この記事では、ストレージ タスクの割り当てを管理するために必要な最小特権の組み込み Azure ロールまたは RBAC アクションについて説明します。
ストレージタスクの割り当てを管理する権限
タスク割り当てを作成し進行中の実行を停止するには、あなたのアイデンティティはストレージ アクションタスク割り当て貢献 者を組み込みの役割として割り当てるか、以下のRBACアクションを含むカスタムロールのいずれかに割り当てる必要があります。
- Microsoft.Authorization/roleAssignments/write
- Microsoft.Authorization/roleAssignments/delete
- Microsoft.Storage/storageAccounts/reports/read
- Microsoft.Storage/storageAccounts/read
- Microsoft.Storage/storageAccounts/blobServices/read
- Microsoft.Storage/storageAccounts/storageTaskAssignments/read
- Microsoft.Storage/storageAccounts/storageTaskAssignments/write
- Microsoft.Storage/storageAccounts/storageTaskAssignments/delete
- Microsoft.Storage/storageAccounts/storageTaskAssignments/reports/read
カスタム ロールを作成する方法については、「Azure カスタム ロール」を参照してください。
タスクが操作を実行する権限
割り当てを作成する際は、ターゲットのストレージアカウントまたはストレージアカウントコンテナで指定された操作を実行するために必要な権限を持つ、Azure組み込みまたはカスタムロールを選択します。 その役割をストレージタスクの管理されるアイデンティティに割り当てます。 ユーザー ID に割り当てられているロールのみを選択できます。
推奨される組み込みの役割は 、ストレージアクションのブロブデータオペレーターです。 この役割は、ストレージアクションが行う一般的なデータ管理条件や操作のために特別に設計されています。 これは、ブロブプロパティへのアクセスやストレージアクションでサポートされる操作を実行するために必要な最低限のデータプレーン権限を付与します。これには、ブロブインデックスタグの設定、期限切れ、不変性ポリシーや法的保留、ブロブの階層の変更、ブロブの削除・削除解除が含まれます。
Storage Actions Blob Data Operatorの役割は以下の権限を付与します:
| 権限 | タイプ | RBAC アクション |
|---|---|---|
コンテナのリスト;コンテナを読み込み作成( SetBlobImmutabilityPolicy や SetBlobLegalHoldなどの操作で必要) |
アクション |
Microsoft.Storage/storageAccounts/blobServices/containers/read、Microsoft.Storage/storageAccounts/blobServices/containers/write |
| ブロブのコンテンツとプロパティを読む | データ処理 | Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read |
| ブロブ(階層、有効期限、プロパティ)を修正する | データ処理 | Microsoft.Storage/storageAccounts/blobServices/containers/blobs/write |
| BLOB を削除する | データ処理 | Microsoft.Storage/storageAccounts/blobServices/containers/blobs/delete |
| 新しいブロブを追加(作成) | データ処理 | Microsoft.Storage/storageAccounts/blobServices/containers/blobs/add/action |
| ブロブインデックスタグの読み書き | データ処理 |
Microsoft.Storage/storageAccounts/blobServices/containers/blobs/tags/read、Microsoft.Storage/storageAccounts/blobServices/containers/blobs/tags/write |
| 特権的なブロブ操作(削除の取り消しなど)を実行する | データ処理 | Microsoft.Storage/storageAccounts/blobServices/containers/blobs/runAsSuperUser/action |
| 不変性ポリシーと法的保留を設定する | データ処理 | Microsoft.Storage/storageAccounts/blobServices/containers/blobs/immutableStorage/runAsSuperUser/action |
Tip
ストレージアクション Blob Data Operator はストレージタスクの管理されるアイデンティティに推奨される役割です。 ストレージブロブのデータオーナーの役割もストレージアクションによるすべての操作をカバーし、サポートされていますが、ストレージアクションが必要とするよりも広範な権限が付与されます。 新しい割り当てには Storage Actions Blob Data Operator を優先してください。
ストレージタスクの管理IDにカスタムロールを使いたい場合は、タスクで定義された操作を実行するために必要なRBACアクションが役割に含まれていることを確認してください。 以下の表は、各ストレージアクション操作をカスタムロールが含めるべきRBACアクションにマッピングしています。
Note
ほとんどの顧客にとって、先述の Storage Actions Blob Data Operator の組み込みロールが最もシンプルな経路であり、推奨されています。 以下のオペレーションごとの表は、組み込みの役割よりも厳密なカスタム役割を構成する必要がある組織向けに設計されています。
| 権限 | カスタム ロールの RBAC アクション |
|---|---|
| Blob層を設定する | Microsoft。Storage/storageAccounts/blobServices/containers/blobs/readMicrosoft.Storage/storageAccounts/blobServices/containers/blobs/writeMicrosoft.Storage/storageAccounts/blobServices/containers/blobs/tags/readMicrosoft.Storage/storageAccounts/blobServices/containers/blobs/tags/write |
| SetBlobExpiry | Microsoft。Storage/storageAccounts/blobServices/containers/blobs/readMicrosoft.Storage/storageAccounts/blobServices/containers/blobs/writeMicrosoft.Storage/storageAccounts/blobServices/containers/blobs/tags/readMicrosoft.Storage/storageAccounts/blobServices/containers/blobs/tags/write |
| Blobタグの設定 | Microsoft。Storage/storageAccounts/blobServices/containers/blobs/readMicrosoft.Storage/storageAccounts/blobServices/containers/blobs/writeMicrosoft.Storage/storageAccounts/blobServices/containers/blobs/tags/readMicrosoft.Storage/storageAccounts/blobServices/containers/blobs/tags/write |
| Blob不変ポリシーを設定する | Microsoft。Storage/storageAccounts/blobServices/containers/blobs/readMicrosoft.Storage/storageAccounts/blobServices/containers/blobs/writeMicrosoft.Storage/storageAccounts/blobServices/containers/blobs/tags/readMicrosoft.Storage/storageAccounts/blobServices/containers/blobs/tags/writeMicrosoft.Storage/storage/storageAccounts/blobServices/containers/write |
| SetBlobLegalHold | Microsoft。Storage/storageAccounts/blobServices/containers/blobs/readMicrosoft.Storage/storageAccounts/blobServices/containers/blobs/writeMicrosoft.Storage/storageAccounts/blobServices/containers/blobs/tags/readMicrosoft.Storage/storageAccounts/blobServices/containers/blobs/tags/writeMicrosoft.Storage/storage/storageAccounts/blobServices/containers/write |
| DeleteBlob | Microsoft。Storage/storageAccounts/blobServices/containers/blobs/readMicrosoft.Storage/storageAccounts/blobServices/containers/blobs/writeMicrosoft.Storage/storageAccounts/blobServices/containers/blobs/tags/readMicrosoft.Storage/storageAccounts/blobServices/containers/blobs/tags/writeMicrosoft.Storage/storageAccounts/blobServices/containers/blobs/delete |
| UndeleteBlob | Microsoft。Storage/storageAccounts/blobServices/containers/blobs/readMicrosoft.Storage/storageAccounts/blobServices/containers/blobs/writeMicrosoft.Storage/storageAccounts/blobServices/containers/blobs/tags/readMicrosoft.Storage/storageAccounts/blobServices/containers/blobs/tags/writeMicrosoft.Storage/storage/storageAccounts/blobServices/containers/write |