Nota
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare ad accedere o modificare le directory.
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare a modificare le directory.
Questo articolo descrive i ruoli predefiniti di Azure con privilegi minimi o le azioni di controllo degli accessi in base al ruolo necessarie per gestire un'assegnazione di attività di archiviazione.
Autorizzazione per gestire le assegnazioni di attività di archiviazione
Per creare un'assegnazione di compito e fermare le esecuzioni in corso, la tua identità deve essere assegnata o al Contributore di Assegnazione dei Compiti delle Azioni di Storage come ruolo integrato oppure a un ruolo personalizzato che contenga le seguenti azioni RBAC:
- Microsoft.Authorization/roleAssignments/write
- Microsoft.Authorization/roleAssignments/delete
- Microsoft.Storage/storageAccounts/reports/read
- Microsoft.Storage/storageAccounts/read
- Microsoft.Storage/storageAccounts/blobServices/read
- Microsoft.Storage/storageAccounts/storageTaskAssignments/read
- Microsoft.Storage/storageAccounts/storageTaskAssignments/write
- Microsoft.Storage/storageAccounts/storageTaskAssignments/delete
- Microsoft.Storage/storageAccounts/storageTaskAssignments/reports/read
Per informazioni su come creare un ruolo personalizzato, vedere Ruoli personalizzati di Azure.
Permessi per un compito di eseguire operazioni
Quando crei un'assegnazione, scegli un ruolo integrato o personalizzato in Azure che abbia il permesso necessario per eseguire le operazioni specificate sull'account di storage target o sul container dell'account storage. Assegna quel ruolo all'identità gestita del compito di storage. È possibile scegliere solo i ruoli assegnati all'identità utente.
Il ruolo integrato raccomandato è Storage Actions Blob Data Operator. Questo ruolo è progettato appositamente per le condizioni e operazioni comuni di gestione dei dati che le Azioni di Archiviazione svolgono. Concede il set minimo di permessi sul piano dati necessari per accedere alle proprietà dei blob ed eseguire operazioni supportate dalle Azioni di Archiviazione, inclusi l'impostazione dei tag dell'indice dei blob, la scadenza, le politiche di immutabilità o la detenzione legale, la modifica dei livelli dei blob e la cancellazione e eliminazione dei blob.
Il ruolo Storage Actions Blob Data Operator concede i seguenti permessi:
| Autorizzazione | Type | Azione controllo degli accessi in base al ruolo |
|---|---|---|
Elenca contenitori; Leggere e creare contenitori (necessari per operazioni come SetBlobImmutabilityPolicy e SetBlobLegalHold) |
Action |
Microsoft.Storage/storageAccounts/blobServices/containers/read, Microsoft.Storage/storageAccounts/blobServices/containers/write |
| Leggi contenuti e proprietà del blob | Azione sui dati | Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read |
| Modifica i blob (tier, scadenza, proprietà) | Azione sui dati | Microsoft.Storage/storageAccounts/blobServices/containers/blobs/write |
| Eliminare i blob | Azione sui dati | Microsoft.Storage/storageAccounts/blobServices/containers/blobs/delete |
| Aggiungi (crea) nuovi blob | Azione sui dati | Microsoft.Storage/storageAccounts/blobServices/containers/blobs/add/action |
| Lettura e scrittura dei tag blob index | Azione sui dati |
Microsoft.Storage/storageAccounts/blobServices/containers/blobs/tags/read, Microsoft.Storage/storageAccounts/blobServices/containers/blobs/tags/write |
| Eseguire operazioni con blob privilegiati (come undelete) | Azione sui dati | Microsoft.Storage/storageAccounts/blobServices/containers/blobs/runAsSuperUser/action |
| Imposta politiche di immutabilità e clausole legali | Azione sui dati | Microsoft.Storage/storageAccounts/blobServices/containers/blobs/immutableStorage/runAsSuperUser/action |
Tip
Storage Actions Blob Data Operator è il ruolo raccomandato per l'identità gestita del compito di storage. Il ruolo di Storage Blob Data Owner copre anche tutte le operazioni eseguite dalle Azioni di Archiviazione ed è ancora supportato, ma concede permessi più ampi di quelli richiesto dalle Azioni di Archiviazione. Preferisci Storage Actions Blob Data Operator per nuove assegnazioni.
Se preferisci utilizzare un ruolo personalizzato per l'identità gestita del compito di storage, assicurati che il tuo ruolo contenga le azioni RBAC necessarie per eseguire le operazioni definite nel compito. La tabella seguente mappa ogni operazione di Azioni di Storage alle azioni RBAC che un ruolo personalizzato deve includere.
Note
Per la maggior parte dei clienti, il ruolo integrato di Storage Actions Blob Data Operator descritto in precedenza è il percorso più semplice ed è preferito. La tabella per operazione qui sotto è pensata per le organizzazioni che devono comporre un ruolo personalizzato più compatto rispetto a quello fornito dal ruolo integrato.
| Autorizzazione | Azioni controllo degli accessi in base al ruolo per un ruolo personalizzato |
|---|---|
| SetBlobTier | Microsoft. Storage/storageAccounts/blobServices/containers/blobs/readMicrosoft.Storage/storageAccounts/blobServices/containers/blobs/writeMicrosoft.Storage/storageAccounts/blobServices/containers/blobs/tags/readMicrosoft.Storage/storageAccounts/blobServices/containers/blobs/tags/write |
| SetBlobExpiry | Microsoft. Storage/storageAccounts/blobServices/containers/blobs/readMicrosoft.Storage/storageAccounts/blobServices/containers/blobs/writeMicrosoft.Storage/storageAccounts/blobServices/containers/blobs/tags/readMicrosoft.Storage/storageAccounts/blobServices/containers/blobs/tags/write |
| SetBlobTags | Microsoft. Storage/storageAccounts/blobServices/containers/blobs/readMicrosoft.Storage/storageAccounts/blobServices/containers/blobs/writeMicrosoft.Storage/storageAccounts/blobServices/containers/blobs/tags/readMicrosoft.Storage/storageAccounts/blobServices/containers/blobs/tags/write |
| SetBlobImmutabilityPolicy | Microsoft. Storage/storageAccounts/blobServices/containers/blobs/readMicrosoft.Storage/storageAccounts/blobServices/containers/blobs/writeMicrosoft.Storage/storageAccounts/blobServices/containers/blobs/tags/readMicrosoft.Storage/storageAccounts/blobServices/containers/blobs/tags/writeMicrosoft.Storage/storageAccounts/blobServices/containers/write |
| SetBlobLegalHold | Microsoft. Storage/storageAccounts/blobServices/containers/blobs/readMicrosoft.Storage/storageAccounts/blobServices/containers/blobs/writeMicrosoft.Storage/storageAccounts/blobServices/containers/blobs/tags/readMicrosoft.Storage/storageAccounts/blobServices/containers/blobs/tags/writeMicrosoft.Storage/storageAccounts/blobServices/containers/write |
| EliminaBlob | Microsoft. Storage/storageAccounts/blobServices/containers/blobs/readMicrosoft.Storage/storageAccounts/blobServices/containers/blobs/writeMicrosoft.Storage/storageAccounts/blobServices/containers/blobs/tags/readMicrosoft.Storage/storageAccounts/blobServices/containers/blobs/tags/writeMicrosoft.Storage/storageAccounts/blobServices/containers/blobs/delete |
| UndeleteBlob | Microsoft. Storage/storageAccounts/blobServices/containers/blobs/readMicrosoft.Storage/storageAccounts/blobServices/containers/blobs/writeMicrosoft.Storage/storageAccounts/blobServices/containers/blobs/tags/readMicrosoft.Storage/storageAccounts/blobServices/containers/blobs/tags/writeMicrosoft.Storage/storageAccounts/blobServices/containers/write |