Configurare l'accesso in lettura anonimo per contenitori e BLOB

L'archiviazione di Azure supporta l'accesso in lettura anonimo opzionale per i contenitori e i BLOB. Per impostazione predefinita, l'accesso anonimo ai dati non è mai consentito. A meno che non si abiliti in modo esplicito l'accesso anonimo, tutte le richieste a un contenitore e i relativi BLOB devono essere autorizzati. Quando si configura l'impostazione del livello di accesso di un contenitore per consentire l'accesso anonimo, i client possono leggere i dati in tale contenitore senza autorizzare la richiesta.

Questo articolo descrive come configurare l'accesso in lettura anonimo per un contenitore e i relativi BLOB. Per informazioni su come remediare l'accesso anonimo per una sicurezza ottimale, vedi Remediare accesso di lettura anonimo ai dati dei blob.

Informazioni su accesso in lettura anonimo

L'accesso anonimo ai dati è sempre vietato per impostazione predefinita. Due impostazioni influenzano l'accesso anonimo:

• Impostazione di accesso anonimo per l'account di archiviazione. Un account di archiviazione di Azure Resource Manager offre un'impostazione per consentire o impedire l'accesso anonimo per l'account. Microsoft consiglia di non consentire l'accesso anonimo per gli account di archiviazione per una sicurezza ottimale.

  Quando l'accesso anonimo è consentito a livello di account, i dati BLOB non sono disponibili per l'accesso in lettura anonimo, a meno che l'utente non esegua il passaggio aggiuntivo per configurare in modo esplicito l'impostazione di accesso anonimo del contenitore.

• Configurare l'impostazione di accesso anonimo del contenitore. Per impostazione predefinita, l'impostazione di accesso anonimo di un contenitore è disabilitata, ossia è necessaria l'autorizzazione per ogni richiesta al contenitore o ai relativi dati. Un utente con le autorizzazioni appropriate può modificare l'impostazione di accesso anonimo di un contenitore per abilitare l'accesso anonimo solo se questo è consentito per l'account di archiviazione.

Nella tabella seguente viene riepilogato il modo in cui le due impostazioni influiscono sull'accesso anonimo per un contenitore.

Quando l'accesso anonimo è consentito per un account di archiviazione e configurato per un container specifico, il servizio accetta una richiesta per leggere un blob in quel container che viene passato senzaAuthorization header, e restituisce i dati del blob nella risposta. Tuttavia, se la richiesta viene passata con un'intestazione Authorization di testa, il servizio ignora l'accesso anonimo all'account di archiviazione e autorizza la richiesta in base alle credenziali fornite.

Consentire o impedire l'accesso in lettura anonimo per un account di archiviazione

Quando si consente l'accesso anonimo a un account di archiviazione, un utente con i permessi appropriati può modificare l'impostazione di accesso anonimo di un container per abilitare l'accesso anonimo ai dati presenti in quel container. I dati blob non sono mai disponibili per l'accesso anonimo a meno che l'utente non faccia un passo extra configurando esplicitamente l'impostazione di accesso anonimo del container.

L'accesso anonimo a un container è sempre disattivato di default e deve essere esplicitamente configurato per consentire richieste anonime. Indipendentemente dall'impostazione sull'account di archiviazione, i tuoi dati non sono mai accessibili in modo anonimo a meno che un utente con i permessi appropriati non adotti questo passo aggiuntivo per abilitare l'accesso anonimo sul container.

Il divieto di accesso anonimo per l'account di archiviazione sostituisce le impostazioni di accesso per tutti i contenitori in tale account di archiviazione, impedendo l'accesso anonimo ai dati BLOB in tale account. Quando si nega l'accesso anonimo all'account, non si può configurare l'impostazione di accesso di un container per permettere l'accesso anonimo, e eventuali richieste anonime future a quell'account falliscono. Prima di modificare questa impostazione, assicurati di comprendere l'impatto sulle applicazioni client che potrebbero accedere anonimamente ai dati del tuo account di archiviazione. Per ulteriori informazioni, vedere Impedire l'accesso anonimo di lettura a contenitori e blob.

Per consentire o impedire l'accesso anonimo è necessaria la versione 2019-04-01 o successiva del provider di risorse di Archiviazione di Azure. Per altre informazioni, vedere API REST del provider di risorse di Archiviazione di Azure.

Autorizzazioni per impedire l'accesso anonimo

Per impostare la proprietà AllowBlobPublicAccess per l'account di archiviazione, hai bisogno di permessi per creare e gestire gli account di archiviazione. I ruoli di controllo degli accessi in base al ruolo di Azure che forniscono queste autorizzazioni includono l'azione Microsoft.Storage/storageAccounts/write. I ruoli predefiniti con questa azione includono:

• Il ruolo Owner di Azure Resource Manager
• Il ruolo Collaboratore di Azure Resource Manager
• Il ruolo Collaboratore dell'account di archiviazione

Le assegnazioni di ruolo devono avere come ambito minimo il livello dell'account di archiviazione per consentire a un utente di disabilitare l'accesso anonimo per l'account di archiviazione. Per altre informazioni sull'ambito di un ruolo, vedere Comprendere l'ambito di Azure RBAC.

Limitare l'assegnazione di questi ruoli solo agli utenti amministrativi che richiedono la possibilità di creare un account di archiviazione o aggiornarne le proprietà. Utilizzare il principio del privilegio minimo per garantire che gli utenti abbiano il minor numero di permessi necessari per svolgere i loro compiti. Per altre informazioni su come gestire l'accesso con Azure RBAC, vedi Procedure consigliate per Azure RBAC.

Questi ruoli non forniscono l'accesso ai dati in un account di archiviazione tramite Microsoft Entra ID. Tuttavia, includono Microsoft.Storage/storageAccounts/listkeys/action, che concede l'accesso alle chiavi di accesso dell'account. Utilizzando questo permesso, un utente può utilizzare le chiavi di accesso dell'account per accedere a tutti i dati di un account di archiviazione.

La Microsoft. Storage/storageAccounts/listkeys/action concede l'accesso ai dati tramite le chiavi dell'account, ma non concede all'utente la possibilità di modificare la proprietà AllowBlobPublicAccess per un account di storage. Per gli utenti che devono accedere ai dati nell'account di archiviazione, ma non devono avere la possibilità di modificare la configurazione dell'account, valutare la possibilità di assegnare ruoli come Collaboratore ai dati dei BLOB di archiviazione, Lettore dati dei BLOB di archiviazioneo Lettore e accesso ai dati.

Impostare la proprietà AllowBlobPublicAccess dell'account di archiviazione

Per consentire o impedire l'accesso anonimo per un account di archiviazione, impostare la proprietà AllowBlobPublicAccess dell'account. Questa proprietà è disponibile per tutti gli account di archiviazione che crei con il modello di distribuzione di Azure Resource Manager. Per altre informazioni, vedere Panoramica dell'account di archiviazione.

$rgName = "<resource-group>"
$accountName = "<storage-account>"
$location = "<location>"

# Create a storage account with AllowBlobPublicAccess explicitly set to false.
New-AzStorageAccount -ResourceGroupName $rgName `
    -Name $accountName `
    -Location $location `
    -SkuName Standard_GRS `
    -AllowBlobPublicAccess $false

# Read the AllowBlobPublicAccess property for the newly created storage account.
(Get-AzStorageAccount -ResourceGroupName $rgName -Name $accountName).AllowBlobPublicAccess

az storage account create \
    --name <storage-account> \
    --resource-group <resource-group> \
    --kind StorageV2 \
    --location <location> \
    --allow-blob-public-access false

az storage account show \
    --name <storage-account> \
    --resource-group <resource-group> \
    --query allowBlobPublicAccess \
    --output tsv

Quando un contenitore è configurato per l'accesso anonimo, le richieste di lettura dei BLOB in tale contenitore non devono essere autorizzate. Tuttavia, tutte le regole firewall che configuri per l'account di archiviazione rimangono valide e bloccano il traffico in linea con le ACL configurate.

I seguenti esempi mostrano come leggere la proprietà AllowBlobPublicAccess per l'account di archiviazione per determinare se l'accesso anonimo è attualmente consentito o non consentito. Per informazioni su come verificare che l'impostazione di accesso anonimo di un account sia configurata per impedire l'accesso anonimo, vedere Correggere l'accesso anonimo per l'account di archiviazione.

Impostare il livello di accesso anonimo per un contenitore

Per concedere agli utenti anonimi l'accesso in lettura a un contenitore e ai relativi BLOB, prima di tutto consentire l'accesso anonimo per l'account di archiviazione, quindi impostare il livello di accesso anonimo del contenitore. Prima di iniziare, assicurati che l'accesso anonimo sia consentito a livello account (tramite la proprietà AllowBlobPublicAccess ) e che tu abbia il permesso di scrittura sul container. Se l'accesso anonimo viene negato per l'account di archiviazione, non puoi configurare l'accesso anonimo per un container.

Quando permetti l'accesso anonimo a un account di storage, puoi configurare un container con i seguenti permessi:

• Nessun accesso pubblico per letture (portale: Privato; PowerShell: Spento): Il container e i suoi blob possono essere accessibili solo con una richiesta autorizzata. Questa opzione è l'impostazione predefinita per tutti i nuovi contenitori.
• Accesso pubblico di lettura solo per i blob (portal e PowerShell: Blob): I blob all'interno del container possono essere letti su richiesta anonima, ma i dati del container non sono disponibili in modo anonimo. I client anonimi non possono enumerare i BLOB all'interno del contenitore.
• Accesso pubblico per la lettura del container e dei suoi blob (portal e PowerShell: Container): I dati di container e blob possono essere letti tramite richiesta anonima, eccetto le impostazioni dei permessi del container e i metadati del container. I client possono enumerare blob all'interno del container tramite richiesta anonima, ma non possono elencare container all'interno dell'account di storage.

Non è possibile modificare il livello di accesso anonimo per un singolo BLOB. Imposta il livello di accesso anonimo solo a livello container. È possibile impostare il livello di accesso anonimo del contenitore quando si crea il contenitore oppure è possibile aggiornare l'impostazione in un contenitore esistente.

# Set variables.
$rgName = "<resource-group>"
$accountName = "<storage-account>"
# Get context object.
$storageAccount = Get-AzStorageAccount -ResourceGroupName $rgName -Name $accountName
$ctx = $storageAccount.Context
# Create a new container with anonymous access setting set to Off.
$containerName = "<container>"
New-AzStorageContainer -Name $containerName -Permission Off -Context $ctx
# Read the container's anonymous access setting.
Get-AzStorageContainerAcl -Container $containerName -Context $ctx
# Update the container's anonymous access setting to Container.
Set-AzStorageContainerAcl -Container $containerName -Permission Container -Context $ctx
# Read the container's anonymous access setting.
Get-AzStorageContainerAcl -Container $containerName -Context $ctx

az storage container create \
    --name <container-name> \
    --account-name <account-name> \
    --resource-group <resource-group> \
    --public-access off \
    --account-key <account-key> \
    --auth-mode key
az storage container show-permission \
    --name <container-name> \
    --account-name <account-name> \
    --account-key <account-key> \
    --auth-mode key
az storage container set-permission \
    --name <container-name> \
    --account-name <account-name> \
    --public-access container \
    --account-key <account-key> \
    --auth-mode key
az storage container show-permission \
    --name <container-name> \
    --account-name <account-name> \
    --account-key <account-key> \
    --auth-mode key

Controllare l'impostazione di accesso anonimo per un set di contenitori

Puoi verificare quali container in uno o più account di archiviazione sono configurati per l'accesso anonimo elencando i container e selezionando l'impostazione di accesso anonimo. Questo approccio è un'opzione pratica quando un account di archiviazione non contiene un numero elevato di contenitori o quando si controlla l'impostazione in un numero ridotto di account di archiviazione. Tuttavia, le prestazioni potrebbero risentirne se si tenta di enumerare un numero elevato di contenitori.

L'esempio seguente usa PowerShell per ottenere l'impostazione di accesso anonimo per tutti i contenitori in un account di archiviazione. Ricordare di sostituire i valori segnaposto tra parentesi con i valori personalizzati:

$rgName = "<resource-group>"
$accountName = "<storage-account>"
$storageAccount = Get-AzStorageAccount -ResourceGroupName $rgName -Name $accountName
$ctx = $storageAccount.Context
Get-AzStorageContainer -Context $ctx | Select Name, PublicAccess

Supporto delle funzionalità

Il supporto di questa funzionalità potrebbe essere influenzato dall'abilitazione dei protocolli Data Lake Storage Gen2, NFS (Network File System) 3.0 o SFTP (SSH File Transfer Protocol). Se è stata abilitata una di queste funzionalità, vedere Supporto delle funzionalità di Archiviazione del BLOB negli account di Archiviazione di Azure per valutare il supporto per questa funzionalità.

Passaggi successivi

• Impedire l'accesso in lettura anonimo ai contenitori e ai blob
• Accedere in modo anonimo a contenitori e BLOB pubblici con .NET
• Autorizzare l'accesso ad Archiviazione di Azure