Microsoft Entra ID で承認する

Azure Storage は、BLOB、ファイル、キュー、および Table サービスに対する要求の ID ベースの承認のために Microsoft Entra ID と統合します。 Microsoft Entra ID を使用すると、ロールベースのアクセス制御 (RBAC) を使用して、BLOB、ファイル、キュー、テーブルのリソースへのアクセスをユーザー、グループ、またはアプリケーションに許可できます。 個々のコンテナー、共有、キュー、またはテーブルのレベルをスコープとするアクセス許可を付与できます。

Azure Storage での Microsoft Entra ID 統合の詳細については、「 Microsoft Entra ID を使用して Azure BLOB とキューへのアクセスを承認する」を参照してください。

アプリケーションで Microsoft Entra ID を使用する利点の詳細については、「Microsoft ID プラットフォームとの統合」を参照してください。

認証に OAuth アクセス トークンを使用する

Azure Storage は、ストレージ アカウントを含むサブスクリプションに関連付けられている Microsoft Entra テナントからの OAuth 2.0 アクセス トークンを受け入れます。 Azure Storage では、次のアクセス トークンを受け入れます。

• ユーザーとグループ
• サービス プリンシパル
• Azure リソースのマネージド ID
• ユーザーによって委任されたアクセス許可を使用するアプリケーション

Azure Storage では、 user_impersonation という名前の単一の委任スコープが公開されます。このスコープにより、アプリケーションはユーザーが許可するアクションを実行できます。

Azure Storage のトークンを要求するには、リソース ID に https://storage.azure.com/ 値を指定します。 リソース ID の詳細については、 Microsoft ID プラットフォームのスコープ、アクセス許可、および同意に関するページを参照してください。

ユーザーとサービス プリンシパルの Microsoft Entra ID からアクセス トークンを要求する方法の詳細については、「 認証フローとアプリケーションシナリオ」を参照してください。

マネージド ID で構成されたリソースのアクセス トークンの要求の詳細については、「 Azure VM 上の Azure リソースのマネージド ID を使用してアクセス トークンを取得する方法」を参照してください。

OAuth トークンを使用してストレージ操作を呼び出す

OAuth アクセス トークンを使用して BLOB、ファイル、キュー、および Table サービス操作を呼び出すには、Bearer スキームを使用して Authorization ヘッダーでアクセス トークンを渡し、次の例に示すように、2017-11-09 (ファイル リソースとディレクトリ リソースに対する操作の場合は 2022-11-02、FileService リソースと FileShare リソースに対する操作には 2024-11-04) 以上のサービス バージョンを指定します。

Request:
GET /container/file.txt
x-ms-version: 2017-11-09
Authorization: Bearer eyJ0eXAiO...V09ccgQ
User-Agent: PostmanRuntime/7.6.0
Accept: */*
Host: sampleoautheast2.blob.core.windows.net
accept-encoding: gzip, deflate

Response:
HTTP/1.1 200
status: 200
Content-Length: 28
Content-Type: text/plain
Content-MD5: dxG7IgOBzApXPcGHxGg5SA==
Last-Modified: Wed, 30 Jan 2019 07:21:32 GMT
Accept-Ranges: bytes
ETag: "0x8D686838F9E8BA7"
Server: Windows-Azure-Blob/1.0 Microsoft-HTTPAPI/2.0
x-ms-request-id: 09f31964-e01e-00a3-8066-d4e6c2000000
x-ms-version: 2017-11-09
x-ms-creation-time: Wed, 29 Aug 2018 04:22:47 GMT
x-ms-lease-status: unlocked
x-ms-lease-state: available
x-ms-blob-type: BlockBlob
x-ms-server-encrypted: true
Date: Wed, 06 Mar 2019 21:50:50 GMT
Welcome to Azure Storage!!

ベアラー チャレンジ

ベアラー チャレンジは OAuth プロトコル RFC 6750 の一部であり、機関の検出に使用されます。 BLOB サービスへの匿名要求の場合、または無効な OAuth ベアラー トークンを使用して行われた要求の場合、サーバーは ID プロバイダーとリソース情報を含む状態コード 401 (Unauthorized) を返します。 Microsoft Entra ID による認証時にこれらの値を使用する方法については、 リンク を参照してください。

Azure Storage BLOB サービスと Queue サービスは、バージョン 2019-12-12 以降のベアラー チャレンジを返します。 Azure Storage Table Service は、バージョン 2020-12-06 以降のベアラー チャレンジを返します。 Azure Data Lake Storage Gen2 は、バージョン 2017-11-09 以降のベアラー チャレンジを返します。 Azure File サービスは、バージョン 2022-11-02 以降のベアラー チャレンジを返します。

匿名読み取り要求への応答

Blob Storage が匿名要求を受信すると、次の条件がすべて満たされた場合、その要求は成功します。

• ストレージ アカウントに対して匿名パブリック アクセスが許可されます。
• コンテナーは、匿名のパブリック アクセスを許可するように構成されています。
• 要求は読み取りアクセス用です。

これらの条件のいずれかが true でない場合、要求は失敗します。 エラーに対する応答コードは、ベアラー チャレンジをサポートするサービスのバージョンで匿名要求が行われたかどうかによって異なります。 ベアラー チャレンジは、サービス バージョン 2019-12-12 以降でサポートされています。

• ベアラー チャレンジをサポートするサービス バージョンで匿名要求が行われた場合、サービスはエラー コード 401 (Unauthorized) を返します。
• ベアラー チャレンジをサポートしていないサービス バージョンで匿名要求が行われ、ストレージ アカウントに対して匿名パブリック アクセスが許可されていない場合、サービスはエラー コード 409 (競合) を返します。
• ベアラー チャレンジをサポートしていないサービス バージョンで匿名要求が行われ、ストレージ アカウントに対して匿名パブリック アクセスが許可されている場合、サービスはエラー コード 404 (Not Found) を返します。

ベアラー チャレンジの詳細については、「ベアラー チャレンジ」を参照してください。

ベアラー チャレンジへの応答のサンプル

クライアント要求に匿名ダウンロード BLOB 要求にベアラー トークンが含まれていない場合のベアラー チャレンジ応答の例を次に示します。

Request:
GET /container/file.txt
x-ms-version: 2019-12-12
Host: sampleoautheast2.blob.core.windows.net

Response:
HTTP/1.1 401 Unauthorized
WWW-Authenticate: Bearer authorization_uri=https://login.microsoftonline.com/<tenant_id>/oauth2/authorize resource_id=https://storage.azure.com

<?xml version="1.0" encoding="utf-8"?>
<Error>
    <Code>NoAuthenticationInformation</Code>
    <Message>Server failed to authenticate the request. Please refer to the information in the www-authenticate header.
RequestId:ec4f02d7-1003-0006-21f9-c55bc8000000
Time:2020-01-08T08:01:46.2063459Z</Message>
</Error>

RBAC を使用してアクセス権を管理する

Microsoft Entra ID は、RBAC を介してセキュリティで保護されたリソースへのアクセスの承認を処理します。 RBAC を使用すると、ユーザー、グループ、またはサービス プリンシパルにロールを割り当てることができます。 各ロールには、リソースのアクセス許可のセットが含まれます。 ロールがユーザー、グループ、またはサービス プリンシパルに割り当てられると、そのリソースにアクセスできます。 アクセス権は、Azure portal、Azure コマンド ライン ツール、および Azure Management API を使用して割り当てることができます。 RBAC の詳細については、「 Role-Based アクセス制御の概要」を参照してください。

Azure Storage の場合、ストレージ アカウント内のコンテナーまたはキュー内のデータへのアクセス権を付与できます。 Azure Storage には、Microsoft Entra ID で使用するために、次の組み込みの RBAC ロールが用意されています。

• ストレージ BLOB データ所有者
• ストレージ BLOB データ共同作成者
• ストレージ BLOB データ閲覧者
• ストレージ BLOB デリゲーター
• ストレージ キュー データ共同作成者共同作成者
• ストレージ キュー データ リーダー
• ストレージ キュー データのメッセージ プロセッサ
• ストレージ キュー データ メッセージ送信者
• ストレージ テーブル データ閲覧者
• ストレージ テーブル データ共同作成者
• ストレージ ファイル データの特権共同作成者
• ストレージ ファイル データ特権リーダー

Azure Storage に対して組み込みロールを定義する方法の詳細については、「Azure リソースのロール定義について」を参照してください。

BLOB ストレージと Azure キューで使用するカスタム ロールを定義することもできます。 詳細については、「 Azure Role-Based Access Control のカスタム ロールを作成する」を参照してください。

データ操作を呼び出すためのアクセス許可

次の表では、Microsoft Entra ユーザー、グループ、マネージド ID、またはサービス プリンシパルが特定の Azure Storage 操作を呼び出すために必要なアクセス許可について説明します。 クライアントが特定の操作を呼び出せるようにするには、クライアントの割り当てられた RBAC ロールがその操作に対して十分なアクセス許可を提供していることを確認します。

BLOB サービス操作のアクセス許可

Queue サービス操作のアクセス許可

Table service 操作のアクセス許可

ファイル サービス操作のアクセス許可

関連項目

• Azure Storage への要求を承認する