授權 SSH File Transfer Protocol (SFTP) 用戶端存取 Azure Blob 儲存體

1. 在 Azure 入口網站中，前往您的儲存帳戶。

2. 在 [設定] 下方，選取 SFTP，然後選取 [新增本機使用者]。

   

3. 在 新增本地使用者 設定欄目中，輸入使用者名稱，然後選擇你想與該本地使用者關聯的認證方式。 您可以關聯密碼和/或 SSH 金鑰。

   如果你選擇 SSH 密碼，當你完成「 新增本地使用者 設定」面板的所有步驟時，你的密碼就會出現。 Azure 會產生 SSH 密碼，且密碼長度至少是 32 個字元。

   如果你選擇 SSH 金鑰對，請選擇 公鑰來源 來指定金鑰來源。

   

   下表說明每個金鑰來源選項：

   選項	指引
   產生新的金鑰組	使用此選項以建立新的公開/私密金鑰組。 公開金鑰會以您提供的金鑰名稱儲存在 Azure 中。 你可以在新增本地使用者後下載私鑰。
   使用儲存在 Azure 中的現有金鑰	如果你想使用已經儲存在 Azure 中的公開金鑰，請使用這個選項。 若要在 Azure 中尋找現有的金鑰，請參閱清單金鑰。 當 SFTP 用戶端連線到 Azure Blob 儲存體時，這些用戶端必須提供與這個公開金鑰相關聯的私密金鑰。
   使用現有的公開金鑰	如果你想上傳儲存在 Azure 外的公開金鑰，請使用這個選項。 如果你沒有公開金鑰，但想在Azure外產生公鑰，請參考 用 ssh-keygen 生成金鑰。

   重要

   僅支援 OpenSSH 格式化的公鑰。 您提供的金鑰必須使用下列格式： <key type> <key data>。 例如，RSA 鍵長得很像這樣： ssh-rsa AAAAB3N...。 如果你的金鑰格式不同，請使用像 這樣的 ssh-keygen 工具將其轉換成 OpenSSH 格式。

4. 選取 [下一步 ] 以開啟 組態窗格的 [許可權 ] 索引標籤。

本節說明如何使用 SSH 金鑰或密碼進行驗證。

使用 SSH 金鑰進行驗證 （PowerShell）

1. 選擇您想要使用的公鑰類型。

   • 使用儲存在 Azure 中的現有金鑰

     如果你想使用已經儲存在 Azure 中的公開金鑰，請使用這個選項。 若要在 Azure 中尋找現有的金鑰，請參閱清單金鑰。 當 SFTP 用戶端連線到 Azure Blob 儲存體時，這些用戶端必須提供與這個公開金鑰相關聯的私密金鑰。

   • 使用儲存在 Azure 外部的現有公鑰。

     如果你還沒有公開金鑰，請參考「 用 ssh-keygen 生成金鑰 」來獲得如何建立公鑰的指引。 僅支援 OpenSSH 格式化的公鑰。 您提供的金鑰必須使用下列格式： <key type> <key data>。 例如，RSA 鍵長得很像這樣： ssh-rsa AAAAB3N...。 如果你的金鑰格式不同，請使用像 這樣的 ssh-keygen 工具將其轉換成 OpenSSH 格式。

2. 使用 New-AzStorageLocalUserSshPublicKey 命令建立公鑰物件。 將 -Key 參數設為含有金鑰類型和公開金鑰的字串。 在下列範例中，金鑰類型是 ssh-rsa，而金鑰是 ssh-rsa a2V5...。

   $sshkey = "ssh-rsa a2V5..."
   $sshkey = New-AzStorageLocalUserSshPublicKey -Key $sshkey -Description "description for ssh public key"
   

3. 使用 Set-AzStorageLocalUser 命令建立本機使用者。 如果你用的是 SSH 金鑰，請把參數設 SshAuthorizedKey 成你在前一步建立的公鑰物件。

   下列範例會建立本機用戶，然後將密鑰列印至主控台。

   $UserName = "mylocalusername"
   $localuser = Set-AzStorageLocalUser -ResourceGroupName $resourceGroupName -StorageAccountName $storageAccountName -UserName $UserName -SshAuthorizedKey $sshkey -HasSharedKey $true -HasSshKey $true
   
   $localuser
   $localuser.SshAuthorizedKeys | ft
   

   注意

   本機使用者也有 sharedKey 屬性，僅供 SMB 驗證使用。

使用密碼進行驗證 （PowerShell）

1. 使用 Set-AzStorageLocalUser 命令建立本機使用者，並將 參數設定 -HasSshPassword 為 $true。

   下列範例會建立使用密碼驗證的本機使用者。

   $UserName = "mylocalusername"
   $localuser = Set-AzStorageLocalUser -ResourceGroupName $resourceGroupName -StorageAccountName $storageAccountName -UserName $UserName -HasSshPassword $true
   

2. 請使用 New-AzStorageLocalUserSshPassword 指令建立密碼。 將 -UserName 參數設為該使用者名稱。

   下列範例會產生使用者的密碼。

   $password = New-AzStorageLocalUserSshPassword -ResourceGroupName $resourceGroupName -StorageAccountName $storageAccountName -UserName $UserName
   $password 
   

   重要

   您無法在日後擷取此密碼，因此請務必複製密碼，然後將它儲存在您可以找到的位置。 如果遺失此密碼，您必須產生一個新密碼。 Azure 會產生 SSH 密碼，且密碼長度至少是 32 個字元。

本節說明如何使用 SSH 金鑰或密碼進行驗證。

使用 SSH 金鑰進行驗證 （Azure CLI）

1. 選擇您想要使用的公鑰類型。

   • 使用儲存在 Azure 中的現有金鑰

     如果你想使用已經儲存在 Azure 中的公開金鑰，請使用這個選項。 若要在 Azure 中尋找現有的金鑰，請參閱清單金鑰。 當 SFTP 用戶端連線到 Azure Blob 儲存體時，這些用戶端必須提供與這個公開金鑰相關聯的私密金鑰。

   • 使用儲存在 Azure 外部的現有公鑰。

     如果你還沒有公開金鑰，請參考「 用 ssh-keygen 生成金鑰 」來獲得如何建立公鑰的指引。 僅支援 OpenSSH 格式化的公鑰。 您提供的金鑰必須使用下列格式： <key type> <key data>。 例如，RSA 鍵長得很像這樣： ssh-rsa AAAAB3N...。 如果你的金鑰格式不同，請使用像 這樣的 ssh-keygen 工具將其轉換成 OpenSSH 格式。

2. 若要建立以 SSH 金鑰進行驗證的本地使用者，請使用 az storage account 的 local-user create 指令，並將參數設 --has-ssh-key 為包含金鑰類型與公鑰的字串。

   下列範例會建立名為 contosouser的本機使用者，並使用 ssh-rsa 金鑰搭配 金鑰值 ssh-rsa a2V5... 進行驗證。

   az storage account local-user create --account-name contosoaccount -g contoso-resource-group -n contosouser --ssh-authorized-key key="ssh-rsa a2V5..." --has-ssh-key true --has-ssh-password true
   

   注意

   本機使用者也有 sharedKey 屬性，僅供 SMB 驗證使用。

使用密碼進行驗證 （Azure CLI）

1. 要建立一個以密碼進行認證的本地使用者，請使用 az storage account local-user create 指令，並將參數設 --has-ssh-password 為 true。

   下列範例會建立名為 contosouser的本機使用者，並將 參數設定 --has-ssh-password 為 true。

   az storage account local-user create --account-name contosoaccount -g contoso-resource-group -n contosouser --has-ssh-password true
   

2. 使用 az storage account local-user regenerate-password 命令建立密碼 。 將 -n 參數設為該本機使用者名稱。

   下列範例會產生使用者的密碼。

   az storage account local-user regenerate-password --account-name contosoaccount -g contoso-resource-group -n contosouser  
   

   重要

   您無法在日後擷取此密碼，因此請務必複製密碼，然後將它儲存在您可以找到的位置。 如果遺失此密碼，您必須產生一個新密碼。 Azure 會產生 SSH 密碼，且密碼長度至少是 32 個字元。

1. 在 [ 許可權] 索引標籤中，選取您想要提供給此本機使用者的容器。 然後，選取您要讓這個本機使用者執行的作業類型。

   

   重要

   本機使用者至少必須具備一項容器權限，或具備對該容器主目錄的 ACL 權限。 否則，嘗試連接該容器會失敗。

2. 如果你想透過與此容器中檔案和目錄相關的存取控制清單（ACL）授權存取，請選擇 「允許 ACL 授權 」的核取方塊。 若要深入瞭解如何使用 ACL 來授權 SFTP 用戶端，請參閱 ACL。

   您也可以透過將此本機使用者指派給群組 ID，將該使用者新增至群組。 該識別碼可以是任何您想要的數字或編號方式。 群組使用者讓你可以新增或移除使用者，而不需要重新套用 ACL 到整個目錄結構。 相反地，您可以只新增或移除群組中的使用者。

   

   注意

   系統會自動產生本機使用者的使用者標識碼。 您無法修改此識別碼，但您可以在建立本機使用者後，於 編輯本機使用者 窗格中重新開啟該使用者，以查看該識別碼。

3. 在 Home 目錄 編輯框中，輸入容器名稱或與該本地使用者相關的預設位置的目錄路徑（包括容器名稱）（例如： mycontainer/mydirectory）。

   若要深入了解主目錄，請參閱主目錄。

4. 選擇 新增 按鈕來新增本地使用者。

   如果你啟用了密碼驗證，當本地使用者加入後，Azure 產生的密碼會出現在對話框中。

   重要

   您無法在日後擷取此密碼，因此請務必複製密碼，然後將它儲存在您可以找到的位置。

   如果你選擇產生新的金鑰對，當本地使用者加入後，系統會提示你下載該金鑰對的私鑰。

   注意

   本機使用者具有一個僅用於 SMB 驗證的 sharedKey 屬性。

1. 決定您要讓本機使用者使用的容器，以及要讓這個本機使用者執行的作業類型。 使用 New-AzStorageLocalUserPermissionScope 指令建立權限範圍物件，並將該指令的參數設定 -Permission 為一個或多個對應存取權限等級的字母。 可能的值為 Read（r）、Write （w）、Delete （d）、List （l）、Create （c）、Modify Ownership（o）、Modify Permissions（p）。

   以下範例建立一個權限範圍物件，賦予容器讀取與寫入權限 mycontainer 。

   $permissionScope = New-AzStorageLocalUserPermissionScope -Permission rw -Service blob -ResourceName mycontainer 
   

   重要

   本地使用者對其要連線的容器必須至少具有一項權限，否則連線嘗試會失敗。

2. 使用 Set-AzStorageLocalUser 命令更新本機使用者。 將 -PermissionScope 參數設為您稍早建立的權限範圍物件。

   下列範例會使用容器許可權更新本機用戶，然後將許可權範圍列印至主控台。

   $UserName = "mylocalusername"
   $localuser = Set-AzStorageLocalUser -ResourceGroupName $resourceGroupName -StorageAccountName $storageAccountName -UserName $UserName -HomeDirectory "mycontainer" -PermissionScope $permissionScope
   
   $localuser
   $localuser.PermissionScopes | ft
   

若要更新具有容器存取權限的本機使用者，請使用 az storage account local-user update 命令，然後將該命令的 permission-scope 參數設為一個或多個對應存取權限層級的字母。 可能的值為 Read（r）、Write （w）、Delete （d）、List （l）、Create （c）、Modify Ownership（o）、Modify Permissions（p）。

以下範例賦予本地使用者名稱 contosouser ，可讀寫一個名為 contosocontainer的容器。

az storage account local-user update --account-name contosoaccount -g contoso-resource-group -n contosouser --home-directory contosocontainer --permission-scope permissions=rw service=blob resource-name=contosocontainer