Herstellen einer Verbindung mit Azure Blob Storage mithilfe des SSH-Dateiübertragungsprotokolls (SFTP)

Dieser Artikel zeigt, wie Sie mithilfe eines SFTP-Clients eine sichere Verbindung mit dem Blob Storage-Endpunkt eines Azure Storage-Kontos herstellen. Nachdem Sie eine Verbindung hergestellt haben, können Sie Dateien hoch- und herunterladen sowie Zugriffssteuerungslisten (Access Control Lists, ACLs) in Dateien und Ordnern ändern.

Weitere Informationen zur SFTP-Unterstützung für Azure Blob Storage finden Sie unter SSH File Transfer Protocol (SFTP) in Azure Blob Storage.

Voraussetzungen

Verbinden eines SFTP-Clients

Sie können einen beliebigen SFTP-Client verwenden, um eine sichere Verbindung herzustellen und dann Dateien zu übertragen. Das folgende Beispiel zeigt eine Windows PowerShell-Sitzung, die Open SSH verwendet.

PS C:\Users\temp> sftp contoso4.contosouser@contoso4.blob.core.windows.net

Der SFTP-Benutzername lautet storage_account_name.username. Im vorherigen Beispiel ist das storage_account_name "contoso4" und das username "contosouser". Der kombinierte Benutzername wird zu "contoso4.contosouser". Der Blobdienstendpunkt ist „contoso4.blob.core.windows.net“.

Um die Verbindung abzuschließen, müssen Sie möglicherweise auf eine oder mehrere Eingabeaufforderungen reagieren. Wenn du zum Beispiel den lokalen Benutzer mit Passwort-Authentifizierung konfiguriert hast, wirst du aufgefordert, dieses Passwort einzugeben. Möglicherweise werden Sie auch aufgefordert, einem Hostschlüssel zu vertrauen. Gültige Hostschlüssel werden hier veröffentlicht.

Hinweis

SFTP arbeitet über dem Blob Storage-Endpunkt (blob.core.windows.net) und nicht über dem Data Lake Storage-Endpunkt (dfs.core.windows.net). Daher werden Data Lake Storage-Endpunkte wie contoso4.contosouser@contoso4.dfs.core.windows.net z. B. nicht unterstützt.

Herstellen einer Verbindung mithilfe einer benutzerdefinierten Domäne

Um sich mit dem Blob-Service-Endpunkt über eine benutzerdefinierte Domäne zu verbinden, verwendet man die Verbindungszeichenfolge myaccount.myuser@customdomain.com. Wenn du das Home-Verzeichnis des Benutzers nicht angibst, verwende die Verbindungszeichenfolge myaccount.mycontainer.myuser@customdomain.com.

Wichtig

Stellen Sie sicher, dass Ihr DNS-Anbieter keine Proxy-Anfragen durchführt, da diese Maßnahme dazu führen könnte, dass der Verbindungsversuch abläuft.

Informationen zum Zuordnen einer benutzerdefinierten Domäne zu einem Blobdienstendpunkt finden Sie unter Zuordnen einer benutzerdefinierten Domäne zu einem Azure Blob Storage-Endpunkt.

Herstellen einer Verbindung über einen privaten Endpunkt

Um sich über einen privaten Endpunkt mit dem Blob-Service-Endpunkt zu verbinden, verwendet man die Verbindungszeichenfolge myaccount.myuser@myaccount.privatelink.blob.core.windows.net. Wenn du das Home-Verzeichnis für den Benutzer nicht angibst, benutze myaccount.mycontainer.myuser@myaccount.privatelink.blob.core.windows.net.

Hinweis

Stellen Sie sicher, dass Sie die Netzwerkkonfiguration auf "Aktiviert" aus ausgewählten virtuellen Netzwerken und IP-Adressen ändern, und wählen Sie dann Ihren privaten Endpunkt aus. Andernfalls bleibt der Blob-Service-Endpunkt öffentlich zugänglich.

Stellen Sie die Verbindung über Internetrouting her

Um sich über Internet-Routing mit dem Blob-Service-Endpunkt zu verbinden, verwenden Sie die Verbindungszeichenfolge myaccount.myuser@myaccount-internetrouting.blob.core.windows.net. Wenn du das Home-Verzeichnis für den Benutzer nicht angibst, benutze myaccount.mycontainer.myuser@myaccount-internetrouting.blob.core.windows.net.

Übertragen von Daten

Nachdem Sie eine Verbindung hergestellt haben, können Sie Dateien hochladen und herunterladen. Das folgende Beispiel lädt eine Datei mit dem Namen logfile.txt mithilfe einer aktiven Open SSH-Sitzung hoch.

sftp> put logfile.txt
Uploading logfile.txt to /mydirectory/logfile.txt
logfile.txt
        100%    19    0.2kb/S    00.00

Nach Abschluss der Übertragung können Sie die Datei im Azure-Portal anzeigen und verwalten.

Screenshot der hochgeladenen Datei, die im Speicherkonto angezeigt wird.

Hinweis

Der Azure-Portal verwendet die Blob-REST-API und die Data Lake Storage-REST-API. Die Interaktion mit einer hochgeladenen Datei im Azure-Portal veranschaulicht die Interoperabilität zwischen SFTP und REST.

Anleitungen zum Verbinden und Übertragen von Dateien finden Sie in der Dokumentation Ihres SFTP-Clients.

Upload fortsetzen

Das reaktivierbare Uploadfeature für Azure Blob Storage SFTP ist jetzt allgemein verfügbar. Diese Funktion ermöglicht es Ihnen, Dateihochladungen am Ausfallpunkt im Falle eines teilweisen Übertragungsfehlers fortzusetzen, wodurch Zeit gespart und die Netzwerkbandbreite reduziert wird. Die folgenden SFTP-Übertragungsmodi werden von Azure Blob Storage SFTP unterstützt:

  • Schreiben: Mit diesem Modus kann der Client einen Upload fortsetzen, indem daten zu einer vorhandenen Datei von einem bestimmten Punkt aus hinzugefügt werden, ohne eine neue Datei zu erstellen.
  • Write + Create: Dieser Modus ermöglicht es dem Client, einen Upload fortzusetzen, indem er entweder zu einer vorhandenen Datei hinzufügt oder eine neue datei erstellt, wenn er nicht vorhanden ist und Flexibilität bietet, wenn die Datei möglicherweise nicht anfänglich vorhanden ist.
  • Append: Dieser Modus fügt am Ende einer vorhandenen Datei Daten hinzu, ohne den aktuellen Inhalt zu überschreiben. Früher unterstützte diese Funktion nur den Append-Modus während der Vorschau, was die Wiederaufnahme des Uploads bei SFTP-Clients ohne Append-Modus einschränkte. Mit der allgemeinen Verfügbarkeit unterstützt Azure Blob Storage SFTP nun Schreib- und Schreib- + Erstellungsmodi, was Nutzern zugutekommt, die SFTP-Clients ohne Anhängungsmodus verwenden.

Hinweis

Der reaktivierbare Upload wird nur für Blobs unterstützt, die mit dem SFTP-Protokoll erstellt wurden. Sie können keinen Upload für vorhandene Blobs fortsetzen, die mit einem anderen Protokoll als SFTP wie REST erstellt wurden.

Ändern der ACL einer Datei oder eines Verzeichnisses

Sie können die Berechtigungsstufe des besitzenden Benutzers, der besitzenden Gruppe und aller anderen Benutzer einer ACL mithilfe eines SFTP-Clients ändern. Sie können auch den zuständigen Benutzer und die zuständige Gruppe ändern. Weitere Informationen zum ACL-Support für SFTP-Clients finden Sie unter ACLs.

Hinweis

Besitzer können jetzt auch die Besitzergruppe und die Berechtigungen eines Blobs oder Verzeichnisses ohne Containerberechtigungen ändern. Diese Funktionsverbesserung wurde während der allgemeinen Verfügbarkeitsphase der ACLs für lokale Nutzer hinzugefügt. Für jeden Benutzer, der nicht der Eigentümer ist, sind weiterhin Containerberechtigungen erforderlich.

Berechtigungen ändern

Um die Berechtigungsstufe des besitzenden Benutzers, der besitzenden Gruppe oder aller anderen Benutzer einer ACL zu ändern, muss der lokale Benutzer über die Berechtigung Modify Permission verfügen. Siehe Erteilen von Berechtigungen für Container.

Das folgende Beispiel gibt die ACL eines Verzeichnisses in der Konsole aus. Anschließend wird der Befehl chmod verwendet, um die ACL auf 777 festzulegen. Jede 7 ist die numerische Form von rwx (Lesen, Schreiben und Ausführen). 777 erteilt also Lese-, Schreib- und Ausführungsberechtigungen für den besitzenden Benutzer, die besitzende Gruppe und alle anderen Benutzer. Dieses Beispiel gibt dann die aktualisierte ACL in der Konsole aus. Weitere Informationen zu numerischen und kurzen Formen einer ACL finden Sie unter Kurzformen für Berechtigungen.

sftp> ls -l
drwxr-x---     1234     5678                0 Mon, 08 Jan 2024 16:53:25 GMT dir1
drwxr-x---        0        0                0 Mon, 16 Oct 2023 12:18:08 GMT dir2
sftp> chmod 777 dir1
Changing mode on /dir1
sftp> ls -l
drwxrwxrwx     1234     5678                0 Mon, 08 Jan 2024 16:54:06 GMT dir1
drwxr-x---        0        0                0 Mon, 16 Oct 2023 12:18:08 GMT dir2

Hinweis

Das Hinzufügen oder Ändern von ACL-Einträgen für benannte Benutzer, benannte Gruppen und benannte Sicherheitsprinzipalen wird noch nicht unterstützt.

Zugewiesenen Benutzer ändern

Um den besitzenden Benutzer eines Verzeichnisses oder Blobs zu ändern, muss der lokale Benutzer über die Berechtigung Modify Ownership verfügen. Siehe Erteilen von Berechtigungen für Container.

Das folgende Beispiel gibt die ACL eines Verzeichnisses in der Konsole aus. Die ID des zugehörigen Benutzers ist 0. Dieses Beispiel verwendet den chown-Befehl, um die ID des zugehörigen Benutzers auf 1234 festzulegen, und gibt die Änderung in der Konsole aus.

sftp> ls -l
drwxr-x---        0        0                0 Mon, 08 Jan 2024 16:00:12 GMT dir1
drwxr-x---        0        0                0 Mon, 16 Oct 2023 12:18:08 GMT dir2
sftp> chown 1234 dir1
Changing owner on /dir1
sftp> ls -l
drwxr-x---     1234        0                0 Mon, 08 Jan 2024 16:52:52 GMT dir1
drwxr-x---        0        0                0 Mon, 16 Oct 2023 12:18:08 GMT dir2
sftp>

Besitzende Gruppe ändern

Um die besitzende Gruppe eines Verzeichnisses oder Blobs zu ändern, muss der lokale Benutzer über die Berechtigung Modify Ownership verfügen. Siehe Erteilen von Berechtigungen für Container.

Das folgende Beispiel gibt die ACL eines Verzeichnisses in der Konsole aus. Die ID der zugehörigen Gruppe lautet 0. Dieses Beispiel verwendet den chgrp-Befehl, um die ID der besitzenden Gruppe auf 5678 festzulegen, und gibt die Änderung auf der Konsole aus.

sftp> ls -l
drwxr-x---     1234        0                0 Mon, 08 Jan 2024 16:52:52 GMT dir1
drwxr-x---        0        0                0 Mon, 16 Oct 2023 12:18:08 GMT dir2
sftp> chgrp 5678 dir1
Changing group on /dir1
sftp> ls -l
drwxr-x---     1234     5678                0 Mon, 08 Jan 2024 16:53:25 GMT dir1
drwxr-x---        0        0                0 Mon, 16 Oct 2023 12:18:08 GMT dir2

Zugehöriger Inhalt

  • Zuletzt aktualisiert um