ストレージ コンテナーの SAS トークンを作成する

Azure ポータルは、グラフィカル ユーザー インターフェイス (GUI) を使用してAzureサブスクリプションとリソースを管理できる Web ベースのコンソールです。

1. Azure ポータルにサインインします。

2. ストレージ アカウント>コンテナー>コンテナーに移動します。

3. ページの上部付近にあるメニューから [ SAS の生成 ] を選択します。

4. ユーザー委任キー→署名方法を選択します。

5. 適切なチェック ボックスをオンまたはオフにして、 アクセス許可 を定義します。
   

   • 読み取り、書き込み、削除、およびリストのアクセス許可が選択されていることを確認します。

   Azure ポータルで SAS アクセス許可フィールドを示すスクリーンショット

   重要

   • 次のようなメッセージが表示される場合は、ストレージ アカウント内の BLOB データへのアクセス権を割り当てる必要もあります。

     

   • Azure ロールベースのアクセス制御 (Azure RBAC) は、Azure リソースへのアクセスを管理するために使用される承認システムです。 Azure RBAC は、Azure リソースのアクセスとアクセス許可を管理するのに役立ちます。

   • BLOB データにアクセスするためのAzure ロールを割り当てますAzure ストレージ コンテナーの読み取り、書き込み、削除のアクセス許可を許可するロールを割り当てます。 ストレージ BLOB データ共同作成者を参照してください。

6. 署名されたキーの 開始時刻 と 有効期限を 指定します。

   • SAS トークンを作成する場合、既定の期間は 48 時間です。 48 時間後に、新しいトークンを作成する必要があります。
   • ドキュメント インテリジェンス サービスの操作にストレージ アカウントを使用する期間を長く設定することを検討してください。
   • 有効期限の値は、 アカウント キー と ユーザー委任キーのどちらの署名方法を使用しているかによって決まります。
     • アカウント キー: 制限時間は課されません。ただし、間隔を制限し、侵害を最小限に抑えるように有効期限ポリシーを構成することをお勧めします。 Shared Access Signature の有効期限ポリシーを構成します。
     • ユーザー委任キー: 有効期限の値は、SAS トークンの作成から最大 7 日間です。 SAS は、ユーザー委任キーの有効期限が切れた後も無効であるため、有効期限が 7 日を超える SAS は 7 日間のみ有効になります。 詳細については、「「Microsoft Entra 資格情報を使用して SAS をセキュリティで保護する」を参照してください。

7. [許可される IP アドレス] フィールドは省略可能で、要求を受け入れる IP アドレスまたは IP アドレスの範囲を指定します。 要求 IP アドレスが SAS トークンで指定された IP アドレスまたはアドレス範囲と一致しない場合、承認は失敗します。 IP アドレスまたは IP アドレスの範囲は、プライベートではなくパブリック IP である必要があります。 詳細については、「IP アドレスまたは IP 範囲を指定する」を参照してください。

8. [許可されるプロトコル] フィールドは省略可能であり、SAS トークンで行われた要求に対して許可されるプロトコルを指定します。 既定値は HTTPS です。

9. [ SAS トークンと URL の生成] を選択します。

10. BLOB SAS トークンクエリ文字列と BLOB SAS URL がウィンドウの下部に表示されます。 BLOB SAS トークンを使用するには、ストレージ サービス URI に追加します。

11. BLOB SAS トークンと BLOB SAS URL の値をコピーして、セキュリティで保護された場所に貼り付けます。 値は 1 回だけ表示され、ウィンドウを閉じた後は取得できません。

12. SAS URL を作成するには、ストレージ サービスの URL に SAS トークン (URI) を追加します。

Azure Storage Explorerは無料のスタンドアロン アプリで、デスクトップからAzureクラウド ストレージ リソースを簡単に管理できます。

概要

• Azure Storage Explorer アプリがWindows、macOS、または Linux 開発環境にインストールされている必要があります。

• Azure Storage Explorer アプリがインストールされたら、ドキュメント インテリジェンスに使用しているストレージ アカウントを接続します。

SAS トークンを作成する

1. ローカル コンピューターでAzure Storage Explorer アプリを開き、接続されている Storage アカウントに移動します。

2. [ストレージ アカウント] ノードを展開し、[ BLOB コンテナー] を選択します。

3. [BLOB コンテナー] ノードを展開し、ストレージ コンテナー ノードを右クリックしてオプション メニューを表示します。

4. オプション メニューから [ Shared Access Signature の取得 ] を選択します。

5. Shared Access Signature ウィンドウで、次の選択を行います。

   • アクセス ポリシーを選択します (既定値は none です)。
   • 署名されたキーの 開始日 と 有効期限の 日付と時刻を指定します。 一度生成されると SAS を取り消すことはできないため、短い有効期間をお勧めします。
   • [開始] と [有効期限] の日付と時刻の タイム ゾーン を選択します (既定値は [ローカル] です)。
   • [読み取り]、[書き込み]、[一覧]、および [削除] チェック ボックスをオンにして、コンテナーのアクセス許可を定義します。
   • key1 または key2 を選択します。
   • 確認して[ 作成]を選択します。

6. コンテナー名、SAS URL、およびコンテナーのクエリ文字列を含む新しいウィンドウが表示されます。

7. SAS URL とクエリ文字列値をコピーして、セキュリティで保護された場所に貼り付けます。 これらは 1 回だけ表示され、ウィンドウを閉じた後は取得できません。

8. SAS URL を作成するには、ストレージ サービスの URL に SAS トークン (URI) を追加します。

SAS URL を使用してアクセスを許可する

SAS URL には、クエリ パラメーターの特別なセットが含 まれています。 これらのパラメーターは、クライアントがリソースにアクセスする方法を示します。

REST API

REST API で SAS URL を使用するには、要求本文に SAS URL を追加します。

{
    "source":"<BLOB SAS URL>"
}

それです！ クライアントがデータにアクセスする方法を承認する SAS トークンを作成する方法について学習しました。

次の手順