Azure 角色指派條件格式和語法

條件是額外的檢查，您可以選擇性地將其新增至您的角色指派，以提供更精細的存取控制。 例如，您可以新增需要物件具有特定標記才能讀取物件的條件。 本文說明角色指派條件的格式和語法。

條件格式

為了更充分地了解角色指派條件，查看格式會有所幫助。

簡單條件

最基本的條件是由目標動作和運算式所組成。 動作是使用者可以在資源類型上執行的作業。 運算式是評估為 true 或 false 的陳述式，其可決定是否允許執行動作。

以下顯示簡單條件的格式。

(
    (
        !(ActionMatches{'<action>'})
    )
    OR
    (
        <attribute> <operator> <value>
    )
)

下列條件具有「讀取 Blob」的動作。 運算式會檢查容器名稱是否為 blobs-example-container。

(
    (
        !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'})
    )
    OR 
    (
        @Resource[Microsoft.Storage/storageAccounts/blobServices/containers:name]
        StringEquals 'blobs-example-container'
    )
)

如何評估條件

如果使用者嘗試在不是 <action> 的角色指派中執行動作，!(ActionMatches) 則會評估為 true，而整體條件會評估為 true，以允許執行動作。

如果使用者嘗試在角色指派中執行 <action>，!(ActionMatches) 則會評估為 false，因此會評估運算式。 如果運算式評估為 true，則整體條件會評估為 true 以允許 <action> 被執行。 否則，不允許執行 <action>。

下列虛擬程式碼顯示另一種您可以讀取此條件的方式。

if a user tries to perform an action in the role assignment that does not match <action>
{
    Allow action to be performed
}
else
{
    if <attribute> <operator> <value> is true
    {
        Allow <action> to be performed
    }
    else
    {
        Do not allow <action> to be performed
    }
}

子作業

某些動作有子作業。 例如，Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read 資料動作具有子作業「列出 Blob」。 含子選項的條件具有下列格式。

(
    (
        !(ActionMatches{'<action>'}
        AND
        SubOperationMatches{'<subOperation>'})

    )
    OR
    (
        <attribute> <operator> <value>
    )
)

多個動作

如果條件為 true，條件可以包含您要允許的多個動作。 如果您針對單一條件選取多個動作，可能會因為屬性必須可在所有選取的動作上使用，因而使能為條件選擇的屬性變少。

(
    (
        !(ActionMatches{'<action>'})
        AND
        !(ActionMatches{'<action>'})
    )
    OR
    (
        <attribute> <operator> <value>
    )
)

多個運算式

一個條件可以包含多個運算式。 視運算子而定，可以針對多個值檢查屬性。

(
    (
        !(ActionMatches{'<action>'})
    )
    OR
    (
        <attribute> <operator> <value>
        AND | OR
        <attribute> <operator> {<value>, <value>, <value>}
        AND | OR
        <attribute> <operator> <value>
    )
)

多重條件

您也可以結合條件來鎖定多個動作。

(
    (
        !(ActionMatches{'<action>'})
    )
    OR
    (
        <attribute> <operator> <value>
        AND | OR
        <attribute> <operator> {<value>, <value>, <value>}
        AND | OR
        <attribute> <operator> <value>
    )
)
AND
(
    (
        !(ActionMatches{'<action>'})
    )
    OR
    (
        <attribute> <operator> <value>
        AND | OR
        <attribute> <operator> <value>
    )
)

條件語法

以下顯示角色指派條件的語法。

(
    (
        !(ActionMatches{'<action>'} AND SubOperationMatches{'<subOperation>'})
        AND
        !(ActionMatches{'<action>'} AND SubOperationMatches{'<subOperation>'})
        AND
        ...
    )
    OR
    (
        <attribute> <operator> {<value, <value>, ...}
        AND | OR
        <attribute> <operator> {<value>, <value>, ...}
        AND | OR
        ...
    )
)
AND
(
    (
        !(ActionMatches{'<action>'} AND SubOperationMatches{'<subOperation>'})
        AND
        !(ActionMatches{'<action>'} AND SubOperationMatches{'<subOperation>'})
        AND
        ...
    )
    OR
    (
        <attribute> <operator> {<value, <value>, ...}
        AND | OR
        <attribute> <operator> {<value>, <value>, ...}
        AND | OR
        ...
    )
)
AND
...

動作

目前，您可以將條件新增至具有 Blob 儲存體或佇列儲存體資料動作的內建或自訂角色指派。 其中包括下列內建角色：

• 儲存體 Blob 資料參與者
• 儲存體 Blob 資料擁有者
• 儲存體 Blob 資料讀者
• 儲存體佇列資料參與者
• 儲存體佇列資料訊息處理者
• 儲存體佇列資料訊息傳送者
• 儲存體佇列資料讀者

如需您可在條件中使用的儲存體動作清單，請參閱：

• Azure Blob 儲存體的 Azure 角色指派條件的動作和屬性 (機器翻譯)
• Azure 佇列儲存體的 Azure 角色指派條件的動作和屬性.

屬性

視選取的動作而定，屬性可能會在不同的位置找到。 如果您針對單一條件選取多個動作，則可供條件選擇的屬性可能會較少，因為這些屬性必須在所有選定的動作中可用。 若要指定屬性，您必須將來源包含為前置詞。

如需您可在條件中使用的完整儲存體屬性清單，請參閱：

• Azure Blob 儲存體屬性
• Azure 佇列儲存體屬性

環境屬性

環境屬性與提出存取要求的情況相關聯，例如某天的日期和時間或網路環境。 網路環境的存取可能是透過特定私人端點或虛擬網路子網路，也可能是透過任何私人連結。

下表列出條件所支援的環境屬性。

¹ 針對複製作業，Is private link、Private endpoint 和 Subnet 屬性只會套用至目的地 (例如記憶體帳戶)，而不是來源。 如需套用此項目之複製作業的詳細資訊，請選取表格中的每個屬性，以查看更多詳細資料。
² 如果您目前至少已在訂用帳戶中設定一個私人端點，則只能使用 Private endpoint 屬性。
³ 如果您目前至少已在訂用帳戶中設定一個使用Subnet的虛擬網路子網路，則只能使用 屬性。

主體屬性

主體屬性是指派給要求存取資源之安全性主體的自訂安全性屬性。 安全性主體可以是使用者或企業應用程式 (服務主體)。

若要使用主體屬性，您必須具有下列項目：

• 已登入使用者的 Microsoft Entra 權限，例如屬性指派系統管理員角色
• Microsoft Entra ID 中所定義的自訂安全性屬性

如需自訂安全性屬性的詳細資訊，請參閱：

• 在 Entra ID Microsoft 中新增或停用自訂安全性屬性 (部分機器翻譯)
• 根據標記和自訂安全性屬性來允許對 Blob 的讀取權
• 主體不會出現在屬性來源中

要求屬性

要求屬性與存取要求中所指定的準則相關聯，例如要列出的指定 Blob 前置詞。

資源屬性

資源屬性與將對其要求存取的物件相關聯，例如儲存體帳戶名稱、容器名稱，或是否針對儲存體帳戶啟用階層命名空間。

函式運算子

本節列出可用來建構條件的函式運算子。

ActionMatches

SubOperationMatches

Exists

¹ 在 Azure 入口網站中，只有視覺效果 ABAC 條件建立器中的這些屬性才支援 Exists 運算子。 您可以使用其他工具來將 Exists 運算子新增至任何屬性，例如 PowerShell、Azure CLI、REST API，以及 Azure 入口網站中的條件程式碼編輯器。

邏輯運算子

本節列出可用來建構條件的邏輯運算子。

且

Or

Not

布林比較運算子

本節列出可用來建構條件的布林比較運算子。

字串比較運算子

本節列出可用來建構條件的字串比較運算子。

StringEquals

StringNotEquals

StringStartsWith

StringNotStartsWith

StringLike

StringNotLike

數字比較運算子

本節列出可用來建構條件的數字比較運算子。

日期時間比較運算子

本節列出可用來建構條件的日期/時間比較運算子。

GUID 比較運算子

本節列出可用來建構條件的通用唯一識別碼 (GUID) 比較運算子。

叉積比較運算子

本節列出可用來建構條件的叉積比較運算子。

ForAnyOfAnyValues

ForAllOfAnyValues

ForAnyOfAllValues

ForAllOfAllValues

特殊字元

分組和優先順序

對於目標動作，如果您有三個或以上的運算式（運算式之間有不同的運算子），則評估的順序就會不明確。 您可以使用括弧 () 來將運算式分組，並指定評估運算式的順序。 加上括號的運算式擁有較高的優先順序。 例如，如果您有下列的運算式：

a AND b OR c

您必須以下列其中一種方式來加上括號：

(a AND b) OR c

a AND (b OR c)

下一步

• Blob 儲存體的 Azure 角色指派條件範例
• 使用 Azure 入口網站來新增或編輯 Azure 角色指派條件