -Container $grantedContainer -Blob "AlpineFile.txt" -Context $bearerCtx
# Right name but wrong tags
$content = Get-AzStorageBlobContent -Container $grantedContainer -Blob "logsAlpine.txt" -Context $bearerCtx
# Try to get granted blob
$content = Get-AzStorageBlobContent -Container $grantedContainer -Blob "logs/AlpineFile.txt" -Context $bearerCtx

Metagegevens van blobcontainer

Voorbeeld: Blobs lezen in container met specifieke metagegevens

Met deze voorwaarde kunnen gebruikers blobs lezen in blobcontainers met een specifieke metagegevenssleutel/waardepaar.

U moet deze voorwaarde toevoegen aan roltoewijzingen die de volgende actie bevatten.

Handeling	Opmerkingen
`Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read`

Hier volgen de instellingen voor het toevoegen van deze voorwaarde met behulp van Azure Portal.

Voorwaarde 1	Omgeving
Acties	Een blob lezen
Kenmerkbron	Hulpbron
Kenmerk	Containermetagegevens
Bediener	StringEquals
Waarde	{containerName}

Storage Blob-gegevenslezer

(
 (
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'})
 )
 OR 
 (
  @Resource[Microsoft.Storage/storageAccounts/blobServices/containers/metadata:testKey] StringEquals 'testValue'
 )
)

Zie Voorwaarden-indeling voor meer informatie over hoe voorwaarden worden opgemaakt en geëvalueerd.

U kunt deze voorwaarde als volgt toevoegen met behulp van Azure PowerShell.

$condition = "( `
 ( `
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'}) `
 ) `
 OR `
 ( `
  @Resource[Microsoft.Storage/storageAccounts/blobServices/containers/metadata:testKey] StringEquals 'testValue' `
 ) `
)"
$testRa = Get-AzRoleAssignment -Scope $scope -RoleDefinitionName $roleDefinitionName -ObjectId $userObjectID
$testRa.Condition = $condition
$testRa.ConditionVersion = "2.0"
Set-AzRoleAssignment -InputObject $testRa -PassThru

Voorbeeld: Blobs schrijven of verwijderen in een container met specifieke metagegevens

Met deze voorwaarde kunnen gebruikers blobs schrijven of verwijderen in blobcontainers met een specifieke sleutel/waardepaar met metagegevens.

U moet deze voorwaarde toevoegen aan roltoewijzingen die de volgende actie bevatten.

Handeling	Opmerkingen
`Microsoft.Storage/storageAccounts/blobServices/containers/blobs/write`
`Microsoft.Storage/storageAccounts/blobServices/containers/blobs/delete`

Hier volgen de instellingen voor het toevoegen van deze voorwaarde met behulp van Azure Portal.

Voorwaarde 1	Omgeving
Acties	Schrijven naar een blob Een blob verwijderen
Kenmerkbron	Hulpbron
Kenmerk	Containermetagegevens
Bediener	StringEquals
Waarde	{containerName}

Inzender van opslag-blobgegevens

(
 (
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/write'})
  AND
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/delete'})
 )
 OR 
 (
  @Resource[Microsoft.Storage/storageAccounts/blobServices/containers/metadata:testKey] StringEquals 'testValue'
 )
)

Zie Voorwaarden-indeling voor meer informatie over hoe voorwaarden worden opgemaakt en geëvalueerd.

U kunt deze voorwaarde als volgt toevoegen met behulp van Azure PowerShell.

$condition = "( `
 ( `
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/write'}) `
  AND `
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/delete'}) `
 ) `
 OR `
 ( `
  @Resource[Microsoft.Storage/storageAccounts/blobServices/containers/metadata:testKey] StringEquals 'testValue' `
 ) `
) `
$testRa = Get-AzRoleAssignment -Scope $scope -RoleDefinitionName $roleDefinitionName -ObjectId $userObjectID
$testRa.Condition = $condition
$testRa.ConditionVersion = "2.0"
Set-AzRoleAssignment -InputObject $testRa -PassThru

Blobversies of blobmomentopnamen

Deze sectie bevat voorbeelden die laten zien hoe u de toegang tot objecten beperkt op basis van de blobversie of momentopname.

Voorbeeld: Alleen de huidige blobversies lezen

Met deze voorwaarde kan een gebruiker alleen huidige blobversies lezen. De gebruiker kan geen andere blobversies lezen.

U moet deze voorwaarde toevoegen aan roltoewijzingen die de volgende acties bevatten.

Handeling	Opmerkingen
`Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read`
`Microsoft.Storage/storageAccounts/blobServices/containers/blobs/runAsSuperUser/action`	Voeg toe als de roldefinitie deze actie bevat, zoals eigenaar van opslagblobgegevens.

Diagram van de voorwaarde die alleen leestoegang toont tot de huidige blobversie.

Hier volgen de instellingen voor het toevoegen van deze voorwaarde met behulp van Azure Portal.

Voorwaarde 1	Omgeving
Acties	Een blob lezen Alle gegevensbewerkingen voor accounts waarvoor hiërarchische naamruimte is ingeschakeld (indien van toepassing)
Kenmerkbron	Hulpbron
Kenmerk	Is de huidige versie
Bediener	BoolEquals
Waarde	Klopt

Storage Blob Data-eigenaar

(
 (
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'} AND NOT SubOperationMatches{'Blob.List'})
  AND
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/runAsSuperUser/action'})
 )
 OR 
 (
  @Resource[Microsoft.Storage/storageAccounts/blobServices/containers/blobs:isCurrentVersion] BoolEquals true
 )
)

Lezer van opslagblobgegevens, Bijdrager aan opslagblobgegevens

(
 (
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'} AND NOT SubOperationMatches{'Blob.List'})
 )
 OR 
 (
  @Resource[Microsoft.Storage/storageAccounts/blobServices/containers/blobs:isCurrentVersion] BoolEquals true
 )
)

Zie Voorwaarden-indeling voor meer informatie over hoe voorwaarden worden opgemaakt en geëvalueerd.

Voorbeeld: huidige blobversies en een specifieke blobversie lezen

Met deze voorwaarde kan een gebruiker de huidige blobversies lezen en blobs lezen met een versie-id van 2022-06-01T23:38:32.8883645Z. De gebruiker kan geen andere blobversies lezen. Het kenmerk Versie-id is alleen beschikbaar voor opslagaccounts waarvoor hiërarchische naamruimte niet is ingeschakeld.

U moet deze voorwaarde toevoegen aan roltoewijzingen die de volgende actie bevatten.

Handeling	Opmerkingen
`Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read`

Diagram van de voorwaarde die leestoegang toont tot een specifieke blobversie.

Hier volgen de instellingen voor het toevoegen van deze voorwaarde met behulp van Azure Portal.

Voorwaarde 1	Omgeving
Acties	Een blob lezen
Kenmerkbron	Aanvraag
Kenmerk	Versie-id
Bediener	DateTimeEquals
Waarde	<blobVersionId>
Expressie 2
Bediener	Of
Kenmerkbron	Hulpbron
Kenmerk	Is de huidige versie
Bediener	BoolEquals
Waarde	Klopt

(
 (
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'} AND NOT SubOperationMatches{'Blob.List'})
 )
 OR 
 (
  @Request[Microsoft.Storage/storageAccounts/blobServices/containers/blobs:versionId] DateTimeEquals '2022-06-01T23:38:32.8883645Z'
  OR
  @Resource[Microsoft.Storage/storageAccounts/blobServices/containers/blobs:isCurrentVersion] BoolEquals true
 )
)

In dit voorbeeld beperkt de voorwaarde de leesactie, behalve wanneer de suboperation is Blob.List. Dit betekent dat de bewerking Lijst-blobs is toegestaan, maar alle andere leesacties worden verder geëvalueerd op basis van een expressie die versiegegevens controleert.

Zie Voorwaarden-indeling voor meer informatie over hoe voorwaarden worden opgemaakt en geëvalueerd.

Voorbeeld: Oude blobversies verwijderen

Met deze voorwaarde kan een gebruiker versies van een blob verwijderen die ouder zijn dan 06/01/2022 om opschoning uit te voeren. Het kenmerk Versie-id is alleen beschikbaar voor opslagaccounts waarvoor hiërarchische naamruimte niet is ingeschakeld.

U moet deze voorwaarde toevoegen aan roltoewijzingen die de volgende acties bevatten.

Handeling	Opmerkingen
`Microsoft.Storage/storageAccounts/blobServices/containers/blobs/delete`
`Microsoft.Storage/storageAccounts/blobServices/containers/blobs/deleteBlobVersion/action`

Diagram van voorwaarde waarin verwijdertoegang tot oude blobversies wordt weergegeven.

Hier volgen de instellingen voor het toevoegen van deze voorwaarde met behulp van Azure Portal.

Voorwaarde 1	Omgeving
Acties	Een blob verwijderen Een versie van een blob verwijderen
Kenmerkbron	Aanvraag
Kenmerk	Versie-id
Bediener	DateTimeLessThan
Waarde	<blobVersionId>

(
 (
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/delete'})
  AND
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/deleteBlobVersion/action'})
 )
 OR 
 (
  @Request[Microsoft.Storage/storageAccounts/blobServices/containers/blobs:versionId] DateTimeLessThan '2022-06-01T00:00:00.0Z'
 )
)

Zie Voorwaarden-indeling voor meer informatie over hoe voorwaarden worden opgemaakt en geëvalueerd.

Voorbeeld: huidige blobversies en eventuele blobmomentopnamen lezen

Met deze voorwaarde kan een gebruiker de huidige blobversies en eventuele blobmomentopnamen lezen. Het kenmerk Versie-id is alleen beschikbaar voor opslagaccounts waarvoor hiërarchische naamruimte niet is ingeschakeld. Het kenmerk Momentopname is beschikbaar voor opslagaccounts waarvoor de hiërarchische naamruimte niet is ingeschakeld en is momenteel in de previewfase voor opslagaccounts waarvoor de hiërarchische naamruimte wel is ingeschakeld.

U moet deze voorwaarde toevoegen aan roltoewijzingen die de volgende actie bevatten.

Handeling	Opmerkingen
`Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read`
`Microsoft.Storage/storageAccounts/blobServices/containers/blobs/runAsSuperUser/action`	Voeg toe als de roldefinitie deze actie bevat, zoals eigenaar van opslagblobgegevens.

Diagram van situatie met leestoegang tot actuele blobversies en alle aanwezige blob-momentopnamen.

Hier volgen de instellingen voor het toevoegen van deze voorwaarde met behulp van Azure Portal.

Voorwaarde 1	Omgeving
Acties	Een blob lezen Alle gegevensbewerkingen voor accounts waarvoor hiërarchische naamruimte is ingeschakeld (indien van toepassing)
Kenmerkbron	Aanvraag
Kenmerk	Momentopname
Bestaat	Gecontroleerd
Expressie 2
Bediener	Of
Kenmerkbron	Hulpbron
Kenmerk	Is de huidige versie
Bediener	BoolEquals
Waarde	Klopt

Storage Blob Data-eigenaar

(
 (
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'} AND NOT SubOperationMatches{'Blob.List'})
  AND
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/runAsSuperUser/action'})
 )
 OR 
 (
  Exists @Request[Microsoft.Storage/storageAccounts/blobServices/containers/blobs:snapshot]
  OR
  @Resource[Microsoft.Storage/storageAccounts/blobServices/containers/blobs:isCurrentVersion] BoolEquals true
 )
)

Lezer van opslagblobgegevens, Bijdrager aan opslagblobgegevens

(
 (
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'} AND NOT SubOperationMatches{'Blob.List'})
 )
 OR 
 (
  Exists @Request[Microsoft.Storage/storageAccounts/blobServices/containers/blobs:snapshot]
  OR
  @Resource[Microsoft.Storage/storageAccounts/blobServices/containers/blobs:isCurrentVersion] BoolEquals true
 )
)

Zie Voorwaarden-indeling voor meer informatie over hoe voorwaarden worden opgemaakt en geëvalueerd.

Voorbeeld: Lijstblobbewerking toestaan om blobmetagegevens, momentopnamen of versies op te nemen

Met deze voorwaarde kan een gebruiker blobs in een container vermelden en metagegevens, momentopnamen en versiegegevens opnemen. Het kenmerk Lijst-blobs bevatten is beschikbaar voor opslagaccounts waarbij hiërarchische naamruimte niet is ingeschakeld.

Opmerking

List blobs include is een aanvraagkenmerk en werkt door waarden in de include-parameter toe te staan of te beperken bij het aanroepen van de List Blobs-bewerking. De waarden in de include parameter worden vergeleken met de waarden die zijn opgegeven in de voorwaarde met behulp van vergelijkingsoperatoren voor meerdere producten. Als de vergelijking waar oplevert, is de List Blobs aanvraag toegestaan. Als de vergelijking resulteert in onwaar, wordt de List Blobs aanvraag geweigerd.

U moet deze voorwaarde toevoegen aan roltoewijzingen die de volgende actie bevatten.

Handeling	Opmerkingen
`Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read`

Hier volgen de instellingen voor het toevoegen van deze voorwaarde met behulp van Azure Portal.

Voorwaarde 1	Omgeving
Acties	Blobs oplijsten
Kenmerkbron	Aanvraag
Kenmerk	Lijst-blobs bevatten
Bediener	ForAllOfAnyValues:StringEqualsIgnoreCase
Waarde	{'metadata', 'instantopnamen', 'versies'}

Storage Blob-gegevenslezer

(
 (
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'} AND SubOperationMatches{'Blob.List'})
 )
 OR 
 (
  @Request[Microsoft.Storage/storageAccounts/blobServices/containers/blobs:include] ForAllOfAnyValues:StringEqualsIgnoreCase {'metadata', 'snapshots', 'versions'}
 )
)

In dit voorbeeld beperkt de voorwaarde de leesactie wanneer de suboperation is Blob.List. Dit betekent dat een list-blobs-bewerking verder wordt geëvalueerd op basis van de expressie waarmee de include waarden worden gecontroleerd, maar dat alle andere leesacties zijn toegestaan.

Zie Voorwaarden-indeling voor meer informatie over hoe voorwaarden worden opgemaakt en geëvalueerd.

Voorbeeld: Lijstblobbewerking beperken tot het niet opnemen van blobmetagegevens

Deze voorwaarde beperkt een gebruiker om blobs weer te geven wanneer metagegevens in de aanvraag worden opgenomen. Het kenmerk Lijst-blobs bevatten is beschikbaar voor opslagaccounts waarbij hiërarchische naamruimte niet is ingeschakeld.

Opmerking

U moet deze voorwaarde toevoegen aan roltoewijzingen die de volgende actie bevatten.

Handeling	Opmerkingen
`Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read`

Hier volgen de instellingen voor het toevoegen van deze voorwaarde met behulp van Azure Portal.

Voorwaarde 1	Omgeving
Acties	Blobs oplijsten
Kenmerkbron	Aanvraag
Kenmerk	Lijst-blobs bevatten
Bediener	ForAllOfAllValues:StringNotEquals
Waarde	{'metadata'}

Storage Blob-gegevenslezer

(
 (
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'} AND SubOperationMatches{'Blob.List'})
 )
 OR 
 (
  @Request[Microsoft.Storage/storageAccounts/blobServices/containers/blobs:include] ForAllOfAllValues:StringNotEquals {'metadata'}
 )
)

Zie Voorwaarden-indeling voor meer informatie over hoe voorwaarden worden opgemaakt en geëvalueerd.

Hiërarchische naamruimte

Deze sectie bevat voorbeelden die laten zien hoe u de toegang tot objecten beperkt op basis van of hiërarchische naamruimte is ingeschakeld voor een opslagaccount.

Voorbeeld: Alleen-lezen opslagaccounts waarvoor hiërarchische naamruimte is ingeschakeld

Met deze voorwaarde kan een gebruiker alleen blobs lezen in opslagaccounts waarvoor hiërarchische naamruimte is ingeschakeld. Deze voorwaarde is alleen van toepassing op een resourcegroepniveau of hoger.

U moet deze voorwaarde toevoegen aan roltoewijzingen die de volgende acties bevatten.

Handeling	Opmerkingen
`Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read`
`Microsoft.Storage/storageAccounts/blobServices/containers/blobs/runAsSuperUser/action`	Voeg toe als de roldefinitie deze actie bevat, zoals eigenaar van opslagblobgegevens.

Diagram van voorwaarde met leestoegang tot opslagaccounts waarvoor hiërarchische naamruimte is ingeschakeld.

Hier volgen de instellingen voor het toevoegen van deze voorwaarde met behulp van Azure Portal.

Voorwaarde 1	Omgeving
Acties	Een blob lezen Alle gegevensbewerkingen voor accounts waarvoor hiërarchische naamruimte is ingeschakeld (indien van toepassing)
Kenmerkbron	Hulpbron
Kenmerk	Is hiërarchische naamruimte ingeschakeld
Bediener	BoolEquals
Waarde	Klopt

Storage Blob Data-eigenaar

(
 (
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'} AND NOT SubOperationMatches{'Blob.List'})
  AND
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/runAsSuperUser/action'})
 )
 OR 
 (
  @Resource[Microsoft.Storage/storageAccounts:isHnsEnabled] BoolEquals true
 )
)

Lezer van opslagblobgegevens, Bijdrager aan opslagblobgegevens

(
 (
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'} AND NOT SubOperationMatches{'Blob.List'})
 )
 OR 
 (
  @Resource[Microsoft.Storage/storageAccounts:isHnsEnabled] BoolEquals true
 )
)

In dit voorbeeld beperkt de voorwaarde de leesactie, behalve wanneer de suboperation is Blob.List. Dit betekent dat de bewerking List Blobs is toegestaan, maar dat alle andere leesacties verder worden geëvalueerd op basis van de expressie die controleert op een hiërarchische naamruimte.

Zie Voorwaarden-indeling voor meer informatie over hoe voorwaarden worden opgemaakt en geëvalueerd.

Versleutelingsbereik

Deze sectie bevat voorbeelden die laten zien hoe u de toegang tot objecten met een goedgekeurd versleutelingsbereik kunt beperken.

Voorbeeld: Blobs lezen met specifieke versleutelingsbereiken

Met deze voorwaarde kan een gebruiker blobs lezen die zijn versleuteld met versleutelingsbereik validScope1 of validScope2.

U moet deze voorwaarde toevoegen aan roltoewijzingen die de volgende actie bevatten.

Handeling	Opmerkingen
`Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read`
`Microsoft.Storage/storageAccounts/blobServices/containers/blobs/runAsSuperUser/action`	Voeg toe als de roldefinitie deze actie bevat, zoals eigenaar van opslagblobgegevens.

Diagram van voorwaarde met leestoegang tot blobs met versleutelingsbereik validScope1 of validScope2.

Hier volgen de instellingen voor het toevoegen van deze voorwaarde met behulp van Azure Portal.

Voorwaarde 1	Omgeving
Acties	Een blob lezen
Kenmerkbron	Hulpbron
Kenmerk	Naam van versleutelingsbereik
Bediener	ForAnyOfAnyValues:StringEquals
Waarde	<scopeName>

(
 (
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'} AND NOT SubOperationMatches{'Blob.List'})
 )
 OR 
 (
  @Resource[Microsoft.Storage/storageAccounts/encryptionScopes:name] ForAnyOfAnyValues:StringEquals {'validScope1', 'validScope2'}
 )
)

Zie Voorwaarden-indeling voor meer informatie over hoe voorwaarden worden opgemaakt en geëvalueerd.

Voorbeeld: Blobs lezen of schrijven in benoemd opslagaccount met een specifiek versleutelingsbereik

Met deze voorwaarde kan een gebruiker blobs lezen of schrijven in een opslagaccount met de naam sampleaccount en versleuteld met versleutelingsbereik ScopeCustomKey1. Als blobs niet zijn versleuteld of ontsleuteld met ScopeCustomKey1, resulteert de aanvraag in een 'verboden' melding.

U moet deze voorwaarde toevoegen aan roltoewijzingen die de volgende acties bevatten.

Handeling	Opmerkingen
`Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read`
`Microsoft.Storage/storageAccounts/blobServices/containers/blobs/write`
`Microsoft.Storage/storageAccounts/blobServices/containers/blobs/add/action`
`Microsoft.Storage/storageAccounts/blobServices/containers/blobs/runAsSuperUser/action`	Voeg toe als de roldefinitie deze actie bevat, zoals eigenaar van opslagblobgegevens.

Opmerking

Omdat versleutelingsbereiken voor verschillende opslagaccounts kunnen verschillen, is het raadzaam om het storageAccounts:name kenmerk te gebruiken met het encryptionScopes:name kenmerk om het specifieke versleutelingsbereik te beperken dat is toegestaan.

Diagram van voorwaarde met lees- of schrijftoegang tot blobs in sampleaccount-opslagaccount met versleutelingsbereik ScopeCustomKey1.

Hier volgen de instellingen voor het toevoegen van deze voorwaarde met behulp van Azure Portal.

Voorwaarde 1	Omgeving
Acties	Een blob lezen Schrijven naar een blob Een blob of momentopname maken of gegevens toevoegen
Kenmerkbron	Hulpbron
Kenmerk	accountnaam
Bediener	StringEquals
Waarde	<accountnaam>
Expressie 2
Bediener	En
Kenmerkbron	Hulpbron
Kenmerk	Naam van versleutelingsbereik
Bediener	VoorElkVanElkeWaarden:StringGelijkAan
Waarde	<scopeName>

(
 (
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'} AND NOT SubOperationMatches{'Blob.List'})
  AND
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/write'})
  AND
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/add/action'})
 )
 OR 
 (
  @Resource[Microsoft.Storage/storageAccounts:name] StringEquals 'sampleaccount'
  AND
  @Resource[Microsoft.Storage/storageAccounts/encryptionScopes:name] ForAnyOfAnyValues:StringEquals {'ScopeCustomKey1'}
 )
)

Zie Voorwaarden-indeling voor meer informatie over hoe voorwaarden worden opgemaakt en geëvalueerd.

Principal-kenmerken

Deze sectie bevat voorbeelden die laten zien hoe u de toegang tot objecten kunt beperken op basis van aangepaste beveiligingsprinciplen.

Voorbeeld: Blobs lezen of schrijven op basis van blob-indextags en aangepaste beveiligingskenmerken

Met deze voorwaarde is lees- of schrijftoegang tot blobs toegestaan als de gebruiker een aangepast beveiligingskenmerk heeft dat overeenkomt met de blob-indextag.

Als Brenda bijvoorbeeld het kenmerk Project=Bakerheeft, kan ze alleen blobs lezen of schrijven met de Project=Baker blob-indextag. Op dezelfde manier kan Chandra alleen blobs lezen of schrijven met Project=Cascade.

U moet deze voorwaarde toevoegen aan roltoewijzingen die de volgende acties bevatten.

Handeling	Opmerkingen
`Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read`
`Microsoft.Storage/storageAccounts/blobServices/containers/blobs/write`
`Microsoft.Storage/storageAccounts/blobServices/containers/blobs/add/action`
`Microsoft.Storage/storageAccounts/blobServices/containers/blobs/runAsSuperUser/action`	Voeg toe als de roldefinitie deze actie bevat, zoals eigenaar van opslagblobgegevens.

Zie Leestoegang tot blobs toestaan op basis van tags en aangepaste beveiligingskenmerken voor meer informatie.

Diagram van voorwaarde met lees- of schrijftoegang tot blobs op basis van blobindextags en aangepaste beveiligingskenmerken.

Hier volgen de instellingen voor het toevoegen van deze voorwaarde met behulp van Azure Portal.

Voorwaarde 1	Omgeving
Acties	Lees de voorwaarden voor een blob
Kenmerkbron	Voornaamste
Kenmerk	<attributenset>_<sleutel>
Bediener	StringEquals
Optie	Kenmerk
Kenmerkbron	Hulpbron
Kenmerk	Blob-indextags [Waarden in sleutel]
Sleutelcode	<sleutel>

Voorwaarde 2	Omgeving
Acties	Schrijven naar een blob met blob-index-tags Schrijven naar een blob met blob-index-tags
Kenmerkbron	Voornaamste
Kenmerk	<attributenset>_<sleutel>
Bediener	StringEquals
Optie	Kenmerk
Kenmerkbron	Aanvraag
Kenmerk	Blob-indextags [Waarden in sleutel]
Sleutelcode	<sleutel>

(
 (
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'} AND NOT SubOperationMatches{'Blob.List'})
 )
 OR 
 (
  @Principal[Microsoft.Directory/CustomSecurityAttributes/Id:Engineering_Project] StringEquals @Resource[Microsoft.Storage/storageAccounts/blobServices/containers/blobs/tags:Project<$key_case_sensitive$>]
 )
)
AND
(
 (
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/write'} AND SubOperationMatches{'Blob.Write.WithTagHeaders'})
  AND
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/add/action'} AND SubOperationMatches{'Blob.Write.WithTagHeaders'})
 )
 OR 
 (
  @Principal[Microsoft.Directory/CustomSecurityAttributes/Id:Engineering_Project] StringEquals @Request[Microsoft.Storage/storageAccounts/blobServices/containers/blobs/tags:Project<$key_case_sensitive$>]
 )
)

Zie Voorwaarden-indeling voor meer informatie over hoe voorwaarden worden opgemaakt en geëvalueerd.

Voorbeeld: Blobs lezen op basis van blobindextags en aangepaste beveiligingskenmerken met meerdere waarden

Met deze voorwaarde is leestoegang tot blobs toegestaan als de gebruiker een aangepast beveiligingskenmerk heeft met waarden die overeenkomen met de blobindextag.

Als Chandra bijvoorbeeld het kenmerk Project heeft met de waarden Baker en Cascade, kan ze alleen blobs lezen met de Project=Baker of Project=Cascade blob-indextag.

U moet deze voorwaarde toevoegen aan roltoewijzingen die de volgende actie bevatten.

Handeling	Opmerkingen
`Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read`
`Microsoft.Storage/storageAccounts/blobServices/containers/blobs/runAsSuperUser/action`	Voeg toe als de roldefinitie deze actie bevat, zoals eigenaar van opslagblobgegevens.

Zie Leestoegang tot blobs toestaan op basis van tags en aangepaste beveiligingskenmerken voor meer informatie.

Diagram van voorwaarde met leestoegang tot blobs op basis van blob-indextags en aangepaste beveiligingskenmerken met meerdere waarden.

Hier volgen de instellingen voor het toevoegen van deze voorwaarde met behulp van Azure Portal.

Voorwaarde 1	Omgeving
Acties	Lees de voorwaarden voor een blob
Kenmerkbron	Hulpbron
Kenmerk	Blob-indextags [Waarden in sleutel]
Sleutelcode	<sleutel>
Bediener	ForAnyOfAnyValues:StringEquals
Optie	Kenmerk
Kenmerkbron	Voornaamste
Kenmerk	<attributenset>_<sleutel>

(
 (
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'} AND NOT SubOperationMatches{'Blob.List'})
 )
 OR 
 (
  @Resource[Microsoft.Storage/storageAccounts/blobServices/containers/blobs/tags:Project<$key_case_sensitive$>] ForAnyOfAnyValues:StringEquals @Principal[Microsoft.Directory/CustomSecurityAttributes/Id:Engineering_Project]
 )
)

Zie Voorwaarden-indeling voor meer informatie over hoe voorwaarden worden opgemaakt en geëvalueerd.

Omgevingskenmerken

Deze sectie bevat voorbeelden die laten zien hoe u de toegang tot objecten beperkt op basis van de netwerkomgeving of de huidige datum en tijd.

Voorbeeld: Leestoegang tot blobs toestaan na een specifieke datum en tijd

Met deze voorwaarde is leestoegang tot blobcontainer container1 pas na 1 uur 's middags op 1 mei 2023 Universal Coordinated Time (UTC) toegestaan.

Er zijn twee mogelijke acties voor het lezen van bestaande blobs. Als u deze voorwaarde effectief wilt maken voor principals met meerdere roltoewijzingen, moet u deze voorwaarde toevoegen aan alle roltoewijzingen die een van de volgende acties bevatten.

Handeling	Opmerkingen
`Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read`
`Microsoft.Storage/storageAccounts/blobServices/containers/blobs/runAsSuperUser/action`	Voeg toe als de roldefinitie deze actie bevat, zoals eigenaar van opslagblobgegevens.

Actie toevoegen

Selecteer Actie Toevoegen en selecteer vervolgens alleen de suboperation Een blob lezen , zoals wordt weergegeven in de volgende tabel.

Handeling	Deeloperatie
Alle leesbewerkingen	Een blob lezen

Selecteer niet de actie Alle leesbewerkingen of andere subbewerkingen op het hoogste niveau, zoals wordt weergegeven in de volgende afbeelding:

Expressie opbouwen

Gebruik de waarden in de volgende tabel om het expressiegedeelte van de voorwaarde te maken:

Omgeving Waarde

Kenmerkbron Hulpbron

Kenmerk Containernaam

Bediener StringEquals

Waarde container1

Logische operator 'AND'

Kenmerkbron Omgeving

Kenmerk UtcNow

Bediener DateTimeGreaterThan

Waarde 2023-05-01T13:00:00.000Z

In de volgende afbeelding ziet u de voorwaarde nadat de instellingen zijn ingevoerd in Azure Portal. U moet expressies groeperen om de juiste evaluatie te garanderen.

Als u de voorwaarde wilt toevoegen met behulp van de code-editor, kopieert u het volgende codevoorbeeld voor de voorwaarde en plakt u deze in de code-editor. Nadat u de code hebt ingevoerd, gaat u terug naar de visual-editor om deze te valideren.

( 
 ( 
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'}) 
 ) 
 OR  
 ( 
  @Resource[Microsoft.Storage/storageAccounts/blobServices/containers:name] StringEquals 'container1'
  AND 
  @Environment[UtcNow] DateTimeGreaterThan '2023-05-01T13:00:00.000Z' 
 ) 
)

Zie Voorwaarden-indeling voor meer informatie over hoe voorwaarden worden opgemaakt en geëvalueerd.

U kunt deze voorwaarde als volgt toevoegen voor de rol Opslagblobgegevenslezer met behulp van Azure PowerShell.

$subId = "<your subscription id>"
$rgName = "<resource group name>"
$storageAccountName = "<storage account name>"
$roleDefinitionName = "Storage Blob Data Reader"
$userUpn = "<user UPN>"
$userObjectID = (Get-AzADUser -UserPrincipalName $userUpn).Id
$containerName = "container1"
$dateTime = "2023-05-01T13:00:00.000Z"
$scope = "/subscriptions/$subId/resourceGroups/$rgName/providers/Microsoft.Storage/storageAccounts/$storageAccountName"

$condition = `
"( `
 ( `
 !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'}) `
 ) `
 OR ` 
 ( `
  @Resource[Microsoft.Storage/storageAccounts/blobServices/containers:name] StringEquals '$containerName' `
  AND `
  @Environment[UtcNow] DateTimeGreaterThan '$dateTime' `
 ) `
)"

$testRa = Get-AzRoleAssignment -Scope $scope -RoleDefinitionName $roleDefinitionName -ObjectId $userObjectID
$testRa.Condition = $condition
$testRa.ConditionVersion = "2.0"
Set-AzRoleAssignment -InputObject $testRa -PassThru

Voorbeeld: Toegang tot blobs in specifieke containers vanuit een specifiek subnet toestaan

Met deze voorwaarde kunt u alleen lees-, schrijf-, toevoeg- en verwijdertoegang tot blobs in container1 een subnet default in het virtuele netwerk virtualnetwork1toestaan. Als u het subnetkenmerk in dit voorbeeld wilt gebruiken, moet voor het subnet service-eindpunten zijn ingeschakeld voor Azure Storage.

Er zijn vijf mogelijke acties voor lees-, schrijf-, toevoeg- en verwijdertoegang tot bestaande blobs. Als u deze voorwaarde effectief wilt maken voor principals met meerdere roltoewijzingen, moet u deze voorwaarde toevoegen aan alle roltoewijzingen die een van de volgende acties bevatten.

Handeling	Opmerkingen
`Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read`
`Microsoft.Storage/storageAccounts/blobServices/containers/blobs/write`
`Microsoft.Storage/storageAccounts/blobServices/containers/blobs/add/action`
`Microsoft.Storage/storageAccounts/blobServices/containers/blobs/delete`
`Microsoft.Storage/storageAccounts/blobServices/containers/blobs/runAsSuperUser/action`	Voeg toe als de roldefinitie deze actie bevat, zoals eigenaar van opslagblobgegevens.

Actie toevoegen

Selecteer Actie Toevoegen en selecteer vervolgens alleen de acties op het hoogste niveau die worden weergegeven in de volgende tabel.

Handeling	Deeloperatie
Alle leesbewerkingen	n.v.t
Schrijven naar een blob	n.v.t
Een blob of momentopname maken of gegevens toevoegen	n.v.t
Een blob verwijderen	n.v.t

Selecteer geen afzonderlijke subbewerkingen, zoals wordt weergegeven in de volgende afbeelding.

Expressie opbouwen

Gebruik de waarden in de volgende tabel om het expressiegedeelte van de voorwaarde te maken:

Omgeving Waarde

Kenmerkbron Hulpbron

Kenmerk Containernaam

Bediener StringEquals

Waarde container1

Logische operator 'AND'

Kenmerkbron Omgeving

Kenmerk Subnet

Bediener StringEqualsIgnoreCase

Waarde /subscriptions/<your subscription id>/resourceGroups/<resource group name>/providers/Microsoft.Network/virtualNetworks/virtualnetwork1/subnets/default

In de volgende afbeelding ziet u de voorwaarde nadat de instellingen zijn ingevoerd in Azure Portal. U moet expressies groeperen om de juiste evaluatie te garanderen.

(
 (
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'})
  AND
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/write'})
  AND
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/add/action'})
  AND
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/delete'})
 )
 OR
 (
  @Resource[Microsoft.Storage/storageAccounts/blobServices/containers:name]StringEquals 'container1'
  AND
  @Environment[Microsoft.Network/virtualNetworks/subnets] StringEqualsIgnoreCase '/subscriptions/<your subscription id>/resourceGroups/example-group/providers/Microsoft.Network/virtualNetworks/virtualnetwork1/subnets/default'
 )
)

Zie Voorwaarden-indeling voor meer informatie over hoe voorwaarden worden opgemaakt en geëvalueerd.

U kunt deze voorwaarde als volgt toevoegen voor de rol Inzender voor opslagblobgegevens met behulp van Azure PowerShell.

$subId = "<your subscription id>"
$rgName = "<resource group name>"
$storageAccountName = "<storage account name>"
$roleDefinitionName = "Storage Blob Data Contributor"
$userUpn = "<user UPN>"
$userObjectID = (Get-AzADUser -UserPrincipalName $userUpn).Id
$containerName = "container1"
$vnetName = "virtualnetwork1"
$subnetName = "default"
$scope = "/subscriptions/$subId/resourceGroups/$rgName/providers/Microsoft.Storage/storageAccounts/$storageAccountName"

$condition = `
"( `
 ( `
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'}) `
  AND `
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/write'}) `
  AND `
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/add/action'}) `
  AND `
 !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/delete'}) `
 ) `
 OR ` 
 ( `
  @Resource[Microsoft.Storage/storageAccounts/blobServices/containers:name] StringEquals '$containerName' `
  AND `
  @Environment[Microsoft.Network/virtualNetworks/subnets] StringEqualsIgnoreCase '/subscriptions/$subId/resourceGroups/$rgName/providers/Microsoft.Network/virtualNetworks/$vnetName/subnets/$subnetName' `
 ) `
)"

$testRa = Get-AzRoleAssignment -Scope $scope -RoleDefinitionName $roleDefinitionName -ObjectId $userObjectID
$testRa.Condition = $condition
$testRa.ConditionVersion = "2.0"
Set-AzRoleAssignment -InputObject $testRa -PassThru

Voorbeeld: Toegang tot een private link benodigen om blobs met hoge gevoeligheid te lezen

Voor deze voorwaarde moeten aanvragen voor het lezen van blobs worden behandeld waarbij de vertrouwelijkheid van de blob-indextag een waarde heeft van high, en dit moet plaatsvinden via een privékoppeling (een willekeurige privékoppeling). Dit betekent dat alle pogingen om zeer gevoelige blobs van het openbare internet te lezen, niet worden toegestaan. Gebruikers kunnen blobs lezen van het openbare internet waarvoor gevoeligheid is ingesteld op een andere waarde dan high.

Een waarheidstabel voor deze ABAC-voorbeeldvoorwaarde volgt:

Actie	Gevoeligheid	Privékoppeling	Toegang
Een blob lezen	hoog	Ja	Toegestaan
Een blob lezen	hoog	Nee.	Niet toegestaan
Een blob lezen	NIET hoog	Ja	Toegestaan
Een blob lezen	NIET hoog	Nee.	Toegestaan

Handeling Opmerkingen

Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read

Microsoft.Storage/storageAccounts/blobServices/containers/blobs/runAsSuperUser/action Voeg toe als de roldefinitie deze actie bevat, zoals eigenaar van opslagblobgegevens.

Hier volgen de instellingen voor het toevoegen van deze voorwaarde met behulp van de visual condition editor in Azure Portal.

Actie toevoegen

Selecteer Actie Toevoegen en selecteer vervolgens alleen de suboperation Een blob lezen , zoals wordt weergegeven in de volgende tabel.

Handeling	Deeloperatie
Alle leesbewerkingen	Een blob lezen

Selecteer niet de bovenliggende actie Alle leesbewerkingen van om het even welke andere subbewerkingen, zoals weergegeven in de volgende afbeelding:

Expressie opbouwen

Gebruik de waarden in de volgende tabel om het expressiegedeelte van de voorwaarde te maken:

Groep Omgeving Waarde

Groep 1

Kenmerkbron Hulpbron

Kenmerk Blob-indextags [Waarden in sleutel]

Sleutelcode sensitivity

Bediener StringEquals

Waarde high

Logische operator 'EN'

Kenmerkbron Omgeving

Kenmerk Is privékoppeling

Bediener BoolEquals

Waarde True

Einde van groep 1

Logische operator 'OF'

Kenmerkbron Hulpbron

Kenmerk Blob-indextags [Waarden in sleutel]

Sleutelcode sensitivity

Bediener StringNotEquals

Waarde high

In de volgende afbeelding ziet u de voorwaarde nadat de instellingen zijn ingevoerd in Azure Portal. U moet expressies groeperen om de juiste evaluatie te garanderen.

(
 (
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'} AND NOT SubOperationMatches{'Blob.List'})
 )
 OR
 (
  (
   @Resource[Microsoft.Storage/storageAccounts/blobServices/containers/blobs/tags:sensitivity<$key_case_sensitive$>] StringEquals 'high'
   AND
   @Environment[isPrivateLink] BoolEquals true
  )
  OR
  @Resource[Microsoft.Storage/storageAccounts/blobServices/containers/blobs/tags:sensitivity<$key_case_sensitive$>] StringNotEquals 'high'
 )
)

In dit voorbeeld beperkt de voorwaarde de leesactie, behalve wanneer de suboperation is Blob.List. Dit betekent dat een list-blobs-bewerking is toegestaan, maar dat alle andere leesacties verder worden geëvalueerd op basis van de expressie.

Zie Voorwaarden-indeling voor meer informatie over hoe voorwaarden worden opgemaakt en geëvalueerd.

U kunt deze voorwaarde als volgt toevoegen voor de rol Opslagblobgegevenslezer met behulp van Azure PowerShell.

$subId = "<your subscription id>"
$rgName = "<resource group name>"
$storageAccountName = "<storage account name>"
$roleDefinitionName = "Storage Blob Data Reader"
$userUpn = "<user UPN>"
$userObjectID = (Get-AzADUser -UserPrincipalName $userUpn).Id
$scope = "/subscriptions/$subId/resourceGroups/$rgName/providers/Microsoft.Storage/storageAccounts/$storageAccountName"

$condition = `
"( `
 ( `
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'} AND NOT SubOperationMatches{'Blob.List'}) `
 ) `
 OR `
 ( `
  ( `
   @Resource[Microsoft.Storage/storageAccounts/blobServices/containers/blobs/tags:sensitivity<`$key_case_sensitive`$>] StringEquals 'high' `
   AND `
   @Environment[isPrivateLink] BoolEquals true `
  ) `
  OR `
  @Resource[Microsoft.Storage/storageAccounts/blobServices/containers/blobs/tags:sensitivity<`$key_case_sensitive`$>] StringNotEquals 'high' `
 ) `
)"

$testRa = Get-AzRoleAssignment -Scope $scope -RoleDefinitionName $roleDefinitionName -ObjectId $userObjectID
$testRa.Condition = $condition
$testRa.ConditionVersion = "2.0"
Set-AzRoleAssignment -InputObject $testRa -PassThru

Voorbeeld: Alleen toegang tot een container vanaf een specifiek privé-eindpunt toestaan

Deze voorwaarde vereist dat alle lees-, schrijf-, toevoeg- en verwijderbewerkingen voor blobs in een opslagcontainer met de naam container1 worden gemaakt via een privé-eindpunt met de naam privateendpoint1. Voor alle andere containers die geen naam hebben container1, hoeft de toegang niet via het privé-eindpunt te worden uitgevoerd.

Er zijn vijf mogelijke acties voor het lezen, schrijven en verwijderen van bestaande blobs. Als u deze voorwaarde effectief wilt maken voor principals met meerdere roltoewijzingen, moet u deze voorwaarde toevoegen aan alle roltoewijzingen die een van de volgende acties bevatten.

Handeling	Opmerkingen
`Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read`
`Microsoft.Storage/storageAccounts/blobServices/containers/blobs/write`
`Microsoft.Storage/storageAccounts/blobServices/containers/blobs/add/action`
`Microsoft.Storage/storageAccounts/blobServices/containers/blobs/delete`
`Microsoft.Storage/storageAccounts/blobServices/containers/blobs/runAsSuperUser/action`	Voeg toe als de roldefinitie deze actie bevat, zoals eigenaar van opslagblobgegevens. Voeg toe als de opslagaccounts in deze voorwaarde hiërarchische naamruimte hebben ingeschakeld of in de toekomst mogelijk zijn ingeschakeld.

Hier volgen de instellingen voor het toevoegen van deze voorwaarde met behulp van de visual condition editor in Azure Portal.

Actie toevoegen

Selecteer Actie Toevoegen en selecteer vervolgens alleen de acties op het hoogste niveau die worden weergegeven in de volgende tabel.

Handeling	Deeloperatie
Alle leesbewerkingen	n.v.t
Schrijven naar een blob	n.v.t
Een blob of momentopname maken of gegevens toevoegen	n.v.t
Een blob verwijderen	n.v.t

Selecteer geen afzonderlijke subbewerkingen, zoals wordt weergegeven in de volgende afbeelding.

Expressie opbouwen

Gebruik de waarden in de volgende tabel om het expressiegedeelte van de voorwaarde te maken:

Groep Omgeving Waarde

Groep 1

Kenmerkbron Hulpbron

Kenmerk Containernaam

Bediener StringEquals

Waarde container1

Logische operator 'EN'

Kenmerkbron Omgeving

Kenmerk Privé-eindpunt

Bediener StringEqualsIgnoreCase

Waarde /subscriptions/<your subscription id>/resourceGroups/<resource group name>/providers/Microsoft.Network/privateEndpoints/privateendpoint1

Einde van groep 1

Logische operator 'OF'

Kenmerkbron Hulpbron

Kenmerk Containernaam

Bediener StringNotEquals

Waarde container1

In de volgende afbeelding ziet u de voorwaarde nadat de instellingen zijn ingevoerd in Azure Portal. U moet expressies groeperen om de juiste evaluatie te garanderen.

Als u de voorwaarde wilt toevoegen met behulp van de code-editor, kiest u een van de volgende codevoorbeelden voor voorwaarden, afhankelijk van de rol die aan de toewijzing is gekoppeld. Nadat u de code hebt ingevoerd, gaat u terug naar de visual-editor om deze te valideren.

Eigenaar van opslagblobgegevens:

(
 (
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'})
  AND
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/write'})
  AND
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/add/action'})
  AND
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/delete'})
  AND
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/runAsSuperUser/action'})
 )
 OR
 (
  (
   @Resource[Microsoft.Storage/storageAccounts/blobServices/containers:name] StringEquals 'container1'
   AND
   @Environment[Microsoft.Network/privateEndpoints] StringEqualsIgnoreCase '/subscriptions/<your subscription id>/resourceGroups/example-group/providers/Microsoft.Network/privateEndpoints/privateendpoint1'
  )
  OR
  @Resource[Microsoft.Storage/storageAccounts/blobServices/containers:name] StringNotEquals 'container1'
 )
)

Inzender voor opslagblobgegevens:

(
 (
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'})
  AND
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/write'})
  AND
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/add/action'})
  AND
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/delete'})
 )
 OR
 (
  (
   @Resource[Microsoft.Storage/storageAccounts/blobServices/containers:name] StringEquals 'container1'
   AND
   @Environment[Microsoft.Network/privateEndpoints] StringEqualsIgnoreCase '/subscriptions/<your subscription id>/resourceGroups/example-group/providers/Microsoft.Network/privateEndpoints/privateendpoint1'
  )
  OR
  @Resource[Microsoft.Storage/storageAccounts/blobServices/containers:name] StringNotEquals 'container1'
 )
)

Zie Voorwaarden-indeling voor meer informatie over hoe voorwaarden worden opgemaakt en geëvalueerd.

U kunt deze voorwaarde als volgt toevoegen voor de rol Inzender voor opslagblobgegevens met behulp van Azure PowerShell.

$subId = "<your subscription id>"
$rgName = "<resource group name>"
$storageAccountName = "<storage account name>"
$roleDefinitionName = "Storage Blob Data Contributor"
$userUpn = "<user UPN>"
$userObjectID = (Get-AzADUser -UserPrincipalName $userUpn).Id
$containerName = "container1"
$privateEndpointName = "privateendpoint1"
$scope = "/subscriptions/$subId/resourceGroups/$rgName/providers/Microsoft.Storage/storageAccounts/$storageAccountName"

$condition = `
"( `
 ( `
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'}) `
  AND `
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/write'}) `
  AND `
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/add/action'}) `
  AND `
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/delete'}) `
 ) `
 OR `
 ( `
  ( `
   @Resource[Microsoft.Storage/storageAccounts/blobServices/containers:name] StringEquals '$containerName' `
   AND `
   @Environment[Microsoft.Network/privateEndpoints] StringEqualsIgnoreCase '/subscriptions/$subId/resourceGroups/$rgName/providers/Microsoft.Network/privateEndpoints/$privateEndpointName' `
  ) `
  OR `
  @Resource[Microsoft.Storage/storageAccounts/blobServices/containers:name] StringNotEquals '$containerName' `
 ) `
)"

$testRa = Get-AzRoleAssignment -Scope $scope -RoleDefinitionName $roleDefinitionName -ObjectId $userObjectID
$testRa.Condition = $condition
$testRa.ConditionVersion = "2.0"
Set-AzRoleAssignment -InputObject $testRa -PassThru

Voorbeeld: Leestoegang tot zeer gevoelige blobgegevens alleen toestaan vanuit een specifiek privé-eindpunt en door gebruikers die zijn getagd voor toegang

Deze voorwaarde vereist dat blobs met de indextag gevoeligheid die is ingesteld op high alleen kunnen worden gelezen door gebruikers die een overeenkomende waarde hebben voor hun gevoeligheidsbeveiligingskenmerk. Daarnaast moeten ze worden geopend via een privé-eindpunt met de naam privateendpoint1. Blobs met een andere waarde voor de vertrouwelijkheidstag kunnen worden geopend via andere eindpunten of internet.

Handeling Opmerkingen

Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read

Microsoft.Storage/storageAccounts/blobServices/containers/blobs/runAsSuperUser/action Voeg toe als de roldefinitie deze actie bevat, zoals eigenaar van opslagblobgegevens.

Hier volgen de instellingen voor het toevoegen van deze voorwaarde met behulp van de visual condition editor in Azure Portal.

Actie toevoegen

Selecteer Actie Toevoegen en selecteer vervolgens alleen de suboperation Een blob lezen , zoals wordt weergegeven in de volgende tabel.

Handeling	Deeloperatie
Alle leesbewerkingen	Een blob lezen

Selecteer de actie op het hoogste niveau niet, zoals wordt weergegeven in de volgende afbeelding:

Expressie opbouwen

Gebruik de waarden in de volgende tabel om het expressiegedeelte van de voorwaarde te maken:

Groep	Omgeving	Waarde
Groep 1
	Kenmerkbron	Voornaamste
	Kenmerk	<attributenset>_<sleutel>
	Bediener	StringEquals
	Optie	Kenmerk
	Logische operator	'EN'
	Kenmerkbron	Hulpbron
	Kenmerk	Blob-indextags [Waarden in sleutel]
	Sleutelcode	<sleutel>
	Logische operator	'EN'
	Kenmerkbron	Omgeving
	Kenmerk	Privé-eindpunt
	Bediener	StringEqualsIgnoreCase
	Waarde	`/subscriptions/<your subscription id>/resourceGroups/<resource group name>/providers/Microsoft.Network/privateEndpoints/privateendpoint1`
Einde van groep 1
	Logische operator	'OF'
	Kenmerkbron	Hulpbron
	Kenmerk	Blob-indextags [Waarden in sleutel]
	Sleutelcode	`sensitivity`
	Bediener	StringNotEquals
	Waarde	`high`

In de volgende afbeelding ziet u de voorwaarde nadat de instellingen zijn ingevoerd in Azure Portal. U moet expressies groeperen om de juiste evaluatie te garanderen.

(
 (
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'} AND NOT SubOperationMatches{'Blob.List'})
 )
 OR
 (
  (
   @Principal[Microsoft.Directory/CustomSecurityAttributes/Id:sensitivity] StringEqualsIgnoreCase @Resource[Microsoft.Storage/storageAccounts/blobServices/containers/blobs/tags:sensitivity<$key_case_sensitive$>]
   AND
   @Environment[Microsoft.Network/privateEndpoints] StringEqualsIgnoreCase '/subscriptions/<your subscription id>/resourceGroups/example-group/providers/Microsoft.Network/privateEndpoints/privateendpoint1'
  )
  OR
  @Resource[Microsoft.Storage/storageAccounts/blobServices/containers/blobs/tags:sensitivity<$key_case_sensitive$>] StringNotEquals 'high'
 )
)

Zie Voorwaarden-indeling voor meer informatie over hoe voorwaarden worden opgemaakt en geëvalueerd.

U kunt deze voorwaarde als volgt toevoegen voor de rol Opslagblobgegevenslezer met behulp van Azure PowerShell.

$subId = "<your subscription id>"
$rgName = "<resource group name>"
$storageAccountName = "<storage account name>"
$roleDefinitionName = "Storage Blob Data Reader"
$userUpn = "<user UPN>"
$userObjectID = (Get-AzADUser -UserPrincipalName $userUpn).Id
$privateEndpointName = "privateendpoint1"
$scope = "/subscriptions/$subId/resourceGroups/$rgName/providers/Microsoft.Storage/storageAccounts/$storageAccountName"

$condition = `
"( `
 ( `
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'} AND NOT SubOperationMatches{'Blob.List'}) `
 ) `
 OR `
 ( `
  ( `
   @Principal[Microsoft.Directory/CustomSecurityAttributes/Id:sensitivity] StringEqualsIgnoreCase @Resource[Microsoft.Storage/storageAccounts/blobServices/containers/blobs/tags:sensitivity<`$key_case_sensitive`$>] `
   AND `
   @Environment[Microsoft.Network/privateEndpoints] StringEqualsIgnoreCase '/subscriptions/$subid/resourceGroups/$rgname/providers/Microsoft.Network/privateEndpoints/$privateEndpointName' `
  ) `
  OR `
  @Resource[Microsoft.Storage/storageAccounts/blobServices/containers/blobs/tags:sensitivity<`$key_case_sensitive`$>] StringNotEquals 'high' `
 ) `
)"

$testRa = Get-AzRoleAssignment -Scope $scope -RoleDefinitionName $roleDefinitionName -ObjectId $userObjectID
$testRa.Condition = $condition
$testRa.ConditionVersion = "2.0"
Set-AzRoleAssignment -InputObject $testRa -PassThru

Delen via

Voorbeeld van Voorwaarden voor Azure-roltoewijzing voor Blob Storage

Vereiste voorwaarden

Overzicht van voorbeelden in dit artikel

Blob-indextags

Voorbeeld: Blobs lezen met een blob-index-tag

Voorbeeld: Nieuwe blobs moeten een blobindextag bevatten

Voorbeeld: bestaande blobs moeten blob-indextagsleutels hebben

Voorbeeld: Bestaande blobs moeten een sleutel en waarden voor de blob-index tag hebben.

Namen of paden van blobcontainers

Voorbeeld: Blobs lezen, schrijven of verwijderen in benoemde containers

Voorbeeld: Blobs lezen in benoemde containers met een pad

Voorbeeld: Blobs lezen of vermelden in benoemde containers met een pad

Voorbeeld: Blobs schrijven in benoemde containers met een pad

Voorbeeld: Blobs lezen met een blobindex-tag en een pad

Metagegevens van blobcontainer

Voorbeeld: Blobs lezen in container met specifieke metagegevens

Voorbeeld: Blobs schrijven of verwijderen in een container met specifieke metagegevens

Blobversies of blobmomentopnamen

Voorbeeld: Alleen de huidige blobversies lezen

Voorbeeld: huidige blobversies en een specifieke blobversie lezen

Voorbeeld: Oude blobversies verwijderen

Voorbeeld: huidige blobversies en eventuele blobmomentopnamen lezen

Voorbeeld: Lijstblobbewerking toestaan om blobmetagegevens, momentopnamen of versies op te nemen

Voorbeeld: Lijstblobbewerking beperken tot het niet opnemen van blobmetagegevens

Hiërarchische naamruimte

Voorbeeld: Alleen-lezen opslagaccounts waarvoor hiërarchische naamruimte is ingeschakeld

Versleutelingsbereik

Voorbeeld: Blobs lezen met specifieke versleutelingsbereiken

Voorbeeld: Blobs lezen of schrijven in benoemd opslagaccount met een specifiek versleutelingsbereik

Principal-kenmerken

Voorbeeld: Blobs lezen of schrijven op basis van blob-indextags en aangepaste beveiligingskenmerken

Voorbeeld: Blobs lezen op basis van blobindextags en aangepaste beveiligingskenmerken met meerdere waarden

Omgevingskenmerken

Voorbeeld: Leestoegang tot blobs toestaan na een specifieke datum en tijd

Actie toevoegen

Expressie opbouwen

Voorbeeld: Toegang tot blobs in specifieke containers vanuit een specifiek subnet toestaan

Actie toevoegen

Expressie opbouwen

Voorbeeld: Toegang tot een private link benodigen om blobs met hoge gevoeligheid te lezen

Actie toevoegen

Expressie opbouwen

Voorbeeld: Alleen toegang tot een container vanaf een specifiek privé-eindpunt toestaan

Actie toevoegen

Expressie opbouwen

Voorbeeld: Leestoegang tot zeer gevoelige blobgegevens alleen toestaan vanuit een specifiek privé-eindpunt en door gebruikers die zijn getagd voor toegang

Actie toevoegen

Expressie opbouwen

Volgende stappen

Feedback

Aanvullende resources